Lo que AFAS ha aprendido sobre cómo mantener el compromiso de 700 empleados en materia de concienciación sobre seguridad

AFAS es una de las empresas más importantes del sector neerlandés de software de gestión de recursos humanos y nóminas, y la seguridad siempre ha sido una cuestión que la empresa se toma muy en serio.

Sin embargo, la forma en que AFAS y Guardey entraron en contacto por primera vez fue un poco inusual. Un cliente común estaba llevando a cabo una simulación de phishing con Guardey y utilizó una plantilla de phishing basada en AFAS. Algunos empleados que recibieron el correo electrónico de phishing simulado no lo comunicaron a su propio equipo de TI o de seguridad. En su lugar, se pusieron en contacto directamente con AFAS para advertirles de que se estaban enviando correos electrónicos sospechosos en su nombre.

Para AFAS, en un primer momento eso parecía un auténtico incidente de seguridad.

Esto dio lugar a las primeras conversaciones entre AFAS y Guardey y, finalmente, a una forma de sortear el uso de AFAS en las simulaciones de phishing. Además, abrió la puerta a un debate más amplio sobre la concienciación en materia de seguridad. Poco después, AFAS adoptó el programa de concienciación en materia de seguridad de Guardey para su propia organización.

Hoy en día, el programa llega a los 700 empleados de AFAS, desde los desarrolladores hasta el personal de cocina y de limpieza. Pero, tal y como explican Ignaece Bliekendaal, responsable de seguridad de la información (CISO) de AFAS, y Rik ten Wolde, que trabaja en marketing y comunicación interna, poner en marcha un programa de concienciación sobre seguridad es solo el principio. Conseguir que las personas participen y darles una razón para seguir participando requiere una atención activa por parte de la propia organización.

Más allá de la formación anual en materia de seguridad

Antes de Guardey, AFAS contaba con un sistema de sensibilización en materia de seguridad que a muchas empresas les resultará familiar: una formación o un seminario web obligatorio aproximadamente una vez al año, complementado con actualizaciones ocasionales cuando ocurría algún hecho relevante.

«La gente nunca se implica realmente de forma activa en ese sentido», explica Ignaece. «En ese momento piensan: “Sí, la seguridad es importante, tienes razón”. Una semana después, esa sensación se ha desvanecido, y al año siguiente casi se puede volver a contar la misma historia».

En aquel momento, AFAS ya estaba invirtiendo de forma significativa en resiliencia digital. La empresa había implantado varias capas técnicas de defensa para limitar el impacto de los errores humanos. Por ejemplo, se exigía a los empleados que utilizaran un gestor de contraseñas y solo podían acceder a las aplicaciones de la empresa desde sistemas gestionados por AFAS. Sin embargo, la concienciación en materia de seguridad aún no había recibido la atención que merecía.

A medida que la empresa crecía, ese cálculo empezó a cambiar.

«Te conviertes en un objetivo más importante, más relevante para ciertos grupos», afirma Ignaece. «Incluso tenemos que tener en cuenta la posibilidad de que haya actores estatales interesados en nosotros. Eso cambia las reglas del juego y justifica la necesidad de implicar realmente a los empleados en materia de ciberseguridad».

Eso era lo que le atraía del enfoque de Guardey: en lugar de basarse en una única gran sesión de formación anual, los empleados se enfrentan a temas de seguridad de forma repetida a través de pequeños retos.

«Si haces algo diez mil veces, acabas dominándolo. Eso es cierto en el deporte profesional, y creo que también lo es en este caso. La repetición es, en realidad, la única forma de crear un hábito».

Un lanzamiento basado en la forma en que AFAS ya se comunica

AFAS no presentó Guardey simplemente con un correo electrónico en el que se anunciaba que los empleados tenían que completar otra formación. En su lugar, la empresa utilizó su «Culture Half Hour», un programa en línea que AFAS graba en su propio estudio y difunde por toda la organización. Ese formato ya existente se convirtió en una de las principales formas de presentar Guardey.

Y, en lugar de empezar con una explicación sobre la plataforma, AFAS comenzó con algo que había ocurrido realmente. Un desarrollador recién contratado había caído en una trampa de phishing. A pesar de tener conocimientos técnicos y de pensar que sabría reconocer algo así, a él también le había pasado. Aceptó hablar abiertamente sobre la experiencia durante la «Media hora de cultura».

Esto proporcionó a AFAS una forma mucho más cercana de presentar el programa. El phishing ya no era un escenario de seguridad abstracto. Era algo que le podía pasar a cualquier persona de la empresa, incluso a alguien con conocimientos técnicos.

AFAS reforzó la puesta en marcha a través de su intranet y otros canales internos. La idea era sencilla: para que la concienciación sobre la seguridad se convirtiera en parte de la rutina de las personas, los empleados primero tenían que comprender por qué era importante.

Encontrar un incentivo que realmente interesara a los empleados

La comunicación fue solo una parte del lanzamiento. AFAS también quería aprovechar el espíritu competitivo de Guardey para dar a los empleados un motivo adicional para participar. Esto planteó una pregunta que parece sencilla, pero que acabó siendo fundamental para su estrategia:¿qué es lo que realmente querrían ganar los empleados de AFAS?

El equipo barajó incentivos habituales, como tarjetas regalo, AirPods y iPads. Pero un premio más caro no tiene por qué ser automáticamente más motivador.

«En realidad, no sabes si la gente está esperando eso», explica Rik. «El premio puede ser caro sin que sea algo que la gente quiera».

Así que, en lugar de empezar con una lista de premios, AFAS se fijó en lo que ya se comentaba entre el personal de toda la organización. En aquel momento, se trataba del próximo viaje anual de la empresa. Como AFAS ya había reservado todo un hotel para el viaje, algunas habitaciones eran, como es lógico, más lujosas que otras. Una de las habitaciones más bonitas, equipada con jacuzzi, se convirtió en el premio principal del concurso de Guardey.

«No nos supuso ningún gasto adicional», explica Rik. «Esas habitaciones ya formaban parte del hotel que habíamos reservado. Solo tuvimos que decidir que una de ellas fuera el premio, en lugar de sortearla al azar».

El resultado fue una tasa de participación en el lanzamiento de casi el 90 %. La lección que extrajo AFAS no fue que todos los programas de concienciación sobre la seguridad necesiten un premio espectacular, sino que un incentivo funciona mejor cuando está relacionado con algo que ya importa a los empleados.

Dar a más gente un motivo para seguir en el juego

La primera medida de incentivo funcionó bien, pero AFAS también descubrió por qué la implicación no es algo que se pueda diseñar una vez y luego dejar de lado. Al cabo de unas diez semanas, la participación empezó a disminuir. Con un único premio importante en juego, los empleados que ya no creían que pudieran alcanzar el primer puesto tenían menos motivos para seguir compitiendo. Por eso, AFAS amplió las formas en que se podía recompensar a los empleados.

En lugar de centrarse únicamente en quien obtuviera la puntuación más alta, introdujeron una recompensa por equipos, con un límite de equipaje adicional para el grupo que lograra el mejor resultado colectivo. También se otorgaron recompensas por la regularidad y al empleado que mostrara la mayor mejora entre dos temporadas.

Esa última categoría era especialmente importante.

«En realidad, no buscamos al desarrollador que ya está en lo más alto de la clasificación, porque normalmente a ese ya le irá bien de todas formas», explica Ignaece. «Intentamos llegar también a los demás grupos».

Esto incluye a los compañeros de los equipos de cocina y limpieza de AFAS, que tienen mucho menos contacto con los ordenadores en su trabajo diario y no tienen necesariamente acceso a sistemas confidenciales. Pero eso no significa que la concienciación sobre la seguridad no sea relevante para ellos.

«No se trata solo de vuestro trabajo», les dice Ignaece a los empleados que se preguntan si un tema tiene que ver con su puesto. «También se trata de vosotros como personas, de vuestra propia situación y de ser conscientes de cómo gestionáis las cosas».

Esa filosofía ya formaba parte del enfoque de AFAS respecto a la resiliencia digital antes de la llegada de Guardey. Por ejemplo, no solo se espera que los empleados utilicen un gestor de contraseñas en el ámbito profesional, sino que también se les ofrece la oportunidad de utilizarlo en su vida privada. La seguridad se considera algo de lo que los empleados pueden beneficiarse también fuera del ámbito laboral.

El programa Guardey es obligatorio, pero AFAS ha optado deliberadamente por no imponer la participación mediante restricciones técnicas, como bloquear el acceso a los sistemas hasta que se haya completado la formación.

«Eso funcionaría, pero no encaja con nuestra cultura», dice Ignaece. «Preferimos lograrlo de una forma positiva».

Hacer que la formación sea claramente identificable como de AFAS

El mismo principio se aplica al contenido en sí. Guardey ofrece retos, campañas y plantillas de comunicación ya preparadas, pero el consejo de AFAS para otras organizaciones es que no se limiten a aceptar todo tal cual. Hay que personalizarlo.

«Eso es lo que todavía me entusiasma de verdad: la posibilidad de adaptar cada formación a tu propia organización», afirma Ignaece.

AFAS ha sustituido los ejemplos genéricos por su propio software y ha cambiado las imágenes de archivo por fotografías propias. Se trata de pequeños cambios, pero que hacen que los escenarios se parezcan más al entorno real de los empleados.

«La gente no siempre se da cuenta de que una formación les resulta realmente útil», afirma Rik. «Pero en cuanto le das tu toque personal, sí que se dan cuenta».

A AFAS le gustaría hacerlo de forma aún más sistemática. No siempre ha sido fácil encontrar tiempo dentro de la empresa para personalizar los contenidos, pero tanto Ignaece como Rik lo consideran una forma importante de lograr que la campaña de sensibilización resulte relevante, en lugar de genérica.

Lo mismo ocurre con las plantillas de comunicación, los programas de embajadores y las ideas de campaña de Guardey. Pueden servir de punto de partida, pero la organización debe decidir cómo encajan esas ideas en su propia cultura.

«Aprovecha las ideas, aprovecha las plantillas», dice Ignaece, «pero hazlas tuyas. Aplícalas a lo que realmente funciona en tu organización, no a lo que funcionó en la nuestra».

La concienciación en materia de seguridad no se gestiona sola

Tras haber superado sus primeras temporadas, AFAS sigue analizando qué medidas mantendrán el compromiso de los empleados en el futuro. El viaje de empresa supuso un gran reclamo para el lanzamiento, pero su relevancia se debió a lo que estaba ocurriendo dentro de AFAS en ese momento concreto. Es posible que el próximo incentivo tenga que ser completamente diferente.

Y esa es, quizás, la lección más útil que se puede extraer de la experiencia de AFAS hasta la fecha. La gamificación, la competición y los retos breves y recurrentes pueden proporcionar a las organizaciones las herramientas necesarias para hacer que la sensibilización en materia de seguridad resulte más atractiva. Las plantillas y las campañas ya preparadas pueden facilitar la puesta en marcha. Pero nada de eso elimina la necesidad de comprender a los propios empleados.

AFAS utilizó la historia real de un empleado porque eso hacía que el riesgo resultara tangible. Presentó el programa a través de canales a los que la gente ya prestaba atención. Vinculó la competición a algo que ya entusiasmaba a los empleados. Y cuando una forma de recompensar la participación dejó de motivar a todo el mundo, creó nuevas formas para que las personas y los equipos alcanzaran el éxito.

No existe un único incentivo, campaña de lanzamiento o plantilla de comunicación que mantenga a todos los empleados comprometidos para siempre. Las organizaciones que sacan el máximo partido a la sensibilización en materia de seguridad son aquellas que se siguen planteando la misma pregunta que AFAS:

¿Qué es lo que mejor le vendrá a nuestra gente ahora?