Cyber Guru Awareness es un programa educativo basado en metodologías de formación avanzadas con técnicas de aprendizaje digital que resultan especialmente eficaces para adultos.

CGA ha sido diseñado para involucrar a toda la organización en un proceso de aprendizaje educativo y estimulante, que se caracteriza por un enfoque de entrega constante y gradual:

• la formación requiere solo unos minutos a la semana por parte del participante, pero el recorrido está dividido en 3 años (Cyber School), lo que mantiene alta la atención del alumno cada vez que interactúa con tecnologías digitales;

• al finalizar los primeros 3 años (Cyber School), el usuario puede ser invitado opcionalmente a certificar sus competencias con una sesión de prueba compuesta por 50 preguntas, necesaria para la emisión de un certificado que se obtiene respondiendo correctamente al 60% de las preguntas;

• a partir del cuarto año, el usuario es acompañado en un entorno de mantenimiento y actualización de competencias cibernéticas a través del entorno Cyber Campus, donde la plataforma ofrece objetos formativos interactivos;

• las lecciones están disponibles en formato multimedia, con la posibilidad de acceder a los contenidos en formato vídeo (método principal) y en formato texto;

• el acceso es posible desde diferentes tipos de dispositivos (PC, smartphone, tablet) y en cualquier horario;

• el lenguaje utilizado es divulgativo, pensado para ser efectivo con personal que tiene diferentes niveles de conocimiento sobre temas de Ciberseguridad;

• cada vídeo lección incluye pruebas para evaluar el nivel de aprendizaje;

• los objetos formativos interactivos están diseñados para generar un feedback de “refuerzo” o de “reorientación” con el objetivo de mantener el conocimiento con el mínimo esfuerzo por parte del usuario;

• todos los recorridos incluyen gamificación con premios y reconocimientos, lo que estimula el aprendizaje y recompensa el esfuerzo de los alumnos, independientemente de su nivel inicial;

• existe la posibilidad de agrupar a los usuarios en equipos, fomentando una competencia sana y reduciendo así la necesidad de intervenir con acciones adicionales para incentivar la participación;

• siguiendo una lógica de eficiencia en los procesos cognitivos, cada módulo formativo es auto-contenido y aborda un tema específico;

• los módulos formativos se entregan mensualmente y constan de 3 lecciones con sus respectivas pruebas y documentos de apoyo y profundización;

• los objetos formativos son entregados automáticamente por la plataforma, manteniendo un compromiso mensual constante de aproximadamente 15/30 minutos al mes.

Figura 1 - Video lección con actores coach.

La solución gestiona de forma altamente automatizada el plan de estudios para cada usuario, trasladando así al contexto de la formación a distancia la aplicación de los principios clave del aprendizaje que determinan su éxito en los entornos tradicionales de escuelas y universidades. Aplicando conceptos consolidados en andragogía y en la Teoría de la Carga Cognitiva desarrollada por John Sweller, todos los contenidos y conceptos formativos se presentan en una secuencia óptima que reduce el efecto de fatiga para obtener el máximo rendimiento de los mecanismos de memorización del ser humano.

Explorando con mayor detalle los objetos formativos que caracterizan el Cyber Campus, estos se distinguen por un nivel de engagement superior al de la Cyber School, surgido de la necesidad de tener en cuenta la importancia de los aspectos motivacionales en un contexto de formación continua que se extiende a lo largo de los años.

Se trata de objetos formativos que desarrollan un modelo de formación “activa”, con una experiencia de acceso a los contenidos caracterizada por un alto nivel de interactividad.

Estos objetos formativos pueden clasificarse en dos macrocategorías:

• Objetos formativos de mantenimiento y reorientación del conocimiento, cuyo objetivo es “entrenar la memoria” y que, por tanto, deben ofrecer al alumno una experiencia más activa que la vivida en la Cyber School.

• Objetos formativos de actualización, que deben entenderse como objetos con un enfoque didáctico similar al de los módulos formativos de la Cyber School, aunque presentados de forma más “ligera” y “vertical” respecto a los propios módulos.

Los objetos formativos de mantenimiento se caracterizan por algunos puntos clave:

• la experiencia del usuario prioriza la interactividad sobre el consumo de contenidos didácticos, aunque estos siguen estando presentes;

• cualquier interacción genera un feedback, que se convierte en la principal herramienta formativa;

• se genera un feedback de “refuerzo” cuando la interacción es correcta, y un feedback de “reorientación” cuando la interacción es incorrecta o parcialmente correcta;

• independientemente de la calidad de las interacciones realizadas, la carga formativa de un objeto formativo se mantiene homogénea para todos, proporcionando siempre un resultado concreto desde el punto de vista del aprendizaje;

• el acceso interactivo permite crear objetos formativos más orientados al Learning by Doing, simulando situaciones reales y evaluando la reacción conductual;

• los mecanismos de gamificación, que en la Cyber School estaban limitados a los resultados de las pruebas, ahora forman parte directa de la experiencia de aprendizaje, implementando un mecanismo de Game-based Learning.

Los objetos formativos se clasifican además según las principales temáticas relacionadas con la CSA:

• Ingeniería Social

• Autenticación

• Privacidad y Protección de Datos

• Malware

• Comportamiento

Los objetos formativos desarrollados se pueden resumir en tres tipos:

• WarmUp - objetos formativos interactivos, muy “ligeros” desde el punto de vista didáctico, en la lógica del entrenamiento, recuerdan a una fase de calentamiento.

• DidActive - objetos formativos interactivos con un contenido didáctico más relevante, orientados al entrenamiento de la memoria, mediante un uso intensivo del feedback.

• Cyber Game – objetos formativos interactivos, que implementan lógicas típicas de los Serious Games y del Game-Based Learning, aunque en una experiencia de aprendizaje que sigue siendo de tipo “individual”.

En cuanto a los Cyber Game, el modelo de Serious Game elegido para el primer nivel del Cyber Campus ha sido el de las Escape Room.

Figura 2 - Ambientación inmersiva del módulo interactivo "Escape Room".

Los objetos formativos de actualización se desarrollan según un modelo que hemos llamado Cyber Insights, porque se trata de objetos muy enfocados (verticales) en un tema determinado. El desarrollo de estos objetos formativos sigue la constante evolución de las amenazas y de las principales técnicas de ataque.

Desde el punto de vista de los planes formativos, estos objetos se combinan y distribuyen a lo largo del tiempo, siempre con el objetivo de mantener una carga formativa que ronda los 15/20 minutos al mes. Dadas las especificidades de los objetos interactivos, la carga formativa de un objeto formativo se estima en base a la experiencia de uso media, calculada sobre una muestra heterogénea de usuarios.

Objetos formativos como WarmUp, DidActive y Cyber Insights están ligados por un criterio de propedéutica, por lo que será necesario completar el objeto con un determinado criterio de evaluación para pasar al siguiente. Este esquema no se aplica a los Serious Game, que se proponen como “retos” independientes.

A continuación, la lista de los 36 módulos formativos correspondientes a los primeros tres años de formación (Cyber School). Aunque cada módulo es auto-contenido, la secuencia en la que han sido organizados ha sido estudiada para producir “naturales” referencias a temas ya tratados anteriormente, reforzando así el nivel de aprendizaje y memorización de los contenidos.

El PHISHING es la técnica de ataque más común utilizada por los ciberdelincuentes y utiliza el correo electrónico como principal medio de difusión, aunque se está extendiendo rápidamente a otros canales, como los más populares servicios de mensajería y redes sociales. Es especialmente engañosa porque se basa en un truco, con el que se intenta inducir a la posible víctima a realizar una acción que permite al delincuente lanzar su ataque. Este módulo formativo proporciona los elementos clave para reconocer un ataque de PHISHING y adoptar las contramedidas necesarias. 

Uno de los pilares de la Ciberseguridad es la CONTRASEÑA, la clave de acceso a todos aquellos recursos informáticos a los que se debe garantizar un acceso seguro y privado. La gestión de las propias CONTRASEÑAS se convierte así en un elemento básico de las estrategias defensivas, tanto personales como de la organización. Este módulo formativo proporciona los elementos necesarios para una gestión segura de las CONTRASEÑAS, protegiéndolas de intentos de violación que podrían tener consecuencias desastrosas. 

Las REDES SOCIALES representan una nueva forma de socialización basada en las amplias posibilidades que la tecnología digital ofrece hoy en día. Pero al mismo tiempo también son factores de riesgo, donde se puede llegar a comprometer tanto la privacidad de las personas como la seguridad de los sistemas de las organizaciones. Este módulo proporciona los elementos clave para utilizar estas herramientas de manera consciente, protegiendo a la persona y a la organización de los riesgos que puede generar la compartición en línea de contenidos personales y profesionales. 

La introducción del nuevo reglamento europeo sobre protección de datos aumenta la sensibilidad de las organizaciones respecto a la PRIVACIDAD y la protección de datos sensibles. Más allá de los roles específicos, es importante que todos los miembros de una organización adquieran mayor conciencia sobre la protección de datos. Este módulo proporciona los elementos clave para adoptar una actitud proactiva respecto a la protección de datos y para contribuir al cumplimiento de la organización con las nuevas normas europeas.

Los DISPOSITIVOS MÓVILES, especialmente smartphones y tablets, son herramientas cada vez más críticas y representan la máxima expresión de la peligrosa superposición entre la vida personal y profesional. Este módulo proporciona los elementos clave para utilizar los dispositivos móviles, ya sean personales o profesionales, de manera consciente, promoviendo buenas prácticas que aumenten el nivel de seguridad y protección de los datos. 

Las NOTICIAS FALSAS son artículos redactados con información inventada o simplemente distorsionada, cuyo objetivo es desinformar. Son un fenómeno peligroso, que si no se controla puede tener repercusiones negativas tanto para el individuo como para las organizaciones.  El tema se trata a menudo desde el punto de vista social y político, pero también tiene una implicación directa con la Ciberseguridad. Este módulo formativo proporciona los elementos clave para reconocer una noticia falsa, activando algunos procesos de investigación que ayudan a desarrollar una actitud crítica ante cualquier información obtenida en la red. 

Todos los dispositivos USB, y en particular los dispositivos de almacenamiento, pueden convertirse en un punto crítico respecto a la necesidad de proteger información confidencial, y por esta razón suelen estar sujetos a políticas específicas. Este módulo formativo proporciona los elementos clave para reconocer todos los riesgos asociados a los dispositivos USB, especialmente los de almacenamiento, promoviendo buenas prácticas para evitar la sustracción de datos. 

El CORREO ELECTRÓNICO es una herramienta cada vez más importante, que en la vida profesional asume un papel central y especialmente crítico. A través del CORREO ELECTRÓNICO se intercambia información sensible y, por tanto, el aspecto de la seguridad no puede subestimarse. Este módulo formativo proporciona los elementos clave para proteger el correo electrónico y la información contenida en él. 

El MALWARE en general y el RANSOMWARE en particular han cobrado rápidamente notoriedad, mostrando todo su peligro. Las personas deben entender que los programas antivirus no garantizan una protección total frente a estos programas maliciosos. Este módulo formativo proporciona los elementos clave para reducir el riesgo de caer víctima de este tipo de software y para limitar las consecuencias negativas en caso de violación. 

Navegar por la WEB conlleva muchos riesgos y, en lo que parece ya una actividad cotidiana, se presentan muchos aspectos críticos. Un buen conocimiento de algunas características particulares de los sitios web y de los navegadores puede ayudar a reducir considerablemente el nivel de riesgo. Este módulo formativo proporciona los elementos clave para navegar por la WEB de forma segura. 

En la interacción con el Ciberespacio, existen algunos escenarios críticos: el uso de plataformas en la nube, los viajes de placer o de negocios, así como el uso de plataformas de comercio electrónico, tanto en el ámbito B2B como B2C. Son escenarios especialmente expuestos a la posibilidad de sufrir ataques por parte de ciberdelincuentes, con riesgos tanto a nivel individual como profesional. Este módulo busca proporcionar elementos esenciales de concienciación que ayuden a comprender las amenazas, a menudo subestimadas, que están relacionadas con estos escenarios particulares de uso de tecnologías digitales.

La ingeniería social es la madre de todas las estrategias de ataque cibernético. Es una estrategia que se basa en el engaño y la manipulación psicológica para lograr fines fraudulentos. Para hacer el ataque más efectivo, el núcleo de esta estrategia consiste en obtener información sobre la víctima elegida. Este módulo proporciona elementos de concienciación sobre las técnicas utilizadas por los ciberdelincuentes, convirtiéndose en la síntesis ideal de elementos ya tratados en módulos anteriores.

Mantener especial atención en el propio puesto de trabajo, evitando dejar información crítica o incluso sensible al alcance de personas no autorizadas, es un elemento básico para garantizar la seguridad de la información, la protección de los datos y, por tanto, el cumplimiento de las normativas de privacidad. Este módulo, además de ofrecer sugerencias prácticas, retoma conceptos como la protección de datos y la privacidad, también desde la perspectiva del RGPD.

Con la emergencia del COVID-19 y el uso generalizado del teletrabajo, entendido sobre todo como trabajo a distancia, se hace necesario centrar la atención en este tema en particular. Trabajar fuera de las “tranquilas” paredes de nuestra oficina expone a todos los usuarios a un aumento de los riesgos cibernéticos. El módulo pone el acento en los principales puntos de vulnerabilidad que se encuentran en este entorno menos protegido y cómo se pueden mitigar los riesgos con comportamientos adecuados que reflejen una mayor concienciación.

La emergencia del COVID-19 y el rápido recurso al teletrabajo han provocado un aumento acelerado en el uso de herramientas de compartición de información y colaboración, entre las que destacan especialmente las herramientas de videoconferencia; un uso que ha superado el ámbito profesional para instalarse definitivamente en el personal. Este módulo pone de relieve algunas amenazas estrechamente relacionadas con el tema de la compartición y la colaboración, reflexionando sobre la necesidad de un uso correcto de estas herramientas para preservar la privacidad y la seguridad.

Otra técnica particular de phishing que ataca a través de sistemas de mensajería como WhatsApp, Messenger, Telegram y SMS. Este módulo, a través de una serie de ejemplos concretos, busca que el usuario comprenda cómo incluso los sistemas de mensajería, que en cierto modo se consideran “SEGUROS”, pueden esconder peligros. Se destaca cómo un comportamiento inadecuado y poco atento, además de poner en peligro nuestra seguridad, también puede afectar a nuestra red de contactos.

Volvemos a hablar de phishing retomando conceptos ya tratados anteriormente, partiendo de la base de que nuestro usuario ha adquirido con los módulos previos un nivel básico de conocimiento para profundizar en algunos temas y aumentar su capacidad de reconocer un ataque de phishing. En este módulo, centrado en la necesidad de identificar un ataque de spear phishing, es decir, una técnica sofisticada que apunta a una persona o grupo específico, se hace hincapié en aquellas técnicas cuyo objetivo es recopilar información sensible mediante el engaño.

Es el más insidioso de los MALWARE, el que más daños provoca y que somete a individuos y organizaciones a un chantaje del que es difícil escapar. Los ataques de RANSOMWARE han logrado bloquear la operatividad de negocios de organizaciones enteras, que a menudo se han visto obligadas a pagar sumas significativas para recuperar el control de sus datos e información. Esta técnica es cada vez más común y agresiva, y en los últimos tiempos han aumentado los ataques graves relacionados con ella.

Este módulo profundiza en los sistemas de autenticación más avanzados, tanto para fomentar su uso donde sea técnicamente posible, con el fin de reforzar el nivel de seguridad general de personas y organizaciones, como para informar al usuario sobre las nuevas técnicas que los hackers emplean para intentar superar estos sistemas, aprovechándose del factor humano. Entre ellas, se pone el foco tanto en el llamado Sneaky Phishing, una evolución específica de las técnicas de phishing, como en la práctica del Sim Swap, con la que los delincuentes intentan obtener fraudulentamente el control del smartphone del usuario.

Estamos cada vez más interconectados y lo estaremos aún más en el futuro. La evolución tecnológica nos está llevando hacia una interconexión total, que ya no solo involucra a las personas, sino también a las cosas. Lo que hace unos años se consideraba un escenario de ciencia ficción, se está haciendo realidad ante nuestros ojos. Y esto no solo afecta al ámbito profesional, sino también al privado de los usuarios. Electrodomésticos, cámaras, dispositivos wearables, coches cada vez más inteligentes... incluso las cosas están destinadas a comunicarse cada vez más. Por un lado, la cuestión resulta fascinante, pero por otro, cada vez más inquietante. Cada dispositivo interconectado, si no se gestiona correctamente, se convierte en un punto potencial de vulnerabilidad para la seguridad. Este módulo nos explica cómo relacionarnos con este escenario, proponiendo comportamientos adecuados que no comprometan el nivel de seguridad de la persona ni de la organización.

Este módulo centra su atención en dos componentes tecnológicas necesarias para garantizar la conexión en movimiento y, por tanto, la movilidad de las personas. Son dos elementos estratégicos para la transformación digital y la innovación, pero contienen riesgos que pueden controlarse con una actitud consciente por parte de los usuarios en su uso.

La clasificación de la información es uno de los factores clave en la gestión de la seguridad de la información, pero también es uno de los menos comprendidos por los usuarios y a menudo se percibe como una imposición innecesaria. Sin embargo, hoy en día la clasificación de la información se ha vuelto fundamental para cumplir con los estándares y normativas sobre protección de datos. Este módulo, además de explicar el significado y las razones que llevan a las organizaciones a desarrollar procesos de clasificación, busca hacer comprender la importancia de adaptar nuestros comportamientos en esta dirección. Además, en este módulo se hace un enfoque especial en una categoría particular de información: la INFORMACIÓN PERSONAL IDENTIFICABLE.

Volvemos a hablar de protección de datos, con un enfoque que abarca la seguridad y, más concretamente, la privacidad y la relación con las distintas normativas de calidad y seguridad de la información, en particular con el RGPD. Este módulo puede considerarse un recordatorio “anual” del módulo de Privacidad y RGPD, en una lógica de formación obligatoria, aunque presenta contenidos originales y más avanzados respecto a los tratados en el primer nivel.

INGENIERÍA SOCIAL 2

Al final de cada nivel (anualidad) se vuelve a hablar de Ingeniería Social, es decir, de técnicas de ataque que utilizan el engaño y la manipulación psicológica como base para alcanzar sus objetivos fraudulentos. Este módulo, tomando como ejemplo algunos casos reales, proporciona más elementos de concienciación sobre las técnicas utilizadas por los ciberdelincuentes, convirtiéndose en la síntesis ideal de los elementos ya tratados en los módulos del segundo nivel.

Volvemos a hablar de privacidad profundizando en el tema y, sobre todo, destacando su valor y la importancia de protegerla. El objetivo de este módulo es proporcionar las herramientas cognitivas para comprender que el uso de tecnologías digitales, la web y las redes sociales tiene un precio en términos de pérdida de privacidad. Una actitud consciente en este ámbito nos puede permitir vivir de forma equilibrada la relación con la innovación, sin pagar un precio excesivamente alto en términos de confidencialidad.

Se habla de redes sociales para abordar una emergencia social concreta: el ciberacoso. Como siempre, nuestros módulos tienden a situarse en una doble dimensión, la personal y la profesional, a menudo muy entrelazadas. Este módulo aborda un tema que parece dedicado exclusivamente al ámbito personal, con una marcada dimensión social y cultural. Sin embargo, además de sensibilizar desde el punto de vista cultural, veremos cómo subestimar ciertos fenómenos puede tener repercusiones también en materia de seguridad, e incluso causar daños legales o de imagen a la propia organización.

En este módulo abordamos algunos aspectos legales relacionados con el uso inconsciente de las tecnologías digitales. Violación de derechos de autor, incumplimiento de normativas, uso no legítimo de software, difamación, son solo algunos ejemplos concretos del riesgo de cometer delitos que pueden tener un impacto negativo en la persona y en la organización.

En este módulo presentamos algunos casos reales de estafas ocurridas en el ámbito cibernético. El objetivo principal es favorecer el proceso de concienciación, mostrando lo real que puede ser el peligro. En el módulo también se recordarán algunas buenas prácticas que habrían evitado convertirse en víctima de una estafa.

En este módulo se pone el acento en los llamados ataques combinados, que prevén la interacción entre técnicas cibernéticas y técnicas más tradicionales como la clásica llamada telefónica. Estas formas de ataque son especialmente insidiosas, porque tienden a romper la desconfianza que algunas personas están desarrollando hacia las comunicaciones electrónicas y a reforzar ese sentido de presión y urgencia que a menudo es la principal palanca para que la víctima cometa un error.

La seguridad física también contribuye a garantizar la protección de las personas y las organizaciones. Por seguridad física entendemos el conjunto de medidas necesarias para prevenir accesos no autorizados a locales, recursos o información. Aunque la seguridad física dentro de las organizaciones está sujeta a normativas específicas, en este módulo se destacan reglas generales y buenas prácticas para reducir los riesgos relacionados con la violación de barreras físicas.

Este módulo centra la atención en un tema que solo se había introducido en el primer nivel formativo. Es un tema especialmente delicado, porque los riesgos aumentan, así como la magnitud de los posibles daños, cuando una actividad está directamente relacionada con un flujo de dinero, como en el caso del comercio electrónico. Abordamos el tema de forma integral, considerando los distintos tipos de comercio electrónico, desde los B2C hasta los B2B, que tienen mayor impacto en la organización.

Este módulo centra la atención en un tema que solo se había introducido en el primer nivel formativo. El tema se refiere a las vacaciones y los viajes de trabajo, porque nuestra vulnerabilidad cibernética siempre aumenta cuando nos enfrentamos a una situación de este tipo. Abordamos el tema tratando de cubrir todo el ciclo del viaje, desde la planificación hasta el regreso a casa o a la oficina, observando todos los riesgos que se presentan en cada una de las fases.

Mantener los dispositivos en un correcto estado de higiene ayuda a obtener mejores resultados en términos de productividad, pero sobre todo implica una reducción de los riesgos para la seguridad de la información. Siempre debemos mantener una estrategia de mantenimiento adecuada de los dispositivos, que incluya también el cuidado del contenido, es decir, de los datos. Este módulo proporciona una serie de buenas prácticas sobre cómo mantener una correcta higiene de nuestros dispositivos y, sobre todo, un control sobre los datos a los que se puede acceder a través de ellos.

Tener una estrategia adecuada de respaldo y recuperación de datos permite a las personas, y por ende a las organizaciones, protegerse del riesgo de sufrir daños ante un ataque cibernético exitoso. Este módulo busca crear conciencia sobre lo que puede considerarse, a todos los efectos, una herramienta de defensa que nos ayuda a evitar que nuestro dispositivo sea objeto de un secuestro, como ocurre en los casos de ataques de ransomware, o que nos encontremos en la situación de haber perdido datos importantes debido a un simple fallo tecnológico.

Toda la formación está centrada en las buenas prácticas, entendidas como comportamientos responsables que ayudan a reducir los riesgos cibernéticos. Este módulo resume el concepto destacando 12 buenas prácticas que realmente pueden ayudar a disminuir el riesgo cibernético.

Al final de cada nivel (bloque de 12 módulos) se vuelve a hablar de ingeniería social, es decir, de técnicas de ataque que utilizan el engaño y la manipulación psicológica como base para lograr sus fines fraudulentos. Este módulo, tomando como referencia algunos ejemplos reales, aporta más elementos de conciencia sobre las técnicas que utilizan los ciberdelincuentes, convirtiéndose en la síntesis ideal de los temas ya tratados en los módulos del tercer nivel.