En el más reciente episodio del Podcast *Gestión de RRHH by VisualK, tuvimos el privilegio de recibir a Elmer Ramos, Gerente Regional de Tecnología y Proyectos de Innovación en Grupo Solid – LAPCO, con más de 20 años liderando proyectos tecnológicos de alta complejidad en organizaciones multinacionales. Su trayectoria se caracteriza por consolidar equipos de alto desempeño bajo una cultura de innovación, excelencia y mejora continua, y por un perfil poco común: domina tanto los procesos técnicos como los administrativos y financieros, lo que le permite alinear la tecnología con los objetivos reales del negocio.

El episodio, titulado “Blindaje 360°: el puente entre TI y RRHH ante las amenazas digitales”, giró en torno a una idea que puede sonar contraintuitiva para muchas organizaciones: la inversión en seguridad más efectiva no es únicamente tecnológica, es cultural. Como parte del equipo de producción de VisualK, quiero compartir en este artículo los puntos más relevantes de la conversación, pensando especialmente en quienes lideran equipos de Recursos Humanos y de Tecnología, y que muchas veces sienten que hablan idiomas distintos cuando se trata de seguridad digital.

Durante años, la ciberseguridad se ha tratado como un asunto exclusivo del departamento de TI: firewalls, antivirus, parches, servidores. Sin embargo, uno de los planteamientos centrales del episodio es que esa mirada, aunque necesaria, es incompleta. TI puede construir la infraestructura más sofisticada del mercado, pero si los colaboradores no entienden por qué existen esas políticas ni cómo aplicarlas en su día a día, la inversión tecnológica pierde buena parte de su efectividad.

Aquí es donde entra Recursos Humanos como un socio estratégico que traduce el lenguaje técnico de TI en comportamientos comprensibles, memorables y sostenibles en el tiempo. Elmer lo describe como una mancuerna: TI aporta el conocimiento técnico y la infraestructura, RRHH aporta la capacidad de comunicar, sensibilizar, entrenar y, sobre todo, sostener el cambio de comportamiento en el tiempo. Ninguno de los dos equipos puede lograr un blindaje real trabajando de forma aislada.

Para los gerentes que participan de esta conversación en sus propias organizaciones, el mensaje práctico es claro: si las políticas de seguridad se están comunicando únicamente por correo corporativo o en manuales que nadie lee, es momento de involucrar a RRHH en el diseño de la estrategia de comunicación, no solo en su distribución.

El colaborador como primera línea de defensa, no como el “eslabón débil”

Uno de los datos más contundentes que se mencionan en el episodio es que entre el 74% y el 90% de las brechas de ciberseguridad se originan en errores humanos. Es una cifra que suele generar alarma, y con razón. Pero lo interesante de la conversación con Elmer es el giro que propone en la narrativa: durante años se ha dicho que el usuario es el “eslabón más débil” de la cadena de seguridad, una frase que, sin quererlo, coloca al colaborador en una posición pasiva y hasta culpable.

La propuesta es invertir esa narrativa: el colaborador no es el eslabón débil, es la primera línea de defensa. Ese cambio de enfoque no es solo semántico, tiene implicaciones prácticas profundas. Cuando un empleado se percibe como parte activa de la protección de la empresa, su relación con la seguridad cambia: deja de ser una obligación impuesta desde arriba y se convierte en una responsabilidad compartida.

¿Cómo se logra esto en la práctica? Elmer habla de desarrollar una “desconfianza saludable” frente a correos, mensajes o enlaces sospechosos. Esto no se construye con una capacitación técnica anual ni con un video institucional que se ve una sola vez. Se construye con concientización constante, simulacros de phishing, retroalimentación inmediata y, sobre todo, con una cultura donde reportar un correo sospechoso se celebre como un acierto y no se castigue como un error. De hecho, una de las métricas que se propone en el episodio es precisamente la tasa de notificación de correos de phishing simulado: el porcentaje de empleados que reportan a TI un correo simulado, en lugar de hacer clic. Esta métrica no mide solo el éxito técnico de la infraestructura, mide el éxito cultural impulsado por RRHH, y es un ejemplo concreto de cómo ambos departamentos pueden medir su trabajo conjunto con un mismo indicador.

Desmitificando la nube: el temor a “perder el control” de los datos

Uno de los bloqueos más comunes que enfrentan los equipos de TI cuando proponen migrar de infraestructura On-Premise a un modelo SaaS es el miedo de los gerentes a perder el control sobre sus datos. Es una preocupación legítima, especialmente cuando se trata de información sensible de empleados, y el episodio le dedica un espacio importante a desmontar este mito con una analogía sencilla y muy efectiva.

Elmer compara la migración a la nube con guardar dinero en un banco. Cuando alguien deposita su dinero en una institución financiera, no está perdiendo el control sobre él: está ganando protocolos de protección, monitoreo, redundancia y respaldo que sería prácticamente imposible replicar guardando el efectivo en casa. Lo mismo ocurre con los datos corporativos en la nube. Un proveedor de clase mundial suele contar con estándares de seguridad, cifrado, redundancia geográfica y monitoreo continuo muy superiores a los que puede sostener una infraestructura local, especialmente en empresas medianas que no cuentan con equipos de seguridad dedicados las 24 horas.

Además de la protección, la nube ofrece un beneficio que suele subestimarse: continuidad operativa. Un servidor local puede fallar por un corte eléctrico, un desastre natural o simplemente por falta de mantenimiento, y ese fallo puede paralizar la operación de la empresa. Los modelos SaaS, en cambio, están diseñados para ofrecer accesibilidad real las 24 horas del día, los 7 días de la semana, con planes de recuperación ante desastres que ya vienen incluidos en el servicio.

El episodio también aborda una pregunta que surge con frecuencia entre gerentes: “¿dónde vive físicamente la información de mis empleados?”. Es una inquietud válida, y la recomendación que se desprende de la conversación es que la ubicación del servidor no debería ser una barrera para la confianza operativa, siempre que exista claridad sobre los estándares de cumplimiento, cifrado y localización de datos que ofrece el proveedor. Aquí, nuevamente, aparece la necesidad de que TI y RRHH trabajen juntos: TI para evaluar y garantizar esos estándares técnicos, y RRHH para comunicar con transparencia a los colaboradores y líderes de la organización cómo se protege su información.

Las pymes también están en la mira de los atacantes

Existe un mito extendido de que los ciberataques son un problema exclusivo de las grandes corporaciones, con presupuestos millonarios y datos de alto valor. El episodio derriba esta idea con un dato revelador: el 43% de los ciberataques se dirige directamente a pequeñas y medianas empresas. La razón es sencilla y a la vez preocupante: los ciberdelincuentes saben que las PyMEs suelen tener controles internos más débiles, presupuestos de seguridad limitados y, en muchos casos, ni siquiera cuentan con un equipo de TI dedicado a la ciberseguridad.

Este dato debería cambiar la conversación en muchas organizaciones medianas que todavía consideran la ciberseguridad como un gasto opcional o como algo que “les puede pasar a otros”. La realidad es que el tamaño de la empresa ya no es un factor de protección, y en muchos casos se convierte en un factor de vulnerabilidad. Para los gerentes de RRHH, esto significa que la conversación sobre seguridad digital no puede posponerse hasta que la empresa “crezca lo suficiente”; debe formar parte de la cultura organizacional desde etapas tempranas.

Inteligencia Artificial: la nueva puerta de fuga de información

Uno de los puntos más actuales y, quizás, menos discutidos hasta ahora en las políticas de seguridad tradicionales, es la advertencia que hace Elmer sobre el uso de herramientas de inteligencia artificial gratuitas y públicas por parte de los colaboradores. Cada vez es más común que un empleado, en su afán de agilizar una tarea, copie y pegue información financiera, contratos, bases de datos de clientes o cualquier otro tipo de información sensible en una herramienta de IA de acceso público, sin ser plenamente consciente de que esa información puede quedar almacenada, procesada o incluso utilizada para entrenar modelos fuera del control de la empresa.

Este comportamiento, que muchas veces nace de una buena intención (ser más eficiente, ahorrar tiempo, resolver un problema rápido), representa una fuga real de información crítica que ninguna política tradicional de seguridad perimetral está diseñada para detectar. No se trata de un ataque externo, sino de una filtración voluntaria, aunque involuntaria en sus consecuencias, por parte de los propios colaboradores.

La recomendación que se desprende de la conversación es clara: TI debe definir políticas de uso de inteligencia artificial cuanto antes, antes de que la adopción informal de estas herramientas se adelante a la gobernanza corporativa. Pero, una vez más, definir la política no es suficiente si RRHH no participa en comunicarla, explicarla y reforzarla como parte de la cultura de la empresa. Aquí también hay una oportunidad para que ambos departamentos trabajen juntos: TI puede identificar qué herramientas de IA son seguras y cuáles no, y RRHH puede diseñar la estrategia de comunicación y capacitación para que los colaboradores entiendan el riesgo sin sentir que se les está limitando su capacidad de innovar en su trabajo diario.

Roles de acceso, auditorías compartidas y el verdadero firewall

La conversación también abordó un reto muy práctico y frecuente en las organizaciones: cómo diseñar roles de acceso donde TI mantenga el control técnico del sistema, pero el contenido confidencial permanezca estrictamente bajo el control de quienes deben tener acceso a él. Esto es especialmente relevante para RRHH, que gestiona información altamente sensible como evaluaciones de desempeño, datos salariales, expedientes disciplinarios y datos personales de los colaboradores.

La recomendación que surge del episodio es avanzar hacia auditorías de seguridad compartidas entre IT y RRHH, integradas dentro de los procesos de cumplimiento de la organización. Esto significa que la seguridad de la información de RRHH no debería auditarse únicamente desde una perspectiva técnica, sino también desde una perspectiva de gobernanza de datos, con la participación activa de quienes son responsables de esa información en el día a día.

La conclusión de Elmer resume, quizás, el espíritu de todo el episodio: el firewall más potente no es un software, es la confianza y la alineación entre quienes gestionan los sistemas y quienes gestionan el talento. Es una frase que vale la pena que cualquier gerente de RRHH o de IT se lleve consigo, porque resume en una sola idea todo lo que se conversó durante los 45 minutos del episodio: la tecnología por sí sola no protege a una organización; lo hace la combinación de tecnología, procesos y una cultura de defensa compartida.

Recomendaciones prácticas para empezar a construir el blindaje 360°

A partir de la conversación, se pueden extraer algunas acciones concretas que TI y RRHH pueden empezar a implementar juntos, sin necesidad de grandes inversiones iniciales:

Diseñar campañas de concientización conjuntas, donde TI aporte el contenido técnico y RRHH diseñe la estrategia de comunicación y refuerzo continuo, en lugar de depender de una única capacitación anual.
Implementar simulacros de phishing periódicos y medir la tasa de notificación como un indicador compartido de madurez cultural en seguridad, no solo como una métrica técnica de TI.
Revisar en conjunto las políticas de uso de herramientas de inteligencia artificial, antes de que la adopción informal por parte de los colaboradores se convierta en un riesgo mayor.
Establecer auditorías de seguridad compartidas para la información gestionada por RRHH, integrando la perspectiva de cumplimiento y no solo la técnica.
Comunicar con transparencia las decisiones relacionadas con infraestructura en la nube, explicando a los líderes y colaboradores los beneficios de protección, continuidad y accesibilidad que ofrece un proveedor de clase mundial.

En conclusión,

El episodio con Elmer Ramos deja un mensaje claro y aplicable para cualquier organización, independientemente de su tamaño o industria: blindar una empresa ante las amenazas digitales actuales requiere dejar de ver la ciberseguridad como un proyecto exclusivo del departamento técnico. Se trata de una estrategia compartida, donde TI aporta la infraestructura y el conocimiento especializado, y RRHH aporta la comunicación, la formación y el acompañamiento del cambio de comportamiento.

Cuando ambos equipos trabajan alineados, con métricas conjuntas, políticas claras sobre el uso de nuevas tecnologías como la inteligencia artificial, y una cultura donde reportar una amenaza se celebra en lugar de castigarse, la organización deja de depender únicamente de la tecnología y construye algo mucho más difícil de vulnerar: una cultura de defensa compartida entre quienes gestionan los sistemas y quienes gestionan el talento.

Si quieres escuchar la conversación completa con Elmer Ramos, búscala en nuestro canal de YouTube y en todas las plataformas de podcast de VisualK.