Qué pasa entre la firma y la primera campaña

El contrato ya está firmado y el acceso a la plataforma se entregó el mismo día. Pero la primera campaña demora en ejecutarse.

Ese espacio de tiempo entre la firma y el lanzamiento de la primera campaña es donde se define buena parte de lo que viene después, y suele quedar fuera de toda planificación. La norma, en cambio, lo trata como trabajo formal. La revisión 1 de NIST SP 800-50, Building a Cybersecurity and Privacy Learning Program, publicada en septiembre de 2024, organiza el programa según el modelo ADDIE en cinco fases (análisis, diseño, desarrollo, implementación y evaluación). Las dos primeras terminan antes de que un solo contenido llegue a una persona.

En SMARTFENSE ese tramo lo vemos todas las semanas, en despliegues de organizaciones de tamaños muy distintos. El tiempo que va de la firma al primer envío casi nunca depende de la plataforma. Depende de decisiones que solo puede tomar la organización que realiza la contratación.

¿Cuánto demora realmente comenzar un programa de concienciación?

Depende de estas decisiones y no del despliegue técnico.

Crear el entorno, cargar el catálogo y dejar la plataforma operativa es cuestión de horas. Lo que estira el calendario es todo lo demás. Quién entra al programa, con qué datos, con el permiso de quién y bajo qué mensaje interno.

Un equipo que llega con la lista de personas depurada, el patrocinio definido y el visto bueno de IT puede arrancar en días. Cuando estos tres factores se empiezan a resolver después de firmar, el arranque se convierte en un proyecto con calendario propio. La diferencia entre un caso y otro no está en el software.

¿Qué resuelve el proveedor y qué solo puede resolver tu organización?

El reparto es más nítido de lo que parece, y conviene ponerlo por escrito antes de la reunión de arranque.

Lo resuelve el proveedor	Solo lo resuelve tu organización
Entorno, catálogo de contenidos y configuración de la plataforma	Quiénes forman parte del programa y cómo se agrupan
Plantillas de simulación, informes y automatizaciones	La calidad y la actualización del padrón de personas
Documentación técnica de entregabilidad	La ejecución de esa configuración en tu correo y tu red
Acompañamiento, formación de administradores y soporte	El patrocinio interno y el mensaje con el que se anuncia
Buenas prácticas de calendario y frecuencia	Las fechas que tu organización puede sostener

La lectura práctica de esa tabla es que la mitad derecha no se delega. Un proveedor puede asesorar, documentar y acompañar. No puede decidir quién entra al programa ni conseguir que la dirección lo respalde.

¿Por qué la lista de usuarios es el cuello de botella más frecuente?

Porque es el único insumo que nadie más que la organización puede producir, y casi siempre está peor de lo que se cree.

NIST ubica esta tarea en el segundo paso de la fase de análisis, antes de cualquier contenido: identificar la audiencia del programa. En la práctica esa identificación destapa cosas que estaban ocultas. Personas que ya no trabajan en la organización y siguen en el directorio. Casillas compartidas por un área entera. Contratistas que nadie sabe si deben recibir formación. Sedes con el campo de país vacío, que después impiden segmentar por idioma, por ejemplo.

Nada de eso es un problema de la plataforma, pero todo eso llega a la plataforma. Si el padrón entra sucio, los primeros informes van a describir un problema de datos y no un problema de comportamiento, que es justo lo que el programa venía a medir.

Vale la pena resolverlo antes del primer envío y no después. Definir la audiencia del programa con criterio, aunque cueste dos semanas, ahorra un año de métricas que no se pueden defender.

¿Qué hay que dejar cerrado con IT antes de la primera simulación?

Tres cosas, y las tres viven fuera de la plataforma de concienciación.

1. Entregabilidad. Los correos de simulación tienen que llegar a la bandeja de entrada. Esto exige que el equipo que administra el servidor de correo autorice los envíos del programa y los excluya del filtrado, con el alcance acordado por escrito.
2. Navegación. Las páginas de destino de las simulaciones tienen que abrirse desde la red corporativa. Si el filtro web las bloquea, la simulación mide la configuración del proxy en lugar de la reacción de las personas.
3. Dominio de envío. Conviene decidir temprano bajo qué dominio salen las notificaciones del programa, porque afecta a la confianza del público objetivo. Lo desarrollamos en por qué el dominio propio del programa empuja la adopción.

Estas tres tareas suelen ser cortas para IT y largas de agendar. Ese es el motivo real por el que se convierten en el bloqueo más caro del arranque: no por dificultad, sino porque entran en la cola de otro equipo que tiene sus propias prioridades.

¿Quién tiene que estar de acuerdo antes de que salga el primer correo?

Más gente de la que suele aparecer en la reunión inicial.

El área de seguridad impulsa el programa, pero rara vez controla los canales por los que llega. Recursos humanos tiene voz sobre cualquier actividad obligatoria para la plantilla. Comunicación interna decide cómo se anuncia. En algunas organizaciones, la representación de las personas trabajadoras tiene que estar informada antes de que se ejecute una simulación, y en varios países ese paso no es opcional.

Ninguna de esas conversaciones es larga si se abre a tiempo. Todas se vuelven largas si se abren cuando la primera campaña ya está programada. Cuando un programa arranca sin acuerdo interno, el primer incidente no es técnico. Es una queja que llega a la dirección y frena el calendario entero.

Por eso la figura del patrocinador importa tanto. No hace falta que sea del área de seguridad. Hace falta que tenga autoridad para convocar a esas tres áreas en la misma sala y salir con una decisión.

¿Conviene abrir con formación o con simulación?

Con formación, salvo que tengas una razón concreta para hacer lo contrario.

Una simulación como primer contacto llega antes de que nadie sepa que existe un programa. Mide bien, porque toma una línea de base sin sesgo, pero deja a las personas con la sensación de haber sido evaluadas sin aviso. Ese arranque cuesta caro en confianza y la confianza es lo que sostiene al programa el resto del año.

Abrir con contenido formativo, anunciado por el patrocinador, ordena las expectativas. La gente sabe que va a haber un programa, para qué es y qué se espera de ella. La simulación llega después, con el terreno preparado, y sus resultados se leen sin ruido.

Hay una excepción razonable. Cuando la dirección pide una medición inicial para justificar la inversión, la línea de base tiene que tomarse antes de cualquier formación, porque después ya no es una línea de base. En ese caso conviene acordar de antemano qué se hará con los resultados obtenidos y qué no, algo que tratamos en tu programa de awareness está midiendo lo que importa.

El arranque también es parte del programa

Las semanas previas al primer envío no son tiempo perdido esperando a que comience el programa. Son la primera fase del programa, y NIST las trata como tal.

Cuando esa fase se hace bien, el resto del año se parece a lo planificado. La segmentación funciona, los informes se leen sin peros y el calendario de campañas se sostiene sin renegociaciones mensuales. Cuando se saltea, reaparece más adelante convertida en datos que nadie defiende y en campañas que se posponen.

Si estás por arrancar, la conversación útil no es sobre la plataforma. Es sobre el padrón, el patrocinio y la agenda de IT. Si eso está resuelto, lo demás es cuestión de días.

Preguntas frecuentes

¿Cuánto tiempo pasa entre contratar una plataforma de concienciación y enviar la primera campaña?
Depende de cuántas decisiones internas estén tomadas al firmar. El despliegue técnico se resuelve en horas. Lo que marca el plazo es tener la lista de personas depurada, un patrocinador con autoridad y las tareas de entregabilidad agendadas con IT.

¿Qué es la fase de análisis de un programa de concienciación?
Es la primera de las cinco fases del modelo ADDIE que NIST SP 800-50 Rev. 1 aplica a estos programas. Consiste en identificar las necesidades de aprendizaje, definir la audiencia, cruzar ambas, evaluar el nivel de conocimiento actual y determinar las brechas. Termina antes de que se despliegue el contenido.

¿Por qué falla la carga inicial de usuarios?
Porque el directorio corporativo casi nunca está preparado para segmentar formación. Suele contener personas que ya no están en la organización, casillas compartidas, contratistas sin criterio definido y campos vacíos que impiden agrupar por sede o idioma.

¿Qué tiene que configurar el equipo de IT antes de una simulación de phishing?
Autorizar los envíos del programa para que lleguen a la bandeja de entrada, permitir la navegación hacia las páginas de destino desde la red corporativa y acordar el dominio bajo el que salen las comunicaciones.

¿Es mejor empezar con una simulación o con formación?
Con formación en la mayoría de los casos, porque ordena las expectativas antes de evaluar. La simulación como punto de partida solo tiene sentido cuando se necesita una línea de base sin sesgo previo, y conviene acordar anticipadamente cómo se van a utilizar los resultados obtenidos.