La guía definitiva para security awareness para 2026

La formación en concienciación sobre seguridad es una formación estructurada que enseña a los empleados a reconocer, evitar y notificar las amenazas cibernéticas con las que se encuentran en el trabajo. Durante años, era algo que hacían las organizaciones sensatas. En 2026, pasó a ser algo que muchas de ellas están obligadas a hacer por ley.

La NIS2, la directiva europea sobre ciberseguridad que ya se ha transpuesto a la legislación nacional en la mayor parte de la Unión, incluye la formación en ciberseguridad entre las medidas de gestión de riesgos que las organizaciones deben implantar, y responsabiliza personalmente de ello a los órganos de dirección. La Ley de IA de la UE va aún más allá: desde febrero de 2025 exige conocimientos básicos sobre IA a todas las organizaciones cuyo personal utilice la IA en el trabajo, sin ningún límite de tamaño.

Esta guía explica qué es y qué no es la formación en concienciación sobre seguridad, por qué los años 2026 y 2027 han cambiado las reglas del juego tanto para las grandes como para las pequeñas organizaciones, los cuatro formatos de formación más habituales y cuáles son las limitaciones de cada uno de ellos, y cómo cinco organizaciones neerlandesas gestionan sus programas en la actualidad.

¿Buscas una plataforma en lugar de teoría? Echa un vistazo a la formación en concienciación sobre seguridad de Guardey.

¿Qué es la formación security awareness ?

La formación en concienciación sobre seguridad es una formación estructurada que enseña a los empleados a reconocer, evitar y notificar las amenazas cibernéticas con las que se encuentran en el trabajo o en casa. Un buen programa abarca temas como el phishing, la ingeniería social, el malware, las buenas prácticas en el uso de contraseñas, el manejo seguro de los datos y la seguridad física, y se evalúa en función del cambio de comportamiento y no de los módulos completados.

El término más breve, «concienciación sobre seguridad», describe el resultado: el nivel de alerta que tienen las personas de una organización respecto a los riesgos digitales. La formación es la forma de desarrollarla. La evaluación es la forma de demostrar que se ha alcanzado, lo cual, a partir de 2026, tendrá tanta importancia como la propia formación.

Un programa puede estar vinculado a un marco específico, como la norma ISO 27001, la NIS2 o una norma sectorial, o bien puede ser de carácter general. Puede impartirse en una única sesión anual o mediante breves ejercicios repartidos a lo largo del año. Como se explica en el resto de esta guía, esa elección es más determinante para el éxito de la formación que el contenido en sí mismo.

¿Por qué es tan importante la formación en security awareness ?

En su Informe sobre investigaciones de filtraciones de datos de 2026, Verizon constató que el factor humano estuvo presente en el 62 % de todas las filtraciones, lo que supone un aumento respecto al 60 % del año anterior, y que la ingeniería social por sí sola representó el 16 %. Hacer clic en un enlace que parece fiable, reutilizar una contraseña en varias cuentas, aceptar una solicitud de autenticación multifactorial (MFA) de más: los empleados no son un eslabón débil por naturaleza, pero son el eslabón al que apuntan los atacantes, porque es el único que responde. Por eso, enseñar a las personas a reconocer y notificar las amenazas tiene tanto valor como cualquier herramienta que se pueda adquirir.

La importancia de la formación en security awareness es un tema candente desde hace años. No todos los profesionales de la seguridad la consideran necesaria, ya que creen que no se puede descartar el error humano. Creen en las medidas tecnológicas para garantizar la seguridad incluso cuando se producen errores humanos.

En Guardey, creemos en una combinación de ambas. Si bien es cierto que la formación no puede garantizar la seguridad, entendemos que la tecnología tampoco. No hay filtro de spam en el mundo que garantice que atrapará todos los correos phishing . Para el uno por ciento de phishing que consigue atravesar sus defensas tecnológicas, usted quiere que sus empleados sean conscientes de los peligros de phishing.

Hay muchas ciberamenazas que no pueden prevenirse con tecnología. Piense en la ingeniería social de la vida real, en la que una persona entra en la oficina y convence a la recepción de que es un contratista que necesita acceder a los servidores. Situaciones como ésta sólo pueden prevenirse cuando todo el mundo dentro de tu organización tiene un alto sentido de security awareness.

Por qué la formación en concienciación sobre seguridad será obligatoria en 2026 y 2027

Tres actos legislativos europeos han convertido la formación de los empleados de una recomendación en una obligación, y los plazos relevantes ya han vencido. A continuación se explica qué es lo que se aplica en este momento y a quién.

La NIS2 considera la formación como una medida de seguridad, no como una recomendación

La NIS2 sustituyó a la directiva original sobre seguridad de las redes y la información, y debía incorporarse a la legislación nacional antes del 17 de octubre de 2024. La mayoría de los Estados miembros no cumplieron ese plazo y, a mediados de 2026, la Comisión Europea había incoado procedimientos de infracción contra 23 de ellos, pero desde entonces las leyes nacionales se han ido aprobando de forma constante. La Comisión estima que aproximadamente 160 000 organizaciones de 18 sectores entran en el ámbito de aplicación de la directiva, desde la energía y el agua potable hasta la sanidad, la administración pública, el transporte y las infraestructuras digitales.

Dos artículos se encargan de ello. El artículo 21, apartado 2, letra g), enumera las prácticas básicas de higiene cibernética y la formación en ciberseguridad entre las medidas de gestión de riesgos que las entidades sujetas al ámbito de aplicación deben tener implantadas, lo que convierte la formación de los empleados de una buena práctica en un control que hay que poder demostrar. El artículo 20, apartado 2, es aún más estricto en lo que respecta a los altos cargos: se exige a los miembros de los órganos de dirección que reciban ellos mismos formación, para que puedan identificar los riesgos y evaluar si las medidas funcionan realmente. La sensibilización en materia de seguridad ha dejado de ser algo que el consejo de administración aprueba para que lo realicen otras personas. Para conocer esa obligación en concreto, véase la formación sobre la Directiva NIS II para directivos.

Las pequeñas organizaciones se ven arrastradas a través de la cadena de suministro

La NIS2 establece un umbral de tamaño. Se aplica a las entidades medianas y grandes, en términos generales aquellas que cuentan con al menos 50 empleados o una facturación de 10 millones de euros, por lo que, en teoría, la mayoría de las pequeñas empresas quedan fuera de su ámbito de aplicación. Pero la historia no acaba ahí.

El artículo 21, apartado 2, letra d), exige a las organizaciones afectadas que gestionen los riesgos de seguridad a lo largo de toda su cadena de suministro, incluidas las prácticas de sus proveedores directos y prestadores de servicios. Hay una forma práctica de hacerlo, y es incluir los requisitos en los contratos.

Así pues, a una empresa de software de quince personas que venda sus servicios a un hospital, a una empresa de energía o a un organismo público se le pedirá que demuestre que su personal está formado, aunque la directiva nunca lo mencione expresamente. La obligación no llega en forma de carta de un organismo regulador, sino a través de un cuestionario para proveedores, un anexo de seguridad en una renovación o una lista de comprobación de contratación pública con una casilla que hay que marcar antes de firmar el contrato.

Para muchas empresas más pequeñas, esto cambia por completo la perspectiva. La formación en concienciación sobre seguridad ya no se sopesa frente al riesgo de que se produzca un incidente, algo que es fácil posponer. Se sopesa frente al riesgo de perder al cliente más importante de la cartera, algo que no es tan fácil de posponer.

La Ley de IA estableció que el conocimiento de la IA es obligatorio para todas las organizaciones

El artículo 4 de la Ley de IA de la UE exige conocimientos básicos sobre IA desde el 2 de febrero de 2025, y la mayor parte de la ley entró en vigor el 2 de agosto de 2026. Esta disposición no establece ningún umbral de tamaño ni incluye una lista de sectores. Cualquier organización cuyo personal utilice la IA de forma profesional, incluidas aquellas que solo utilicen herramientas como ChatGPT o Microsoft Copilot, debe asegurarse de que dichos empleados comprendan los riesgos, las limitaciones y el uso adecuado de las herramientas con las que trabajan. Las sanciones previstas en la Ley ascienden a 15 millones de euros o al 3 % de la facturación anual global.

El efecto práctico es sorprendente: una agencia formada por dos personas que introduce datos de clientes en un chatbot está sujeta a una obligación de formación que ningún umbral de tamaño de la NIS2 habría podido detectar jamás. Actualmente, se trata del requisito de formación de empleados más amplio de la normativa europea. Lo tratamos en nuestra guía sobre formación en conocimientos básicos de IA.

Lo que nos deparará el año 2027

La Ley de Resiliencia Cibernética completa el panorama. Las obligaciones relativas a la notificación de vulnerabilidades entraron en vigor el 11 de septiembre de 2026, y sus principales obligaciones se aplican a partir del 11 de diciembre de 2027 a cualquier persona que fabrique o venda productos con componentes digitales. La ley establece su propio deber de diligencia a lo largo de la cadena de suministro y un período de asistencia técnica de al menos cinco años.

En conjunto, las directrices son lo suficientemente coherentes como para poder planificar en función de ellas. Las autoridades reguladoras han dejado de preguntar si las organizaciones han adquirido herramientas de seguridad y han empezado a preguntar si las personas que las utilizan saben cómo utilizarlas y si pueden demostrarlo cuando se les solicite. Un programa de formación que no pueda aportar pruebas resuelve solo la mitad del problema que tienes ahora.

Introducción a las ciberamenazas más comunes

Phishingvishing, smishing y quishing

Phishing es el uso de mensajes de correo electrónico para atacar a un objetivo. Los correos electrónicos Phishing simulan proceder de alguien en quien el objetivo normalmente confiaría, como un cliente o un colega, o de una entidad de confianza, como un banco o un minorista en línea. A veces, el objetivo de un correo electrónico phishing es engañar al destinatario para que descargue malware. Sin embargo, por lo general, el objetivo es obtener información confidencial, como las credenciales de acceso a un servicio bancario en línea o datos de identificación personal, como el número de la seguridad social.

El «vishing» es un ataque similar que utiliza llamadas de voz y videollamadas, mientras que el «smishing» utiliza SMS y mensajes de texto. El «spear phishing» es un ataque dirigido a una persona concreta, como un alto directivo o alguien con acceso a los sistemas informáticos. En estos casos, el pirata informático suele recurrir a la ingeniería social para que la víctima crea que el mensaje es auténtico. El «quishing» se refiere al uso de códigos QR que engañan a las víctimas para que visiten sitios web maliciosos o transfieran dinero directamente a los delincuentes.

Malware

El malware es software malicioso que difunden los ciberdelincuentes. Puede infectar ordenadores individuales y otros dispositivos, o redes enteras. Existen muchos tipos de malware. He aquí algunos ejemplos:

Virus

Los virus son programas autorreplicantes diseñados para causar daños en un sistema, borrando datos o introduciendo nuevas vulnerabilidades que puedan ser explotadas.

Caballos de Troya

Los troyanos son programas que se disfrazan de software legítimo pero causan daños en un sistema. Los troyanos suelen esconderse sin ser detectados en los sistemas informáticos durante un largo periodo de tiempo, robando información y enviándola a los ciberdelincuentes. Un tipo común de troyano es el keylogger. Registra todas las pulsaciones de teclas introducidas en un ordenador infectado, revelando potencialmente contraseñas y otra información sensible. Esta información puede utilizarse para cometer otros delitos, como el robo de datos y la usurpación de identidad.

ransomware

Otro tipo común de malware es el ransomware. El ransomware es un programa malicioso diseñado para obtener un rescate de la víctima. Normalmente, el ransomware encripta todos los archivos de un sistema informático o de una red y luego solicita un rescate a la víctima a cambio de los medios para desencriptarlos.

Los rescates exigidos suelen ser muy elevados, a veces mucho más de lo que la víctima podría pagar jamás. Incluso si se paga el rescate, no hay garantía de que el atacante facilite las claves de descifrado. En muchos casos, los archivos cifrados se pierden para siempre. En los últimos años, el ransomware ha paralizado servicios hospitalarios, detenido líneas de producción y cerrado colegios en toda Europa, a menudo tras entrar a través de un único empleado que abrió un archivo adjunto indebido.

El ransomware está en alza a escala internacional, y la cuantía de los pagos de rescate va en aumento.

Sitios web maliciosos

Los sitios web maliciosos, también conocidos como sitios de ataque, son sitios web que alojan código malicioso con la intención de engañar a los usuarios para que lo descarguen en sus dispositivos. En algunos casos, los sitios de ataque se crean con este fin específico. En otros, los ciberdelincuentes secuestran un sitio legítimo e insertan en él código malicioso. Algunos sitios, denominados sitios de ataque drive-by, ni siquiera requieren que la víctima haga clic en un enlace de descarga o interactúe de alguna manera: basta con visitar el sitio para infectar un sistema que no está protegido correctamente.

Los sitios web maliciosos también pueden imitar a los de confianza para engañar a los usuarios y hacerles introducir sus credenciales de inicio de sesión, lo que permite a los delincuentes acceder a las cuentas de las víctimas.

Ataques USB

Los soportes extraíbles, como las unidades USB, pueden utilizarse fácilmente como vector de código malicioso. En algunos casos, un delincuente puede obtener acceso físico a los dispositivos de una organización; lo más habitual es que los atacantes dejen memorias USB infectadas donde puedan encontrarlas miembros involuntarios del personal.

Es trivial para un atacante adquirir una unidad USB adornada con el logotipo de la organización objetivo, o de otra entidad de confianza como un cliente o proveedor habitual, y dejarla cerca de las instalaciones donde será recogida. Confían en que los miembros curiosos o serviciales del personal conecten la unidad USB a uno de los ordenadores de la red de la organización para comprobar su contenido. Una vez conectada, la unidad infectada puede depositar su carga de malware.

Hay que tener en cuenta que cualquier dispositivo capaz de almacenar datos puede utilizarse para este tipo de ataques, incluidos los reproductores MP3, las cámaras digitales y los smartphones. Un ejemplo reciente es Sogu, una campaña de ciberespionaje asistida por USB que se dirige a múltiples industrias.

Todos estos ataques pueden ser devastadores para una organización. Se pueden minimizar las probabilidades de sufrir un ataque de este tipo con una formación adecuada en security awareness para empleados y propietarios de empresas. Cuando el personal de una organización es consciente de los riesgos y de cómo evitarlos, pasa de ser un punto de fallo a un cortafuegos humano.

Y la lista continúa

Las ciberamenazas mencionadas anteriormente son algunas de las más frecuentes, pero los ciberdelincuentes disponen de muchos métodos para robar datos valiosos. A medida que pasa el tiempo, sus métodos mejoran y son más difíciles de detectar para el ojo inexperto. Especialmente con el aumento de la IA, los diferentes tipos de ciberamenazas parecen ilimitados.

Los diferentes tipos de formación security awareness

Existen múltiples formas de formar a sus empleados. A continuación, repasaremos algunas de las más utilizadas.

Cursos anuales

Muchas organizaciones siguen confiando en los cursos de formación anuales para preparar a su personal a hacer frente a las ciberamenazas. La formación anual de los empleados en security awareness presenta dos problemas principales. En primer lugar, el panorama de las amenazas digitales cambia constantemente. Todo el tiempo surgen nuevas amenazas, no sólo una vez al año, por lo que la formación anual queda rápidamente desfasada.

En segundo lugar, la gente no retiene la información durante un año entero. Incluso el alumno más atento no recordará todo lo que ha aprendido durante más de unos meses. Este deterioro del conocimiento significa que los conocimientos del personal serán inevitablemente menos completos con el tiempo, lo que les hará menos eficaces a la hora de evitar riesgos.

Formación presencial

La formación presencial tiene algunas ventajas sobre otros métodos de enseñanza. Crea un entorno libre de distracciones en el que los alumnos pueden centrarse en los temas específicos que necesitan comprender e interiorizar. Sin embargo, la formación en el aula tiene importantes desventajas. Hay que apartar a los alumnos de otras actividades, lo que les obliga a retrasarse en sus tareas o a renunciar a su tiempo libre.

La formación en el aula también impone a los alumnos un modelo único, que hace que algunos se sientan aburridos o poco motivados y que otros se sientan confusos ante los nuevos temas.

e-learning tradicional

El e-learning tradicional intenta reproducir el aprendizaje presencial en un entorno remoto. Las clases se imparten a través de una plataforma como Canvas o Moodle, utilizando diapositivas y otros medios. Suele haber conferencias, pregrabadas o impartidas en directo por un instructor. Aunque el e-learning tradicional es más flexible y escalable que el aprendizaje presencial, tiene algunos de los mismos inconvenientes. El aprendizaje tiende a ser pasivo, con una interactividad limitada y una participación o retención por debajo de la media.

Formación gamificada

La formación gamificada de security awareness que ofrecen proveedores como Guardey es una solución moderna. Es similar al enfoque adoptado por aplicaciones de aprendizaje de idiomas como Duolingo. En lugar de recibir una gran cantidad de información una vez al año, o clases discretas con una interacción limitada, los alumnos reciben un flujo constante de formaciones breves y fáciles de digerir.

Con Guardey, los usuarios reciben un reto semanal que tardan unos 3 minutos en completar. Durante un reto, aprenden sobre ciberamenazas como phishing, malware, contraseñas débiles e IA. Si lo hacen bien, pueden sumar puntos para la clasificación de la organización. La competición amistosa entre colegas ha demostrado mantener el interés de los usuarios.

Al gamificar la experiencia de aprendizaje, los usuarios se sienten intrínsecamente motivados para seguir jugando. Ya sea para llegar al primer puesto de la clasificación, continuar con su buena racha de semanas consecutivas jugando o simplemente para mejorar su propia puntuación.

Cómo conseguir que su organización se comprometa con la formación security awareness

Ha decidido que el aprendizaje gamificado es la solución ideal para las necesidades de formación en seguridad de su organización. Ha encontrado algunos productos excelentes que cumplen todos sus requisitos. Ahora viene la parte difícil: convencer a su organización para que adopte una nueva solución de formación.

La gente puede ser reacia a dar el paso hacia la formación en seguridad gamificada por varias razones. Tendrán que responder a muchas preguntas. ¿Qué es security awareness? ¿En qué beneficia a la organización? Las personas que ya han soportado una clase anual de ciberseguridad pueden pensar que no tienen nada que ganar con la formación continua. Los directivos y ejecutivos pueden creer que su personal es demasiado listo para dejarse engañar por un correo electrónico de phishing o un misterioso pendrive en el aparcamiento. He aquí algunas ideas que pueden ayudar a persuadir a la gente y conseguir que se suban a bordo.

Organice una semana security awareness : un evento divertido y atractivo en security awareness puede ayudar a que la gente se entusiasme con la ciberseguridad y tenga ganas de saber más.

Realice una simulación de spear phishing: una simulación realista de spear phishing dirigida a personas clave puede ayudar a demostrar que cualquier miembro de su organización podría ser vulnerable.

Contrate a un orador invitado: Un orador experto puede ayudar a que la gente se acerque a tu punto de vista de forma más eficaz que la información abstracta. Puede ser una víctima de la ciberdelincuencia, un experto en seguridad o incluso un hacker ético de "sombrero blanco".

Cómo forman las organizaciones neerlandesas security awareness

He aquí algunos ejemplos de organizaciones neerlandesas que han implantado con éxito la formación security awareness para sus empleados.

EyeOn

EyeOn es un especialista en previsión y planificación que ayuda a las empresas internacionales a gestionar los retos de la cadena de suministro. EyeOn es responsable de gran parte de los datos de sus empresas clientes, que deben tratarse de forma segura. Adoptaron una solución de formación en ciberseguridad gamificada para asegurarse de que su personal estaba a la altura del reto y para alinear su seguridad con los requisitos de la certificación ISO27001.

Introdujeron el nuevo programa de formación entre los empleados con lo que llamaron una semana security awareness . "Empezábamos cada día con una entrevista de 15 minutos y la llamábamos la puesta al día de la seguridad. Cada día tenía un tema específico. El primero se llamaba 'del escritorio al destino'. Se trataba de las medidas de seguridad durante los viajes, como el uso de una pantalla de seguridad, el almacenamiento seguro del portátil, etc. Otro tema se refería a los datos confidenciales. Otro tema trataba de los datos confidenciales, que es lo que llamamos "cómo no meterse en problemas con la SEC".

Priore

Priore ofrece servicios de contabilidad y asesoramiento fiscal. Al ser responsables de la información financiera confidencial de sus clientes, la ciberseguridad es vital para ellos. Priore quería mantener un alto nivel de security awareness entre su personal en todo momento. Por eso cambiaron de un curso anual de ciberseguridad a una solución que ofrecía un aprendizaje continuo: Guardey.

"El 80% de la organización empezó inmediatamente a participar activamente tras el primer correo electrónico introductorio. Al cabo de uno o dos meses, todos, salvo una o dos personas, utilizaban Guardey todas las semanas. Todo esto se debió a la motivación intrínseca y a la comprensión de la importancia de security awareness. No hay incentivos como un premio mensual o algo así, así que aún podemos intentarlo si la participación disminuye."

Konot

KONOT es una fundación educativa que proporciona educación a través de 22 escuelas primarias holandesas. La organización necesitaba una solución de formación en security awareness que se adaptara al GDPR. Tras haber sido objeto de varios ciberataques fallidos, KONOT necesitaba un producto de formación que mantuviera a su personal informado y alerta en todo momento. Adoptaron Guardey para ofrecer formación continua y evaluación para garantizar la coherencia security awareness.

KONOT acaba de poner en marcha Guardey, y ya están llegando los primeros comentarios de los usuarios. "Los primeros comentarios que hemos recibido son entusiastas. Guardey les ha hecho realmente competitivos, lo cual es una buena señal", dice Martijn. "Es muy accesible, lo cual es de agradecer. Unos pocos estaban menos entusiasmados con el concepto de concienciación sobre la formación antes de que empezáramos, pero pronto haremos una evaluación con ellos." Frieda continúa: "No soy nada jugadora, pero también me di cuenta de que seguía aceptando nuevos retos. Es muy fácil superar las preguntas".

Vinos Delta

Delta Wines es un mayorista de vino. Cuando su proveedor de seguros hizo hincapié en la importancia de la formación en security awareness y en la próxima directiva NIS2, el director general de Delta Wines pasó a la acción. Para que todo el mundo se implicara, se realizó un simulacro en phishing que sirvió de valiosa llamada de atención a muchas personas. Después de que muchos empleados se dejaran engañar por el convincente correo electrónico, se mostraron muy receptivos a recibir formación adicional.

"Estamos recibiendo muchos comentarios positivos. Muchos empleados empiezan a jugar al nuevo reto semanal en cuanto reciben el correo electrónico que les informa de que ya está listo. Algunos se decepcionan mucho cuando se equivocan en alguna pregunta. Ha iniciado múltiples debates internos sobre seguridad, lo cual es estupendo".

Gezamenlijke Brandweer Amsterdam

Gezamenlijke Brandweer Amsterdam (Cuerpo de Bomberos Unidos de Ámsterdam) es un importante cuerpo de bomberos, encargado de la respuesta a incidentes en una zona industrial de Ámsterdam. Si un cuerpo de bomberos es víctima de un ciberataque, los resultados pueden ser catastróficos. El departamento también necesitaba cumplir los requisitos de NIS2. Raymond Pikee, jefe del equipo, quería una solución de formación recurrente que fuera divertida y atractiva.

En la tabla de clasificación, los bomberos pueden ver lo bien que lo están haciendo en comparación con sus colegas, lo que fomenta la competencia interna. "Somos un grupo competitivo, así que es un buen toque. Estos elementos de gamificación hacen que sea divertido jugar a Guardey, lo que también nos ayuda a recordar la información."

Cómo empezar a aplicar la formación security awareness

Ahora que ya sabes qué es la formación en concienciación sobre seguridad y por qué ha dejado de ser opcional, la pregunta es: ¿qué hay que tener en cuenta a la hora de elegir un programa? Hay tres aspectos que diferencian los programas que dan resultado de los que simplemente se completan.

Tiene que ser continuo, porque los conocimientos se desvanecen en cuestión de meses, no de años, y el panorama de amenazas no espera a que se celebre vuestra sesión anual. Tiene que ser lo suficientemente breve como para que la gente realmente lo termine, ya que un programa con una tasa de finalización del 80 % protege al 80 % de vuestra organización. Y tiene que medir y registrar la participación, porque a partir de 2026 se os pedirá que demostréis lo que habéis hecho, no solo que lo describáis.

Si no tienes ni idea de cuál es la situación actual de tu organización, empieza por evaluar en lugar de comprar. Una evaluación inicial del nivel de concienciación en materia de seguridad te muestra qué equipos están realmente en riesgo y convierte la formación, que antes era un gasto, en algo de lo que puedes demostrar los resultados.

En Guardey, ofrecemos formación gamificada en security awareness que se centra en mantener el interés de los usuarios durante largos periodos de tiempo. Mediante el uso de una tabla de clasificación, logros, rachas y otros elementos de gamificación, los usuarios obtienen una sensación de competencia amistosa que aumenta la participación.