Si llegaste a este artículo buscando "cursos de concientización en ciberseguridad", probablemente estés en una de tres situaciones: (a) tienes una auditoría ISO 27001 encima y A.6.3 te tiene preocupado; (b) la Ley 21.663 te designó como servicio esencial y necesitas un plan de concientización ya; (c) tuviste un incidente —phishing exitoso, fuga de datos, ransomware— y el directorio pidió "que la gente esté formada". Esta guía cubre las tres.
¿Qué es exactamente un curso de concientización en ciberseguridad?
Un curso de concientización en ciberseguridad —también llamado security awareness training o plan de concientización en seguridad de la información— es contenido formativo dirigido a todo el personal de una organización para que reconozca, evite y reporte amenazas digitales en su trabajo diario.
Lo importante es la diferencia con la capacitación técnica: esa última entrena especialistas (CISO, oficiales de seguridad, administradores) en cómo implementar controles. La concientización, en cambio, está dirigida a la persona de finanzas que recibe un email del SII, al gerente que recibe una llamada falsa del banco, al operario que conecta un USB encontrado. Cubre el factor humano — que en el 90% de los incidentes según Verizon DBIR es el vector inicial.
Capacitación = formar al que diseña los controles. Concientización = formar al que los usa todos los días. Ambas se necesitan; rara vez la misma persona necesita las dos al mismo nivel.
¿Es obligatorio tener un programa de concientización en Chile?
Sí, y desde tres frentes regulatorios distintos:
- Ley 21.663 (Marco de Ciberseguridad): vigente desde abril de 2024, exige a servicios esenciales y operadores de importancia vital implementar un plan continuo de concientización con trazabilidad por colaborador. La fiscalización está a cargo de la ANCI.
- ISO 27001:2022 Control A.6.3 (Sensibilización, educación y formación en seguridad de la información): requisito para certificación. El auditor pide evidencia individual por colaborador, no listas colectivas.
- Ley 21.719 de Protección de Datos Personales: responsabiliza a la empresa por la formación de sus colaboradores en manejo de datos. Multas hasta 20.000 UTM.
Adicionalmente, marcos sectoriales como la Ley Fintech y la normativa CMF para banca tienen sus propios requerimientos. Un programa bien diseñado los cubre todos con una sola implementación.
Los 6 temas que sí o sí debe cubrir un programa en Chile
Después de varios años trabajando con empresas chilenas, este es el set mínimo no negociable. Si tu programa cubre menos, no estás formando — estás simulando que formas.
1. Phishing, smishing y vishing localizados
No basta con explicar qué es el phishing. Los ejemplos tienen que ser chilenos: correos del SII en período de Renta, alertas falsas de BCI/Banco Estado/Santander, mensajes de Correos de Chile sobre paquetes, notificaciones de AFP, comunicaciones falsas de RRHH. El cerebro reconoce patrones — si los ejemplos son de "ACME Corp" o "Wells Fargo", el aprendizaje no transfiere a la realidad.
2. Ingeniería social y deepfakes con IA
El phishing de 2026 ya no tiene errores ortográficos. La IA generativa produce textos perfectos, clona voces y crea videos sintéticos. Tu personal necesita entender que un audio de WhatsApp del "gerente general" pidiendo una transferencia urgente puede ser falso, y necesita un protocolo de verificación que no dependa del mismo canal.
3. Ransomware y respuesta a incidentes
El usuario común no tiene que saber cómo descifrar el malware — necesita saber 3 cosas: cómo se contagia (adjuntos, USB, sitios falsos), qué hacer en los primeros 10 minutos si su equipo se comporta raro (desconectar de red, no apagar, llamar a TI) y, sobre todo, no pagar nada por su cuenta.
4. Protección de datos personales
Con la Ley 21.719, este tema dejó de ser opcional. Cada colaborador que toca datos personales —en RRHH, ventas, atención al cliente, finanzas— necesita entender qué es un dato personal, qué son los datos sensibles, qué son los derechos ARCO y cuándo notificar una brecha. La consecuencia financiera de fallar aquí es directa: multas.
5. Seguridad física
Escritorio limpio, no compartir credenciales, qué hacer cuando alguien sin gafete entra a la oficina, no dejar pantallas desbloqueadas. Es el tema más subestimado y donde más se pierden datos por simple descuido.
6. Teletrabajo y dispositivos personales
El borde corporativo ya no existe. El home office expandió la superficie de ataque a cada router doméstico. Los colaboradores deben entender cómo asegurar su red, qué es una VPN, por qué no conectar el equipo corporativo al Wi-Fi del aeropuerto, y cómo proteger a su familia de estafas digitales que terminan afectando el trabajo.
Cómo armar el programa en 7 pasos
- Diagnóstico de línea base: una simulación de phishing inicial con todo el personal. Esto te da la tasa de clic real (no la que crees), identifica perfiles de alto riesgo y te da el before para medir progreso.
- Definir objetivos medibles: "reducir tasa de clic del 18% al 5% en 12 meses", "100% del personal con onboarding de seguridad completado", "reducir tiempo medio de reporte de incidentes a menos de 15 min". Sin objetivos cuantificables, el programa es un check de cumplimiento que no mejora nada.
- Segmentar por rol: la ruta de un ejecutivo no es la de un operario. ISO 27001 A.6.3 exige formación "apropiada al rol". Segmentos mínimos: ejecutivos (whaling, BEC), finanzas/contabilidad (fraude electrónico), RRHH (datos sensibles), TI (técnico avanzado), operativos (phishing básico, seguridad física).
- Elegir contenidos modulares de 40-60 minutos: la atención plena en pantalla rara vez supera los 15 minutos. Cursos divididos en misiones cortas (5-10 min cada una) tienen tasas de completación 3x más altas que cursos de 2 horas seguidas.
- Programar la cadencia anual: onboarding al ingreso + ruta de 6 cursos en el año + 4 simulaciones de phishing trimestrales + micro-cursos reactivos de 2 minutos cuando alguien cae. Esto es el patrón spaced repetition, mucho más efectivo que el curso anual masivo.
- Medir score de riesgo individual: un número 0-100 por colaborador que combina tasa de clic, tasa de reporte, completación de cursos y resultado de evaluaciones. RRHH y el CISO usan ese score para identificar quién necesita refuerzo, no para castigar.
- Iterar mensualmente con datos: el programa que no se ajusta con base en lo que pasa, no funciona. Si el equipo de ventas tiene 35% de tasa de clic en BEC, la siguiente campaña debe enfocarse en BEC para ventas, no en phishing genérico para todos.
Cómo medir si funciona
Las métricas que importan al directorio (y al auditor) están en este orden:
- Tasa de clic en simulaciones de phishing: la métrica reina. Línea base típica chilena: 13-18%. Meta a 90 días: bajar 60%. Meta a 12 meses: <5%.
- Tasa de reporte de emails sospechosos: la que realmente importa. Programas maduros suben de <10% a >40%. Más reporte = más detección temprana de incidentes reales.
- Tasa de completación de cursos: >90% es razonable; <70% indica problemas de UX, comunicación interna o de longitud del contenido.
- Score de riesgo promedio por área: identifica equipos que necesitan refuerzo focalizado.
- Tiempo medio de detección de incidentes reportados por usuario: la métrica que cierra el círculo — si la formación funciona, los usuarios detectan amenazas antes que los controles técnicos.
Para más detalle sobre métricas, lee también nuestra guía completa de Métricas de Security Awareness.
Los 5 errores que arruinan un programa de concientización
- Curso único anual sin refuerzo: la curva del olvido de Ebbinghaus muestra que se pierde el 70% del aprendizaje en 30 días sin práctica. Un curso anual masivo no genera retención.
- Contenido genérico sin segmentación: el mismo curso para el CFO y el operario de bodega no funciona. ISO 27001 A.6.3 explícitamente exige formación "apropiada al rol".
- Sin simulaciones reales: solo teoría no cambia comportamiento. Las simulaciones son lo que mide si el conocimiento se traduce en acción.
- Falta de evidencia individual: el auditor de ISO 27001 pide trazabilidad nominal con fecha, contenido y resultado. Listas de Excel colectivas son no conformidad.
- Tono punitivo cuando alguien cae: castigar al usuario que clickea un phishing simulado destruye la cultura de reporte. El que cae debe recibir un micro-curso, no un email al jefe. Reportar voluntariamente debe ser celebrado.
Lección de campo: El programa más exitoso que hemos visto en una empresa chilena (1.200 colaboradores) redujo la tasa de clic del 21% al 3% en 14 meses. La clave no fue el contenido — fue que el CEO comunicó dos veces al año que reportar amenazas era una de las 5 prioridades de cultura. Sin sponsorship ejecutivo, ningún programa funciona.
Cómo elegir una plataforma
Hay tres modelos en el mercado chileno: cursos SENCE asincrónicos (típicamente $100K CLP por persona por 40h, sin métricas individuales), consultoría boutique presencial (cara y poco escalable), o plataformas SaaS especializadas en awareness (Certisec, Smartfense via partners locales, KnowBe4 internacional).
Para 100+ colaboradores, el modelo SaaS suele ganar por:
- Costo por colaborador 50-70% menor que SENCE individual.
- Métricas e individualización automáticas (vs. Excel manual).
- Simulaciones integradas con la formación (vs. comprar dos servicios distintos).
- Reportes ISO/Ley 21.663 listos para auditoría con un clic.
- Onboarding automático para nuevos ingresos (vs. coordinar cursos presenciales).
Al evaluar, pide demo con tus datos reales (no canned). Pregunta: ¿contenido localizado para Chile? ¿integración con tu Microsoft 365 o Google Workspace? ¿reporte ejecutivo PDF? ¿registro nominal exportable? Si la respuesta a alguna es "estamos trabajando en eso", probablemente no estés viendo una plataforma madura.
Cómo lo resuelve Certisec
Certisec está diseñado exactamente para este escenario chileno: empresas que necesitan cumplir Ley 21.663 + ISO 27001 + Ley 21.719 con un solo programa. Lo que entregamos:
- 6 cursos gamificados de 40-60 min cada uno, localizados al 100% para Chile (SII, BCI, Banco Estado, Santander, AFP).
- Segmentación automática por rol al onboarding.
- Simulaciones de phishing con +200 plantillas chilenas, motor IA generativo, smishing y vishing.
- Micro-cursos reactivos automáticos de 2 minutos cuando alguien cae en una simulación.
- Score de riesgo individual 0-100 actualizado en tiempo real.
- Reportes ejecutivos PDF para directorio y reportes de cumplimiento Ley 21.663 / ISO 27001 / Ley 21.719 exportables con un clic.
- Integración Microsoft 365, Google Workspace, Azure AD; exportación a PowerBI.
¿Necesitas armar tu programa de concientización?
Te entregamos los 6 cursos + simulaciones + reportería listos para arrancar. Demo en menos de 24 horas.
Solicitar demo gratuita Ver los cursos