La trampa de la visibilidad

Muchas organizaciones tienen la sensación de que su awareness está en orden. Hay carteles junto a la máquina de café, cada mes sale un correo, y en la intranet hay una campaña con consejos prácticos. El razonamiento que subyace es evidente. Al fin y al cabo, se comunica mucho sobre el comportamiento seguro, y de ahí se deriva enseguida la idea de que existe un programa de awareness. Esa equiparación de la visibilidad con un programa es comprensible, pero no es correcta.

Este informe examina dos preguntas que están en el fondo. La primera es si una campaña de comunicación es algo esencialmente distinto de un programa de comportamiento. La segunda es cuándo comunicar pierde su efecto, es decir, en qué punto más mensajes dejan de ayudar e incluso resultan contraproducentes. Recoge lo que muestra la investigación científica al respecto y qué enfoque se deriva de ello.

En ambas preguntas conviene precisar primero qué entendemos en este informe por un programa. Un programa no es una serie de mensajes sueltos, sino un conjunto continuo y gestionado orientado al comportamiento. Define de antemano qué comportamiento quiere lograr, elige los medios adecuados para ello, entre los que se cuentan la formación, la práctica y la comunicación, mide después si ese comportamiento cambia realmente, y ajusta sobre la base de esa medición. Es, en otras palabras, un ciclo que se sostiene a sí mismo y se orienta a un objetivo. Una campaña, en cambio, es un mensaje único o recurrente por sí mismo, y puede ser una parte valiosa de un programa sin coincidir jamás con él.

01 · HallazgoLa visibilidad es una capa, no un programa

La diferencia entre comunicar y un programa no es un juego de palabras, sino que figura en la directriz que el sector emplea para esto. La organización estadounidense de estándares NIST distingue en su directriz revisada tres niveles de aprendizaje: concienciación, formación y educación (NIST SP 800-50r1, 2024). La concienciación dirige la atención de las personas hacia un tema, la formación les enseña una habilidad con la que pueden ejecutar una tarea, y la educación es la forma profunda, a menudo orientada a la trayectoria profesional. Carteles, correos y campañas en la intranet caen casi todos bajo el primer nivel. Reclaman atención, pero no enseñan ninguna habilidad y por sí mismos no dirigen el comportamiento.

Más importante aún es lo que la directriz entiende por un programa. La revisión de 2024 describe un programa de aprendizaje no como una serie de mensajes, sino como un ciclo gestionado con un ciclo de vida: se fijan objetivos, se ajusta el contenido a roles y públicos, se mide el efecto y se hacen ajustes. Las campañas de concienciación son dentro de ese ciclo uno de los componentes, junto a la formación orientada a roles, los ejercicios y las intervenciones específicas. Equiparar una campaña a un programa es por ello un error de categoría, porque se confunde una capa con el conjunto.

La ciencia del comportamiento establece la misma separación por otra vía. El muy utilizado Behaviour Change Wheel, que también empleamos en La paradoja de la participación, distingue nueve tipos de intervención con los que se puede influir en el comportamiento, y la información es tan solo uno de ellos (Michie, van Stralen y West, 2011). Comunicar afecta sobre todo al conocimiento de las personas. Deja en gran medida intactas las demás palancas de las que depende el comportamiento, como la motivación y la oportunidad práctica. Quien solo comunica acciona, por tanto, una sola palanca y deja sin usar las otras ocho.

02 · HallazgoComunicar a menudo no cambia el comportamiento

Que las campañas no siempre cambian el comportamiento no es una idea nueva. En un estudio muy citado, Bada, Sasse y Nurse analizaron por qué las campañas de concienciación tan a menudo no consiguen cambiar el comportamiento (Bada, Sasse y Nurse, 2015). Su conclusión fue clara. El conocimiento y la conciencia son una condición necesaria, pero por sí mismos no bastan. Para cambiar el comportamiento las personas deben poder entender y aplicar el consejo, y además deben estar dispuestas a hacerlo. Esa disposición requiere un cambio de actitud e intención, que no surge por sí solo difundiendo más información.

Esta es la conocida brecha entre saber y hacer. Las personas saben que deben usar una contraseña fuerte, que no deben hacer clic en cualquier enlace, y que deben guardar los datos con cuidado, pero el comportamiento no sigue al saber de forma automática. El Behaviour Change Wheel explica por qué es así. El comportamiento seguro surge únicamente cuando confluyen el conocimiento y la habilidad, la motivación y la oportunidad de hacer lo correcto (Michie, van Stralen y West, 2011). Una campaña que solo da información rellena a lo sumo la primera casilla. La motivación y la oportunidad quedan entonces sin tocar, y es justo ahí donde el comportamiento suele fallar.

03 · ExplicaciónCuándo comunicar resulta contraproducente

La segunda pregunta es cuándo comunicar no solo aporta poco, sino que resulta abiertamente contraproducente. La investigación señala dos mecanismos que en conjunto explican por qué más de lo mismo socava la atención: la habituación y la fatiga de mensajes.

El primer mecanismo es la habituación, y va más hondo que una cuestión de motivación. En una serie de estudios cerebrales, Anderson y colegas reflejaron mediante resonancia magnética funcional cómo reacciona el cerebro ante advertencias de seguridad repetidas (Anderson et al., 2015). La actividad en las áreas de procesamiento visual cayó con fuerza ya tras la segunda exposición, y siguió descendiendo con cada nueva repetición. Un estudio posterior en la práctica confirmó esa imagen. En un experimento de campo de tres semanas, la medida en que las personas atendían las advertencias disminuyó con claridad a medida que aparecían con más frecuencia (Vance et al., 2018). El mensaje que mantiene siempre la misma forma se registra cada vez menos, incluso en el cerebro. Lo llamativo es que las advertencias que cambiaban de forma cada vez resistían mucho mejor este efecto. La variación mantiene la atención, mientras que repetir exactamente lo mismo hace que la atención se relaje.

El segundo mecanismo es la fatiga de mensajes, un concepto de las ciencias de la comunicación. So, Kim y Cohen describieron cómo reaccionan las personas cuando se las expone durante mucho tiempo a mensajes sobre el mismo tema (So, Kim y Cohen, 2017). Se trata entonces de un estado de agotamiento que surge por exceso, repetición y monotonía, y que lleva a que las personas empiecen a ignorar el mensaje. En investigaciones posteriores se comprobó que la fatiga de mensajes socava la fuerza de persuasión por dos vías: por resistencia activa, en la que las personas se oponen al mensaje, y por desconexión pasiva, en la que sencillamente dejan de prestar atención (Kim y So, 2018). Lo inquietante es que el exceso no solo elimina el efecto, sino que puede hacer la acción deseada incluso menos probable que si no se hubiera comunicado nada. Se han descrito efectos similares en la divulgación sobre clima y salud, donde demasiado del mismo mensaje reducía precisamente la disposición a participar.

En el contexto de la seguridad esto ha recibido un nombre propio. Investigadores del NIST se toparon en entrevistas con lo que llaman fatiga de seguridad, un cansancio y una falta de voluntad para seguir ocupándose de la seguridad (Stanton et al., 2016). Las personas se sentían bombardeadas con advertencias del tipo «cuidado con esto» y «cuidado con aquello», y reaccionaban a ello con resignación, una sensación de pérdida de control, la minimización de los riesgos y la evitación de decisiones. Por eso los investigadores recomiendan mantener lo más reducido posible el número de decisiones de seguridad que se pide a las personas.

Estos mecanismos confluyen en una idea económica sobria, el presupuesto de cumplimiento. Beautement, Sasse y Wonham mostraron que las personas siguen las reglas de seguridad solo hasta cierto punto, tras el cual la disposición disminuye (Beautement, Sasse y Wonham, 2008). Hay, en otras palabras, una cantidad finita de atención y colaboración disponible, y por encima de ese límite cada exigencia adicional resulta más perjudicial que útil. Cada cartel y cada correo cuesta algo de ese presupuesto. Quien sigue emitiendo sin contar esos costes agota su reserva y no le queda nada para el momento en que de verdad importa.

04 · EnfoqueDe la campaña al programa

Si comunicar es una sola palanca y no un programa, y si más de lo mismo en un momento dado resulta contraproducente, de ello se deriva otra manera de trabajar. La clave está en tratar la comunicación como una parte de un programa que dirige el comportamiento, y no como el programa en sí.

1. Trata la comunicación como una sola palanca dentro de un ciclo gestionado.Da al programa un ciclo de vida en lugar de una agenda de mensajes sueltos: fija objetivos, ajusta el contenido a roles y públicos, mide el efecto y haz ajustes (NIST SP 800-50r1, 2024). Una campaña es entonces un instrumento dentro de ese ciclo, y no su broche final.
2. Diseña para el comportamiento en lugar de para la visibilidad.Pregúntate en cada intervención qué parte del comportamiento influyes. Un solo mensaje afecta a lo sumo al conocimiento, mientras que el comportamiento exige también motivación y oportunidad (Michie, van Stralen y West, 2011). Procura, por tanto, que el comportamiento seguro no solo sea conocido, sino también atractivo y fácil de realizar.
3. Varía la forma para contrarrestar la habituación.No repitas sin fin el mismo cartel o correo, porque es justamente eso lo que hace que la atención se relaje. Varía la forma, el canal y el enfoque, de modo que el mensaje se advierta de nuevo cada vez (Anderson et al., 2015; Vance et al., 2018).
4. Respeta el presupuesto de atención y de cumplimiento.Opta por mensajes menos numerosos pero más específicos y bien sincronizados, y limita el número de decisiones que pides a las personas (Stanton et al., 2016; Beautement, Sasse y Wonham, 2008). Cada mensaje innecesario cuesta una parte de una reserva que conviene guardar para el momento en que importa.
5. Mide el comportamiento y el efecto en lugar del número de mensajes.No cuentes cuántos carteles había o cuántos correos salieron, sino fíjate en lo que las personas hacen realmente, como notificar mensajes sospechosos. Que una habilidad así, el reconocimiento del phishing, no mejore por sí sola con la mera exposición lo desarrollamos en El Problema de la Atención. Conforme a la directiva NIS2, velar por un comportamiento resiliente es además una responsabilidad del órgano de dirección, y lograr que esa dirección se implique es una tarea en sí misma, como mostramos en El problema de respaldo. Esa responsabilidad se sustenta mejor con cifras de comportamiento que con un recuento de comunicaciones.

05 · ConclusiónLa visibilidad es un comienzo, no un programa

Una campaña de comunicación es algo esencialmente distinto de un programa de comportamiento. La visibilidad dirige la atención, pero no enseña ninguna habilidad y por sí misma no dirige el comportamiento. Un programa combina esa visibilidad con la formación, con atención a la motivación y la oportunidad, con la medición y con el ajuste, y lo hace como un ciclo gestionado en lugar de como una serie de mensajes sueltos. Quien equipara ambas cosas confunde una capa con el conjunto.

Y comunicar pierde su efecto en cuanto la repetición hace que la atención se relaje y la fatiga se impone. Por la habituación la respuesta cae ya tras la segunda exposición, por la fatiga de mensajes la repetición puede incluso resultar contraproducente, y el presupuesto de atención y de cumplimiento es, sencillamente, finito. La pregunta acertada no es, por tanto, si se ha comunicado mucho, sino si el comportamiento y la cultura han cambiado de forma duradera. La visibilidad es en ello un comienzo, y no un programa.