1.4.-Concienciación y formación

4.1.1 Ejemplo de Plan de Formación y Concienciación en Ciberseguridad¶

La formación y concienciación complementan las medidas técnicas de seguridad, permitiendo que los empleados sean un eslabón fuerte en la protección de la organización. Todas la medidas de seguridad, como cortafuegos, antivirus o sistemas de detección de intrusos, políticas de seguridad, etc., pueden ser inútiles si los empleados no están formados y concienciados en ciberseguridad.

Ciclo Plan de Formación y Concienciación

Ejemplo del índice de un Plan de Formación y Concienciación en Ciberseguridad¶

No pretende ser un índice exhaustivo, sino una guía para estructurar un plan de formación y concienciación en ciberseguridad en un entorno corporativo. El objetivo es abordar los riesgos identificados mediante contenidos formativos y estrategias adaptadas a cada grupo, con ejemplos prácticos y metodologías dinámicas.

1. Introducción¶

1.1. Justificación del Plan¶

Resultado esperado: Explicación clara del propósito del plan, destacando la importancia de la formación y concienciación en ciberseguridad para proteger los activos digitales y minimizar los riesgos.

1.2. Objetivos del Plan¶

Resultado esperado: Definición de objetivos generales y específicos, como fomentar una cultura de seguridad, reducir incidentes y mejorar el cumplimiento normativo.

1.3. Alcance del Plan¶

Resultado esperado: Delimitación de qué áreas, roles y niveles de la organización están incluidos en el plan, especificando también cualquier exclusión.

2. Diagnóstico Inicial¶

2.1. Evaluación de Necesidades Formativas¶

Resultado esperado: Identificación de brechas en conocimientos, áreas críticas y prácticas actuales. Activos en riesto (documentación importante). Uso de formularios para encuestas y cuestionarios iniciales.
Formulario sugerido: Preguntas como: "¿Sabes identificar un correo de phishing?" o "¿Cómo crearías una contraseña segura?".

2.2. Análisis de Riesgos y Amenazas¶

Resultado esperado: Identificación de las principales amenazas a las que se enfrenta la organización.
Herramientas: Matrices de riesgos y ejemplos de amenazas reales relacionadas con roles específicos.

2.3. Segmentación de Empleados por Roles y Niveles¶

Resultado esperado: Clasificación de empleados según sus responsabilidades y conocimientos previos.
Tabla sugerida:

Rol	Nivel de conocimientos	Principales riesgos
Técnico de TI	Avanzado	Gestión de vulnerabilidades, respuesta a incidentes
Administrativo	Básico	Phishing, contraseñas débiles
Gerente	Intermedio	Toma de decisiones ante incidentes

3. Diseño del Plan de Formación y Concienciación¶

3.1. Definición de Contenidos Formativos¶

Resultado esperado: Listado de temas clave, adaptados a los roles y riesgos identificados.
Ejemplo de contenidos:
- Básicos: Phishing, uso de contraseñas seguras, políticas de mesa limpia, protección de dispositivos. Entrega de pequeñas guias.
- Avanzados: Gestión de firewalls, análisis de vulnerabilidades, uso de VPN.

3.2. Asociación de Roles, Contenidos y Materiales¶

Resultado esperado: Tabla que relacione cada grupo con los contenidos y materiales correspondientes.
Tabla sugerida:

Rol/Grupo	Contenidos	Materiales
Administrativos	Phishing, políticas de mesa limpia	Infografías, simulaciones
Técnicos	Gestión de incidentes, firewalls	Talleres prácticos, manuales
Comerciales	Uso seguro de Wi-Fi, 2FA	Guías digitales, videos

3.3. Metodologías Formativas¶

Resultado esperado: Selección de metodologías adecuadas para cada grupo, como talleres, simulaciones, módulos online y jornadas presenciales.

4. Ejecución del Plan¶

4.1. Cronograma de Actividades¶

Resultado esperado: Planificación detallada con las fechas y objetivos de cada actividad formativa.
Ejemplo de cronograma:

Fecha	Actividad	Objetivo
Enero (Semana 1)	Evaluación inicial	Medir conocimientos actuales
Febrero (Semana 2)	Taller de phishing para administrativos	Reconocer correos maliciosos
Marzo (Semana 3)	Simulación de ransomware para técnicos	Evaluar respuesta a incidentes

4.2. Distribución de Materiales¶

Resultado esperado: Detalle de los canales y métodos de entrega de los materiales (correo, intranet, impresiones en espacios comunes).

4.3. Roles en la Ejecución¶

Resultado esperado: Definición de responsables para cada actividad, como instructores internos, proveedores externos o líderes de equipo.

5. Evaluación del Plan¶

5.1. Métricas de Evaluación¶

Resultado esperado: Lista de indicadores clave para medir el éxito del plan, como:
- Tasa de participación en formaciones.
- Resultados en simulaciones de phishing.
- Reducción en incidentes reales reportados.

5.2. Formularios de Evaluación¶

Resultado esperado: Herramientas para recopilar datos sobre el impacto del plan, como:
- Encuestas de satisfacción.
- Cuestionarios post-formación.

5.3. Revisión de Resultados¶

Resultado esperado: Informe consolidado con los resultados de las métricas y recomendaciones para mejorar.

6. Mejora Continua y Actualización¶

6.1. Revisión Periódica¶

Resultado esperado: Plan para actualizar los contenidos y métodos según amenazas emergentes y resultados obtenidos.

6.2. Integración de Sugerencias¶

Resultado esperado: Incorporación de comentarios y retroalimentación de los empleados para refinar el plan.

6.3. Preparación para Nuevas Amenazas¶

Resultado esperado: Plan de contingencia para incluir temas emergentes, como ataques de inteligencia artificial o deepfakes.

Contenido esperado al completar el plan¶

Formularios: Encuestas iniciales y de evaluación, pruebas de conocimiento.
Tablas: Relación de roles con contenidos y materiales; cronograma detallado.
Cronograma: Fechas claras para la ejecución de cada actividad formativa.
Materiales: Guías, infografías, Presentaciones, Posters, Videos, etc.
Informe de evaluación: Métricas clave y análisis de resultados.
Plan de actualización: Estrategias para mantener el plan relevante y efectivo.

Índice Adaptado para un Plan de Formación y Concienciación en un Instituto de Enseñanza Secundaria¶

Este índice es un ejemplo de como se podría a justar a las necesidades específicas de un instituto, teniendo en cuenta las preocupaciones de alumnos, profesores y familias. El objetivo es abordar los riesgos identificados mediante contenidos formativos y estrategias adaptadas a cada grupo, con ejemplos prácticos y metodologías dinámicas.

No pretende ser un índice exhaustivo, sino una guía para estructurar un plan de formación y concienciación en ciberseguridad en un entorno educativo.

1. Introducción y Contexto¶

1.1. Justificación del Plan¶

Contenido esperado: Explicación de los riesgos específicos en el ámbito educativo (uso excesivo del móvil, ciberbullying, pérdida de contraseñas) y cómo afectan a alumnos, profesores y familias. En general aquello que han trasladado las responsables, respecto a sus precoupaciones.
Ejemplo: Un caso real de ciberbullying que resalta la importancia de la formación para prevenir y actuar ante estas situaciones.

1.2. Objetivos del Plan¶

Contenido esperado: Definición de objetivos específicos para cada grupo:
- Alumnos: Fomentar un uso responsable de dispositivos y redes sociales.
- Profesores: Proteger materiales críticos y datos personales de los estudiantes.
- Familias: Comprender los riesgos digitales y cómo guiar a sus hijos.
Ejemplo: “Reducir incidentes de ciberbullying en un 50% mediante talleres y campañas de sensibilización.”

1.3. Alcance del Plan¶

Contenido esperado: Delimitación de las actividades que se centrarán en cada grupo y el entorno (aulas, redes escolares, hogares).
Ejemplo: Aclarar que el plan se centrará respecto al alumnado, en el uso adecuado del movil y posibles problemas por el uso continuado de este. POr otra parte cubrirá el uso seguro de dispositivos personales y herramientas digitales de la escuela.

2. Diagnóstico Inicial¶

2.1. Evaluación de Necesidades por Grupo¶

Contenido esperado: Encuestas específicas para identificar los conocimientos, actitudes y preocupaciones de cada grupo, malas prácticas y riesgos percibidos.
Formulario sugerido:
- Alumnos: “¿Sabes qué es el ciberbullying? ¿Conoces cómo proteger tu contraseña?” "¿Cuantas horas al día usas el móvil?"
- Profesores: “¿Qué medidas tomas para proteger los documentos que usas en clase?” "¿Qué medidas tomas para proteger tus dispositivos?"
- Familias: “¿Sabes qué hacen tus hijos en redes sociales? ¿Qué preocupaciones tienes sobre el mundo digital?”

2.2. Identificación de Riesgos Específicos¶

Contenido esperado: Listado de riesgos para cada grupo, basado en las encuestas y análisis de incidentes previos.
Ejemplo:
- Alumnos: Ciberbullying, pérdida de dispositivos, huella digital.
- Profesores: Pérdida de material crítico, sesiones abiertas en ordenadores compartidos.
- Familias: Desconexión generacional, desconocimiento de plataformas usadas por los hijos.

2.3. Segmentación de Grupos y Niveles¶

Contenido esperado: Clasificación de grupos según nivel de conocimiento y riesgo.
Ejemplo:
- Alumnos: Dividir en niveles de edad (menores de 14 años vs mayores) (ESO, Ciclos.
- Familias: Diferenciar por niveles de conocimiento digital.
- Profesores: Diferenciar por niveles de conocimiento digital.

3. Diseño del Plan de Formación y Concienciación¶

3.1. Definición de Contenidos por Grupo¶

Contenido esperado: Temas específicos para cada grupo, adaptados a sus necesidades y riesgos.
- Alumnos: Uso responsable del móvil, evitar descargas ilegales, proteger contraseñas, gestionar su huella digital.
- Profesores: Protección de documentos, políticas de contraseñas, sesiones seguras en equipos compartidos.
- Familias: Cómo orientar a sus hijos, configuraciones de seguridad básica en dispositivos.
Ejemplo de contenido para alumnos: “Un taller sobre cómo identificar mensajes peligrosos en redes sociales.”