Algo que me llamó mucho la atención es el hecho de traer a colación la afirmación de que podemos implementar software y otras medidas de seguridad, pero si dejamos de lado al humano de nada sirve todo lo demás

La adaptación más importante que haría sería sustituir el miedo al virus genérico por el miedo a la consecuencia legal y laboral. El contenido de la formación debe dejar de hablar de "ciberseguridad" en abstracto y enfocarse en nuestra Ley 8968. Tenemos que capacitar al personal y usuarios que manejan módulos que se centren en el SIAM y expliquen claramente: ¿Qué pasa si saco un reporte de salarios a un Excel y lo guardo en mi Google Drive personal? o ¿Cuáles son mis responsabilidades si accedo a un expediente de patente que no me corresponde? Solo usando el nombre de nuestros sistemas y nuestra legislación la gente entenderá que la seguridad comienza en su silla.

Además, la comunicación tiene que salir de la computadora. La gente que atiende público o trabaja en lo administrativo como primer eslabón no ve el correo. Los mensajes más importantes sobre "No compartir la contraseña" o "Bloquee su sesión" deben estar en la máquina de fichar la entrada, con un tono directo y un diseño que use nuestros colores institucionales.

Y finalmente, si vamos a hacer simulaciones de phishing, estas tienen que ser robustas, estrategias y creíbles. Un correo que llegue con el asunto "Notificación Urgente: Revisión Inmediata de Requerimiento de la Contraloría" es lo que genera la urgencia en un funcionario de la Municipalidad para hacer clic sin pensar. Es ahí donde medimos nuestra vulnerabilidad real. La seguridad en San José se gana haciendo que el mensaje sea personal, local y legalmente vinculante, no solo un recordatorio técnico.

¿Por qué? Porque por lo aprendido en el curso: la falla está en el factor humano. Las municipalidades invertimos un montón en firewalls y antivirus, pero no en el eslabón más sensible sigue siendo el punto más débil.

Los Ataques Dirigidos (como las simulaciones de phishing o los pendrives dejados a propósito) son la única forma de tener una métrica real de nuestra vulnerabilidad. Una charla te da una métrica de asistencia; un ataque dirigido te dice, con nombre y apellido, cuántos compañeros realmente fallarían al ver un correo urgente de la Contraloría o de la Dirección Legal pidiendo una clave o un archivo crítico.

Esta estrategia es fantástica porque es quirúrgica ya que nos permite dejar de hacer capacitaciones genéricas y enfocarnos en el 20% del personal que está cometiendo el 80% de los errores. Es la forma más eficiente de usar el tiempo de TI y garantizar que la formación sea una lección inolvidable para el compañero, pasando de la simple intención de seguridad a una cultura de seguridad activa y medible. Es lo único que nos va a generar un cambio real en el día a día.

Se requiere iniciar al menos con mensajes informativos al personal y charlas gratuitas, no podemos simplemente cruzarnos de brazos esperando el apoyo total de la administración.

¿Qué adaptaría para que sea más cercano al contexto local?

• Incluir ejemplos relacionados con servicios municipales costarricenses, como trámites en línea, pagos de impuestos, uso de correos institucionales y sistemas internos.

• Incorporar lenguaje más coloquial y accesible, evitando tecnicismos excesivos.

• Añadir referencias a normativa nacional, como la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (Ley 8968) y lineamientos del MICITT.

Elijo como recurso una presentación en PowerPoint, ya que me parece especialmente útil para transmitir de forma clara y visual los contenidos relacionados con la concienciación en ciberseguridad. Este formato facilita la exposición de los temas, permite incorporar ejemplos, imágenes y mensajes clave que refuerzan el aprendizaje, y puede emplearse tanto en sesiones presenciales como virtuales, adaptándose fácilmente al público y al contexto institucional.