Entre el 80% y el 95% de los incidentes de ciberseguridad tienen un denominador común: el comportamiento humano. La paradoja es que, pese a invertir en formación y concienciación, las personas siguen siendo el eslabón más débil de la cadena. ¿Qué falla cuando la tecnología avanza a ritmo vertiginoso y los trabajadores no lo hacen al mismo compás? La respuesta apunta a la forma en que percibimos el riesgo, procesamos la información y tomamos decisiones en entornos digitales saturados.

Esta reflexión fue el punto de partida del 'Next-Gen Cyber Security Culture Summit 2026' , un encuentro celebrado los pasados 20 y 21 de febrero en Granada, organizado por TIER8 e ISMS Forum, que reunió a los máximos responsables de ciberseguridad de las grandes empresas del país. El objetivo: buscar soluciones colaborativas para hacer frente a las amenazas más sofisticadas del momento, como la guerra cognitiva y el uso malicioso de la inteligencia artificial generativa.

"Informar y formar no es suficiente, hemos tocado techo, y lo vemos diariamente en los incidentes derivados del comportamiento humano que siguen produciéndose mientras las amenazas se hacen más sofisticadas", advirtió en la inauguración Natalia Jiménez, cofundadora y socia de TIER8, compañía española pionera en el uso de la neurociencia para combatir la ingeniería social.

Guerra cognitiva: reprogramar audiencias

Uno de los conceptos que centró el debate fue el de las guerras cognitivas, una amenaza que va más allá de la desinformación tradicional. El periodista especializado en seguridad global Daniel Iriarte, autor del libro 'Guerras Cognitivas', explicó que se trata de "un bombardeo constante, a través de múltiples vectores y mensajes, cuyo objetivo es reprogramar a las audiencias para que actúen como desea el agresor, en este caso el ciberdelincuente".

Iriarte alertó sobre la profesionalización de estas prácticas, impulsada por su rentabilidad económica. "Con una fracción del dinero y del tiempo que antes eran necesarios, se puede influir en muchísima más gente", señaló, subrayando el papel central de las redes sociales, cuyos algoritmos priorizan la interacción y el engagement. El resultado es un fenómeno similar a una epidemia: "Los infectados infectan a otros", reproduciendo el mensaje del agresor sin ser conscientes de ello.

La aviación como espejo

El sector de la aviación, donde fallar no es una opción, sirvió como ejemplo de gestión del riesgo aplicable a la ciberseguridad. Carmen Arango, comandante en Vueling Airlines, explicó que los pilotos operan con una "responsabilidad personal y penal muy clara", y aunque la tecnología ha transformado su trabajo, el ser humano sigue siendo la última barrera de seguridad. "Y es en ese punto en el que el ser humano actúa como última barrera de seguridad, aunque al mismo tiempo constituye el eslabón más vulnerable de la cadena", añadió.

Arango compartió el modelo del "queso suizo" para ilustrar que un accidente nunca responde a una única causa, sino a la acumulación de fallos que atraviesan distintas barreras. "Lo fácil es señalar al piloto por introducir un dato incorrecto o, en ciberseguridad, al empleado que hace clic donde no debe, pero la clave está en reforzar los procesos para que el error no llegue a convertirse en un incidente", sentenció.

Cultura corporativa y neurociencia

La cultura organizativa también juega un papel crucial. Marta Romo, socia fundadora y CEO de BeUp, experta en neurociencia aplicada al bienestar organizacional, subrayó la importancia de abordar los valores corporativos desde una perspectiva preventiva. "Habitualmente las organizaciones revisan sus valores tras una crisis, cuando ya es demasiado tarde", explicó, advirtiendo que si la cultura no evoluciona al ritmo del entorno digital, emergen comportamientos desalineados con la estrategia de ciberseguridad.

Romo profundizó en los mecanismos cerebrales que explican por qué actuamos como actuamos. "Muchas decisiones no dependen tanto de la inteligencia o la formación, sino de los mecanismos cerebrales que se activan en determinados contextos. Influyen variables como la presión o las prisas, que activan o desactivan el pensamiento profundo y nos llevan a respuestas más automáticas". La hiperconexión constante agrava el problema: "Con tanta información acabamos desconectados de nosotros mismos", generando incoherencias entre lo que sabemos que debemos hacer y lo que finalmente hacemos ante un riesgo digital.

Durante la segunda jornada, los asistentes trabajaron con el TIER8 Framework, un nuevo marco de trabajo presentado por Sergio Jiménez, cofundador y CEO de la organización, que permite descomponer los incidentes atribuibles al comportamiento humano analizando el contexto, las motivaciones y los sesgos cognitivos. Una herramienta pionera a nivel internacional que busca poner el foco donde realmente importa: en las personas, la última frontera de la ciberseguridad.