Nuestra posición
La persona no es el eslabón más débil.
Es la frase más repetida del sector y probablemente la más dañina. Convierte en culpable a quien abre un correo mientras hace su trabajo, y absuelve a quien diseñó un sistema que depende de que nadie se equivoque nunca.
Nadie cae por ignorante
Se cae por tener prisa. Por confiar en un remitente que parece tu jefe. Por estar haciendo cinco cosas a la vez un jueves a las seis de la tarde. El atacante no explota el desconocimiento: explota el contexto, la urgencia y la autoridad. Por eso el mejor profesional de tu plantilla también pica, y por eso la formación que consiste en enumerar amenazas no cambia nada. Reconocer una definición no es lo mismo que reaccionar a tiempo.
El objetivo no es que nadie haga clic
Es que quien lo haga lo cuente en cinco minutos. Un clic reportado enseguida es un incidente contenido; el mismo clic escondido durante dos días es una brecha. Todo lo que haga que una persona prefiera callar —el sermón, la lista de reincidentes, la sensación de haber quedado en ridículo— trabaja a favor del atacante.
Medir la tasa de clics es fácil y por eso se mide. Lo que de verdad predice el daño es el tiempo hasta el aviso.
Una plantilla que avisa deprisa protege más que una plantilla que no se equivoca nunca. Lo segundo, además, no existe.
Cumplir no es lo mismo que estar preparado
La formación obligatoria existe por buenas razones: NIS2, el ENS y la ISO 27001 la exigen porque sin ella no hay defensa que aguante. Pero un curso anual que se despacha en veinte minutos genera un certificado, no un reflejo. Sirve para la auditoría y no para el martes siguiente.
Nosotros hacemos las dos cosas —la evidencia que pide el auditor está aquí— con una convicción incómoda: si hay que elegir entre un informe impecable y una plantilla que reacciona, el informe es lo prescindible.
Poco, a menudo y en su idioma
La concienciación no es un evento, es un hábito. Se sostiene con piezas cortas, repetidas en el tiempo y ancladas en fraudes que están circulando de verdad en España, no en traducciones de casos de otro país. Y se sostiene sin miedo: quien entiende por qué algo era una trampa aprende; quien solo recuerda que le riñeron, aprende a esconderse.
Si la seguridad de una organización depende de que nadie se equivoque, esa organización ya tiene un problema. Nuestro trabajo es que equivocarse deje de ser el final de la historia.