Factor humano: plan de 3 meses para tu pyme
Durante años la respuesta a «¿y si alguien pica?» ha sido una política de seguridad de veinte páginas que nadie lee. INCIBE acaba de decir en voz alta lo que ya sabíamos: eso ya no vale. Los engaños llegan por más canales, son más creíbles y aprovechan las prisas del día a día.
Qué está pasando
El 3 de septiembre de 2026, INCIBE publicó una actualización de su guía sobre el factor humano en ciberseguridad para pymes y autónomos. El punto de partida son los datos de su propio servicio de ayuda, el 017, en el primer semestre de 2026: 95.064 consultas atendidas, y entre las de empresas, un 30,6 % tenían que ver con suplantaciones de identidad por teléfono, SMS o correo. Destacan el fraude del CEO y la suplantación de la propia empresa ante sus clientes.
Lo que ha cambiado, según INCIBE, es el menú de canales: correo personalizado con IA, llamadas con número falseado, SMS, WhatsApp, videollamadas con deepfake y perfiles falsos en redes. Y la IA entra por tres puertas a la vez: la usa el atacante, la usan los empleados sin control y, cada vez más, actúa como agente conectado a los sistemas de la empresa.
La propuesta ya no es «formar al eslabón débil», sino gestionar el riesgo humano: formación breve y por puesto, procesos sencillos, controles técnicos que hagan fácil la opción segura, y medir si funciona. Todo ello con la dirección al frente, no delegado en «los de informática».
Por qué te afecta (pyme / asociación)
- Una de cada tres consultas de empresa al 017 es una suplantación. No es un riesgo teórico: es lo que más está pasando ahora mismo en negocios como el tuyo.
- Las estafas ya no tienen faltas de ortografía. Con IA, el correo del «proveedor» o la voz del «director» son convincentes. La intuición sola ya no protege.
- La prisa es el arma. Un cambio de IBAN «urgente», un pago «antes de las tres», un técnico que «necesita acceso ahora». Si el proceso no obliga a parar, alguien no parará.
- La IA que usa tu equipo también es factor humano. Si nadie sabe qué herramientas se usan ni qué datos reciben, ya tienes una fuga sin necesidad de atacante.
Qué hacer
INCIBE propone un plan asumible de tres meses. Lo compartimos porque es de los pocos que una pyme puede cumplir de verdad:
- Mes 1 — Identifica tus 5 operaciones delicadas (pagos, cambios de cuenta bancaria, altas de acceso, envío de datos de clientes, restauración de copias) y mira dónde pueden fallar.
- Mes 2 — Refuerza cuentas y procesos: gestor de contraseñas y doble factor para todos, revisión de permisos al cambiar de puesto o salir, doble aprobación en pagos importantes, confirmación de cambios bancarios por un canal distinto (como contamos en el correo que cambia el IBAN), y un canal de aviso que todo el mundo recuerde (un botón, un teléfono, un correo).
- Mes 3 — Forma por funciones y ensaya: piezas cortas para administración (facturas falsas), RR. HH. (datos personales), dirección (fraude del CEO), y un simulacro real: un pago falso, un móvil perdido. Asigna responsables y fecha a lo que salga mal.
- Pon reglas a la IA: qué herramientas están aprobadas, qué datos no se meten nunca (clientes, contratos, credenciales) y qué acciones no puede ejecutar sola (pagar, borrar, enviar).
- No castigues el primer error. Quien avisa a los cinco minutos te ahorra el incidente; quien lo esconde por miedo, te lo multiplica.
¿Quieres que ese plan de tres meses arranque de verdad y no se quede en un documento? En ITCM Solutions lo aterrizamos a tu equipo, tus herramientas y tu Microsoft 365. Hablemos.