Programa de concienciación en ciberseguridad para pequeñas empresas (30 días)

Una pequeña empresa no necesita una plataforma empresarial para empezar un programa de concienciación en seguridad. Necesita un responsable, cinco temas, una forma de notificar, un ritmo mensual y un número que vigilar. Este plan de 30 días te lleva hasta ahí, con recursos gratuitos primero y opciones de pago cuando un cliente, una aseguradora o un regulador pidan pruebas.

¿Por qué necesita una pequeña empresa formación en concienciación de seguridad?

La mayoría de los ataques contra pequeñas empresas empiezan por una persona: un correo que parece la factura de un proveedor, una página de inicio de sesión que parece Microsoft 365, un aviso de MFA aprobado para que deje de aparecer. El compromiso del correo empresarial, en particular, apunta a los equipos financieros pequeños porque un único cambio de cuenta bancaria puede costar más que el beneficio de un año. Los controles técnicos ayudan, pero la persona que se detiene y lo notifica suele ser el único control que ve el ataque primero.

¿Qué marcos debería seguir una pequeña empresa?

• Guía de inicio rápido para pequeñas empresas del NIST CSF 2.0 (NIST SP 1300, febrero de 2024): una guía breve y gratuita para empresas con planes de ciberseguridad modestos o inexistentes. La concienciación y la formación están dentro de su función Proteger.
• CISA Secure Our World: cuatro pasos que enseñar a todo el mundo: usar contraseñas robustas y un gestor de contraseñas, activar la MFA, reconocer y notificar el phishing, y actualizar el software.
• NIST Phish Scale (NIST Technical Note 2276): un método gratuito para valorar lo difícil que es detectar un correo de phishing, de modo que los resultados de tus pruebas sean justos y comparables.
• La cláusula 7.3 de ISO 27001 (concienciación) y SOC 2 si los clientes lo piden: ambos esperan pruebas de que las personas recibieron formación.

¿Cuál es el plan de 30 días?

Semana	Acciones	Tiempo necesario	Resultado
Semana 1: preparación	Nombra a un responsable. Activa la MFA en el correo, la banca y las cuentas de administración. Añade un botón para notificar phishing o una dirección compartida (por ejemplo, report@tuempresa). Redacta una regla de un párrafo de «si algo no cuadra».	De 2 a 4 horas	Responsable, vía de notificación, MFA activada
Semana 2: arranque	Reunión general de 15 minutos sobre los cinco temas clave. Jugad juntos a un juego de 5 minutos, como Pick the Phish. Despliega un gestor de contraseñas si tienes uno.	30 minutos por persona	Todo el mundo ha oído las reglas una vez
Semana 3: puestos	Finanzas: verificación por llamada de vuelta ante cada cambio de datos bancarios. Administradores: MFA resistente al phishing. Mandos: cómo escalar. Envía un juego de 5 minutos sobre la fatiga de MFA.	1 hora para el responsable; 10 minutos por persona	Regla escrita de verificación de pagos
Semana 4: prueba y medición	Haz una simulación de phishing justa (anunciada en principio, no en el momento). Registra la tasa de clics, la tasa de notificación y el tiempo hasta la primera notificación. Da las gracias por su nombre a quienes notificaron solo si están de acuerdo.	2 horas	Métricas de referencia
Del mes 2 en adelante	Una lección de 5 minutos al mes, una simulación al trimestre y una nota breve a la plantilla sobre intentos reales que bloqueasteis.	30 minutos al mes para el responsable	Hábito

¿Qué temas van primero?

1. Phishing y facturas falsas: comprueba el remitente, pasa el ratón por encima de los enlaces y nunca cambies datos bancarios solo a partir de un correo.
2. Avisos de MFA que no pediste: recházalos y notifícalos. Los atacantes envían avalanchas de avisos con la esperanza de que alguien los apruebe.
3. Contraseñas: largas y únicas (CISA sugiere al menos 16 caracteres), guardadas en un gestor de contraseñas y nunca reutilizadas.
4. Actualizaciones: actualizaciones automáticas activadas y reiniciar cuando se pida.
5. Notificar: cómo notificar, y que notificar pronto un error es siempre lo correcto.

Después añade: teletrabajo y dispositivos personales, uso seguro de herramientas de IA con datos de clientes, phishing por código QR y por SMS, y llamadas con voces deepfake que piden pagos urgentes.

¿Cómo se hace una primera prueba de phishing justa?

• Primero forma y después prueba. Poner a prueba a la gente en algo que nadie le enseñó solo mide la sorpresa.
• Consigue la aprobación por escrito del propietario o del director general.
• Usa un señuelo realista pero amable: un documento compartido o un aviso de entrega, no una falsa prima, un despido o un resultado médico.
• Valora su dificultad con la NIST Phish Scale para que el resultado del próximo trimestre sea comparable.
• Quien haga clic ve una explicación amable de 1 minuto, no una advertencia.
• Comunica los resultados como porcentajes, nunca como una lista de nombres.

Herramientas: Attack simulation training de Microsoft si tienes Microsoft 365 E5 o Defender for Office 365 Plan 2; KnowBe4, Proofpoint o Hoxhunt si compras una plataforma; GoPhish (gratuito y de código abierto) si alguien con perfil técnico puede gestionarlo con seguridad.

¿Cuánto cuesta? Opciones gratuitas, de bajo coste y de pago

Opción	Ideal para	Por qué	Principal inconveniente	Precio (a octubre de 2026)
Materiales de CISA y NIST	Marco de contenidos y temas	Gratuitos, de referencia y en lenguaje claro	Sin distribución, simulación ni seguimiento	Gratis
Juegos arcade de PlayCISO	Lecciones mensuales de 5 minutos que la gente disfruta	Juegos en el navegador con decisiones y puntuación inmediata; se pueden insertar en una intranet	Sin correos de phishing ni registros de finalización	Gratis, sin cuenta
GoPhish	Pruebas de phishing con personal técnico	Kit de phishing de código abierto	Autoalojado; gestionas tú la entrega y los datos	Gratis, licencia MIT
Attack simulation training de Microsoft	Inquilinos de Microsoft 365 E5 o Defender P2	Integrado; simulaciones más formación	Se necesita licencia para cada usuario objetivo	Incluido con E5 / Defender P2
KnowBe4	Empresas que necesitan pruebas para clientes o aseguradoras	Simulaciones, biblioteca, informes, precios publicados	Compromiso de 3 años para el precio de lista	Desde 2,40 $/puesto/mes (de 25 a 50 puestos)

¿Qué deberías medir?

• Tasa de notificación en las simulaciones y en el phishing real: el número más importante.
• Tiempo hasta la primera notificación: lo rápido que alguien da la voz de alarma.
• Tasa de clics, ajustada por la dificultad.
• Cobertura de MFA en el correo, la banca y las cuentas de administración (objetivo: 100 %).
• Verificación de pagos: proporción de cambios de datos bancarios verificados por teléfono.

El checklist de 30 días

• [ ] Responsable nombrado y con 2 horas semanales asignadas durante el primer mes
• [ ] MFA activada en el correo, la banca, las nóminas y las cuentas de administración
• [ ] Botón para notificar phishing o dirección compartida configurados y probados
• [ ] Regla de un párrafo de «si algo no cuadra» enviada a todo el mundo
• [ ] Sesión de arranque de 15 minutos sobre los cinco temas clave celebrada
• [ ] Gestor de contraseñas desplegado (o elegido)
• [ ] Regla de verificación por llamada de vuelta para los cambios de datos bancarios redactada y acordada con finanzas
• [ ] Primera simulación de phishing justa aprobada, realizada y valorada por dificultad
• [ ] Tasa de notificación, tiempo hasta la primera notificación y tasa de clics de referencia registrados
• [ ] Lecciones mensuales de 5 minutos programadas para los próximos 6 meses
• [ ] Lista de contactos para incidentes preparada: soporte informático, línea de fraude del banco, aseguradora, y el checklist de respuesta al BEC en marcadores

¿Quieres adaptarlo a tu plantilla, tu plataforma de correo y tu presupuesto? El planificador de programas de concienciación en seguridad construye por ti el plan semana a semana y un calendario de lecciones de 6 meses.

Preguntas frecuentes

¿Cómo creo un programa de concienciación en seguridad para una pequeña empresa?

Elige a un responsable, cubre primero cinco temas (phishing y fraude en pagos, MFA, contraseñas y un gestor de contraseñas, actualizaciones, y cómo notificar), impártelos como lecciones mensuales breves en lugar de una sola sesión anual, haz una prueba de phishing suave después de que la gente se haya formado y mide la tasa de notificación. La guía gratuita de inicio rápido para pequeñas empresas del CSF 2.0 de NIST (SP 1300) y los pasos de Secure Our World de CISA te dan el marco de contenidos.

¿Qué temas debe cubrir la formación en concienciación de seguridad de una pequeña empresa?

Empieza por los ataques que de verdad golpean a las pequeñas empresas: el phishing y el compromiso del correo empresarial (facturas falsas y cambios de datos bancarios), la fatiga de notificaciones push de MFA, las contraseñas débiles o reutilizadas, los dispositivos sin parchear y qué hacer cuando algo no cuadra. Añade el teletrabajo y los dispositivos personales, el uso seguro de herramientas de IA con datos de la empresa y lo básico de la seguridad física, como bloquear la pantalla.

¿Cuáles son las buenas prácticas de las pruebas de phishing a empleados?

Forma antes de probar, anuncia que habrá pruebas (no cuándo), usa escenarios realistas pero justos, no uses nunca señuelos que causen angustia real (primas, despidos, sustos de salud), da comentarios inmediatos y amables a quien haga clic, agradece a quien notifique y no publiques nunca nombres. Valora la dificultad para que los resultados sean comparables y mantén la prueba aprobada por escrito por la dirección.

¿Qué plataformas de formación en seguridad se integran con Microsoft 365?

La propia Attack simulation training de Microsoft viene integrada en Microsoft 365 E5 y en Defender for Office 365 Plan 2. KnowBe4 y Proofpoint ofrecen botones para notificar phishing e integraciones con Microsoft 365. Elijas lo que elijas, configura las listas de permitidos que documenta el proveedor para que las simulaciones se entreguen.

¿Cuánto cuesta la formación en concienciación de seguridad para una pequeña empresa?

Puede empezar en cero: los materiales de CISA y NIST son gratuitos, los juegos arcade de PlayCISO son gratuitos sin cuenta y GoPhish es software gratuito de código abierto si tienes a alguien con perfil técnico. A octubre de 2026, el precio de lista publicado en EE. UU. de KnowBe4 para 25 a 50 puestos empieza en 2,40 dólares por puesto al mes (SAT Foundation, compromiso de 3 años), unos 1.440 dólares al año para 50 personas.