Concienciación en ciberseguridad para nuevas incorporaciones: cómo hacerlo con rotación alta

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

Las nuevas incorporaciones son el punto más débil de casi cualquier programa de concienciación: llegan cuando ya pasó la formación anual, no conocen los procesos internos y reciben decenas de correos de departamentos que aún no saben distinguir. En empresas con rotación alta el problema se multiplica, porque siempre hay una parte de la plantilla que nunca ha visto un phishing de prueba. Esta guía explica qué hacer desde el alta y cómo automatizarlo para que nadie se quede fuera.

Por qué los recién llegados son el blanco más fácil

Un empleado nuevo espera correos de IT pidiéndole que configure su cuenta, de RRHH con documentos para firmar y de compañeros que no conoce. Es exactamente el tipo de mensaje que imita un atacante. Además, todavía no sabe a quién avisar si algo le parece raro ni cómo suena un correo legítimo de su propia empresa.

Los atacantes lo saben: los perfiles recién publicados en redes profesionales y los organigramas que cambian son información útil para preparar un engaño creíble.

El problema de la rotación alta

Con una sesión de concienciación al año, quien entra en febrero pasa diez meses sin formación. Si la rotación es alta en áreas como atención al cliente, logística o comercial, en cualquier momento hay un porcentaje importante de la plantilla que nunca ha recibido una campaña ni un curso.

La solución no es multiplicar sesiones presenciales, sino que la concienciación sea continua y que el alta en la empresa dispare automáticamente la entrada en el programa.

Qué hacer el primer día

A quién avisar: el canal concreto para reportar un correo sospechoso y la persona de contacto. Es lo más útil que puede llevarse un recién llegado.
Cómo son los correos legítimos: qué departamentos le van a escribir y por qué canal llegan los avisos reales de IT o RRHH.
Acceso seguro: activar el doble factor desde el primer acceso y no reutilizar contraseñas.
Normas básicas: qué se puede instalar, qué datos se pueden compartir y cómo usar las herramientas corporativas.

No hace falta una charla larga: unos minutos bien explicados en la bienvenida valen más que un manual que nadie lee.

Las primeras semanas: entrar en las simulaciones

Recomendamos que la nueva incorporación entre en las campañas de simulación desde sus primeras semanas, cuando el riesgo es mayor. Si cae, ve al momento qué señal debía haber detectado y recibe un curso breve; si no lo completa, recibe recordatorios. Así aprende con un caso real de su propio buzón, que se recuerda mucho mejor que una diapositiva.

Colaboradores y asociados también cuentan

Si alguien tiene correo corporativo, recibe phishing de verdad, sea empleado, colaborador, becario o asociado. Dejarlos fuera del programa porque no están en nómina es dejar una puerta abierta. La regla práctica es sencilla: quien tiene buzón de la empresa, está en el programa.

Automatizarlo: que el alta dispare el programa

La única forma de que funcione con rotación alta es que nadie tenga que acordarse. Si la plataforma de simulación está sincronizada con el directorio de la empresa (en Office 365, Entra ID), cada cuenta nueva entra sola en las campañas. Es como funciona nuestro simulador de phishing: incluye automáticamente las nuevas altas, asigna microcursos a quien cae y envía recordatorios a quien no los completa.

Y el reverso: cuando alguien se va, su cuenta debe desactivarse el mismo día. Una cuenta de un exempleado que sigue activa es uno de los accesos favoritos de un atacante.

FAQ

¿Cuándo debería recibir su primera simulación un empleado nuevo?

En sus primeras semanas, después de la bienvenida. Es cuando más correos inesperados recibe y menos conoce los procesos internos, así que es cuando más útil resulta practicar.

¿Hay que incluir a becarios, colaboradores y externos?

Si tienen correo corporativo, sí. Reciben el mismo phishing que el resto y su cuenta da el mismo acceso a un atacante.

¿Cómo sé que las nuevas incorporaciones han hecho la formación?

Con una plataforma que registre qué cursos se han asignado y completado, y que envíe recordatorios a quien los tiene pendientes. Ese registro sirve además como evidencia ante un auditor.

¿Sirve como evidencia para ISO 27001 o el ENS?

Sí. ISO 27001 incluye la concienciación, educación y formación en seguridad de la información entre sus controles (A.6.3 en la versión de 2022), y el ENS la recoge en la medida mp.per.3. Un registro de campañas y formación completada por usuario es el tipo de evidencia que el auditor pide.