El punto de partida: un caballero que no iba a ganar la batalla
Cuando Elske van der Horst asumió el cargo de directora de seguridad de la información (CISO) en el Ayuntamiento de Nunspeet, se encontró con un programa de sensibilización en materia de seguridad que ya llevaba años en marcha: una pregunta cada semana, planteada por un personaje animado llamado «el Caballero», junto con varios módulos de formación en línea.
Sobre el papel, el programa parecía estar bien. En la práctica, la participación había caído hasta alrededor del 50 % y no acababa de superar ese umbral, por mucho que lo intentara Elske. Las conversaciones con los empleados dejaron claro rápidamente que el enfoque ya no se ajustaba a la organización, en un momento en el que los nuevos requisitos exigían, de hecho, un mayor compromiso con la seguridad de la información y la privacidad.
«Lo supe enseguida: no voy a ganar esta batalla contra el Caballo».
Así pues, junto con el responsable de privacidad de entonces, Elske empezó a buscar una alternativa. Analizaron el mercado con unos requisitos muy claros: no querían una formación que dependiera en gran medida del vídeo, ya que era poco probable que los empleados que trabajaban en una oficina diáfana activaran el sonido. Además, buscaban contenidos amplios que abarcaran no solo la seguridad de la información y la privacidad, sino también temas como la Ley de Inteligencia Artificial y la Ley de Gobierno Abierto.
Sin embargo, más importante que cualquier requisito concreto era una cosa: tenía que encajar con la propia organización.
Cuando Elske descubrió Guardey y se enteró de que otro municipio ya lo estaba utilizando con éxito, Nunspeet decidió poner en marcha un proyecto piloto con embajadores de diferentes áreas de la organización. Todos los que participaron se mostraron entusiasmados desde el primer momento. Para Elske, ese fue el momento en el que supo que habían dado con la solución adecuada.
Por qué este enfoque tuvo éxito
Una de las primeras cosas que llamó la atención fue lo identificable que resultaba todo. En lugar de fotografías de archivo distantes, las ilustraciones muestran a personas en situaciones que los empleados reconocen de su propia jornada laboral: mirando el móvil, sentados frente a una pantalla o enfrentándose a una situación habitual en el lugar de trabajo. A Elske también le gustó la diversidad de los personajes, con diferentes géneros y tonos de piel representados, lo que facilita que la gente se reconozca en lo que ve.
Pero lo que realmente hizo que este enfoque despegara fue el elemento lúdico.
El Ayuntamiento de Nunspeet es una organización con un espíritu competitivo innato, y eso no tardó en ponerse de manifiesto. Equipo contra equipo, compañeros más jóvenes contra los de más edad, empleados comparando puntuaciones y retándose unos a otros para no quedarse atrás. Elske ya no tenía que ir detrás de la gente ella misma, porque los propios compañeros ya se lo exigían entre ellos.
Y los empleados no se limitaron a responder a las preguntas y pasar a otra cosa. Empezaron a hablar sobre ellas.
Algunos acudieron a Elske porque no entendían por qué habían respondido mal a alguna pregunta. Otros admitieron abiertamente que habían buscado la respuesta o pedido ayuda a un compañero. Para Elske, esa era precisamente la clave. La gente reflexionaba activamente sobre el contenido, en lugar de limitarse a cumplir con otro requisito de formación.
«Somos una organización competitiva, y eso se notó desde el primer momento. Equipo contra equipo, jóvenes contra veteranos, todo el mundo comparando puntuaciones. Ya no tengo que ir detrás de nadie, los compañeros se lo hacen entre ellos. Y no se limitan a responder a la pregunta y pasar a otra cosa, sino que realmente hablan del tema».
La adopción no se produce por sí sola
El Ayuntamiento de Nunspeet puso en marcha Guardey en marzo de 2026, pero Elske sabía que el mero hecho de introducir una nueva plataforma no se traduciría automáticamente en una mayor participación.
Junto con el director de seguridad de la información (CISO), el responsable de protección de datos, el responsable de privacidad, el administrador de sistemas e incluso el coordinador municipal de la Ley de Gobierno Abierto, planificó minuciosamente la puesta en marcha. Las plantillas de comunicación de Guardey sirvieron de punto de partida, pero el equipo reescribió todo adaptándolo al tono propio del ayuntamiento y creó al menos dos momentos de comunicación a la semana en los días previos al lanzamiento.
La dirección también participó desde el principio. Cada responsable de equipo asistió a una breve presentación y se le indicó expresamente que tenía un papel que desempeñar a la hora de involucrar a sus equipos. Se pidió al equipo directivo que apoyara la puesta en marcha mediante la comunicación interna y, lo que es igual de importante, que participara personalmente.
Y luego estaba el premio.
El Ayuntamiento de Nunspeet puso en juego una barbacoa para el equipo que obtuviera más puntos. No era un premio simbólico, sino algo que la gente realmente quería ganar. La comida es un asunto muy serio en Nunspeet, así que, de repente, todo el mundo quería esa barbacoa. Los compañeros se animaban mutuamente a completar sus retos porque querían que su equipo quedara en primer lugar.
Desde entonces, el enfoque ha evolucionado. En lugar de premiar cada vez al equipo con mejor rendimiento, ahora la persona con la puntuación más alta de cada equipo puede ganar un premio, lo que fomenta también una sana competencia dentro de los propios equipos.
A mitad de la primera temporada, Nunspeet añadió un pequeño aliciente: un premio de ánimo «intermedio», unas tabletas de Tony’s Chocolonely con la inscripción «Winnaar Aanmoedigingsprijs Guardey». Según Elske, un pequeño premio como ese a mitad de temporada funciona bien para que todo el mundo siga entrenando.
El gran premio ayudó a poner las cosas en marcha, pero tras la primera temporada, Elske se dio cuenta de algo más importante: los empleados necesitaban cada vez menos ánimos. Se estaba convirtiendo en una costumbre. El martes simplemente empezó a significar:«Es martes, hora de Guardey».
El resultado: la participación pasó del 50 % al 86 %
Antes de la llegada de Guardey, la participación en el municipio de Nunspeet se había estancado en torno al 50 %. Hoy en día, se sitúa en el 86 %.
Elske está muy contenta con esa cifra, sobre todo teniendo en cuenta que siempre habrá empleados que se ausenten durante períodos más largos o personal externo que solo trabaje para el ayuntamiento unas pocas horas a la semana.
Las simulaciones de phishing también muestran un cambio evidente. Durante la primera simulación, el 40 % de los empleados seguía haciendo clic. Tras una temporada con Guardey, esa cifra se había reducido al 20 %, lo que supone una mejora significativa en tan solo tres meses.
Pero el cambio más importante no se refleja necesariamente en las cifras.
En el pasado, los empleados rara vez acudían a Elske con preguntas sobre correos electrónicos sospechosos o incidentes de seguridad. Había cierta confusión sobre la diferencia entre spam, phishing, incidentes de seguridad y filtraciones de datos, y los empleados no informaban de forma activa sobre estos casos.
Ahora, sus compañeros la llaman o se acercan a su mesa para preguntarle si un correo electrónico es auténtico. Saben que pueden denunciar los mensajes sospechosos en Outlook y hablan entre ellos sobre lo que han aprendido gracias a Guardey. A veces, incluso comentan cómo están aplicando esos conocimientos en casa.
Ese momento extra de concienciación marca la diferencia para Elske. La gente se lo piensa dos veces antes de actuar, y ella se alegra de verdad cuando lo hacen. La seguridad de la información ha pasado de ser algo que se esperaba que hicieran los empleados a ser simplemente parte del trabajo diario.
Concienciación sobre la seguridad desde los niveles más altos hacia abajo
Ese cambio no se limita a los empleados.
El director de operaciones participa cada semana, y la nueva junta directiva del ayuntamiento también se ha sumado ya a Guardey. La importancia de esto quedó especialmente patente durante una campaña de phishing, cuando el Ayuntamiento de Nunspeet observó que las personas que no tenían una cuenta en Guardey obtuvieron resultados notablemente peores que sus compañeros que ya habían recibido formación.
Elske utilizó esa idea a nivel interno para reforzar un mensaje sencillo: todo el mundo debe participar, incluidos el consejo de administración y los directores. Cualquiera de nosotros puede ser el eslabón débil, y cuanto más se practique, menos probabilidades hay de caer en una trampa.
Esa implicación por parte de la dirección ha contribuido a que la concienciación en materia de seguridad se convierta en una responsabilidad compartida por toda la organización, en lugar de ser una cuestión que recaiga exclusivamente en el CISO.
«Antes de empezar a utilizar Guardey, realizamos una prueba de phishing y el cuarenta por ciento de nuestros empleados hizo clic en el enlace. Tras una temporada de retos semanales con Guardey, volvimos a realizar el mismo tipo de prueba y solo el veinte por ciento hizo clic. Eso supone una reducción a la mitad en tres meses. Fue entonces cuando supe que este enfoque realmente funciona, y no solo sobre el papel».
Aprovechar lo que funciona
El Ayuntamiento de Nunspeet está utilizando ahora los datos de Guardey para que su estrategia general de concienciación en materia de seguridad sea aún más específica.
En el caso de las simulaciones de phishing, por ejemplo, el equipo de seguridad puede utilizar plantillas específicas para los distintos grupos y analizar los resultados para detectar en qué aspectos es necesario prestar mayor atención. De este modo, los equipos que tengan dificultades con un tema concreto podrán recibir una formación más específica.
Elske también sigue combinando los retos semanales de Guardey con sesiones en equipo y formación específica para puestos concretos. El objetivo no es simplemente completar la formación, sino mantener los conocimientos al día y seguir practicando situaciones con las que los empleados puedan encontrarse realmente en su trabajo.
Su consejo para otras organizaciones que estén poniendo en marcha un programa de concienciación en materia de seguridad se basa directamente en lo que funcionó en el Ayuntamiento de Nunspeet: no consideres la implementación como algo secundario. Elige un incentivo por el que la gente realmente quiera competir e involucra a la dirección desde el principio para que la concienciación no se convierta en «el proyecto del CISO».
Y recurre a embajadores de toda la organización. Estos pueden compartir sus propias experiencias con sus compañeros, lo que, según Elske, suele funcionar mejor que escuchar el mensaje solo del CISO.
Cuando la seguridad se convierte en tema de conversación junto a la máquina de café
Quizá la señal más clara de progreso no se encuentre en absoluto en un panel de control. Está en la máquina de café.
Los empleados comparan sus puntuaciones, comentan las preguntas que han fallado y se recuerdan mutuamente que deben completar su reto semanal. La concienciación sobre la seguridad se ha convertido en un tema que los compañeros tratan entre ellos, en lugar de algo que Elske tenga que insistir constantemente.
Hoy en día, es más probable que la conversación junto a la máquina de café gire en torno a si ya has completado el reto de Guardey o qué te ha parecido esa pregunta tan complicada.
Y eso es precisamente lo que Elske quiere que sea la concienciación sobre la seguridad: parte de la conversación, parte de la jornada laboral y algo de lo que toda la organización se haga responsable de forma conjunta.
«El cambio más importante no está en un panel de control, sino en mi escritorio. Antes de Guardey, nadie me preguntaba nunca si un correo electrónico parecía legítimo. La gente ni siquiera sabía distinguir entre el spam y un incidente de seguridad real. Ahora, los compañeros se pasan por mi mesa o me llaman para consultar antes de hacer clic, y hablan entre ellos sobre lo que han aprendido, a veces incluso sobre cómo les ayuda también en casa».
¿Te gustaría saber cómo sería una participación del 86 % en tu organización? Reserva una demostración y te lo explicaremos paso a paso, o empieza una prueba gratuita y compruébalo por ti mismo.
