Notas de campo desde la sala de control · Borrador

La formación que todos aprobaron

Una historia compuesta de una organización mediana.

La formación anual de concienciación era un vídeo corto y un cuestionario corto. La finalización fue perfecta, y el panel lucía un agradable tono de verde. Hubo felicitaciones. Puede que hubiera una tarta.

Ese mismo mes, el equipo de seguridad envió un mensaje de prueba inofensivo, hecho para parecer una factura vencida, para ver qué pasaba. Una buena parte de quienes acababan de aprobar el cuestionario hizo clic. Se envió a las cinco menos cinco de un viernes, que, en defensa del equipo, es también cuando llegan los reales.

El giro

Nadie fue descuidado. El cuestionario preguntaba qué aspecto tiene un enlace sospechoso, en un momento de calma, con la respuesta dos líneas por encima de la pregunta. El mensaje preguntaba algo distinto: pedía a una persona cansada, al final de una semana larga, que resolviera rápido un pequeño problema. La formación había medido si las personas sabían responder. La prueba había medido lo que las personas hacen.

Alguien representó la finalización frente a los clics, y el gráfico parecía una nube. Una nube muy educada y muy verde.

La lección

La finalización mide la asistencia. Lo que protege a la organización es el comportamiento, y el comportamiento hay que medirlo como comportamiento.

El equipo cambió el cuestionario largo por escenarios cortos con forma de trabajo real, enviados con frecuencia y distintos para cada rol, de modo que el equipo de finanzas ve facturas y los ingenieros ven algo sobre un pipeline. Pusieron un botón de reporte claro donde la gente ya trabaja, y agradecieron a quien lo usaba, públicamente y por el nombre del rol. La cifra del panel también cambió: dejó de contar quién terminó y empezó a contar con qué rapidez se reportaba un mensaje sospechoso. Hacer clic dejó de ser una confesión y pasó a ser un dato.

Cuente lo que la gente hace, no lo que termina.