Cuando las políticas restrictivas de ciberseguridad resultan contraproducentes

De HBR.org

La IA generativa y una gama de aplicaciones laborales en rápida evolución han transformado la experiencia de los empleados. Las personas están rodeadas de herramientas que les ayudan a escribir, programar, analizar, resumir, diseñar y automatizar. Muchas de estas herramientas son realmente útiles. Tan útiles, de hecho, que cuando las organizaciones las prohíben, los empleados no necesariamente dejan de usarlas. A menudo, continúan utilizándolas de manera menos visible.

En un estudio global de 2025 realizado por KPMG y la Universidad de Melbourne, el 57 por ciento de los trabajadores afirmó haber ocultado su uso de la IA, y el 48 por ciento dijo que subía datos de la empresa a herramientas públicas de IA.

Los líderes pueden interpretar esto como evidencia de que los empleados son descuidados y que, por lo tanto, las organizaciones necesitan una aplicación más estricta de las normas: más bloqueos, más capacitación obligatoria, políticas más restrictivas. Ese instinto es comprensible, ya que las amenazas a la ciberseguridad son reales, costosas y cruciales para la continuidad de los negocios. Sin embargo, nuestra investigación apunta a un panorama más complejo: las políticas restrictivas en sí mismas pueden convertirse en parte del problema.

Por qué las políticas restrictivas pueden ser contraproducentes

En primer lugar, cuando las políticas se imponen de manera que los empleados sienten que la organización se está extralimitando en su control, experimentan una respuesta emocional medible llamada "reactancia psicológica", lo que a su vez los lleva a restarle importancia al grado de gravedad que le atribuyen a las amenazas de ciberseguridad.

En segundo lugar, cuando las organizaciones eliminan o revierten las políticas de ciberseguridad, los empleados deducen de inmediato que el riesgo de ciberseguridad subyacente en torno al cual se creó la política nunca fue tan grave como afirmaba la organización, y, en última instancia, reducen su preocupación por las amenazas de ciberseguridad en general.

Lo que los líderes deberían hacer diferente

No estamos sugiriendo que las empresas deban evitar las políticas de ciberseguridad, dejar de restringir el acceso o hacer que todas las decisiones de seguridad sean opcionales; eso sería irresponsable. Pero los líderes deben reconocer que la revocación de una política deja un residuo psicológico y, a menos que puedan explicar claramente por qué se flexibiliza la norma, los empleados pueden sacar conclusiones que socaven los programas de ciberseguridad.

A continuación, presentamos cinco principios para diseñar políticas de ciberseguridad que puedan ayudar a proteger a la organización sin generar reacciones psicológicas contraproducentes.

1. Ofrece a los empleados opciones dentro de los límites establecidos.

La reactancia es más probable cuando los empleados sienten que se les ha quitado una libertad que valoran. Se puede preservar una opción significativa dentro de límites seguros.

En el caso de las herramientas de IA, esto podría significar ofrecer un menú de plataformas aprobadas en lugar de una prohibición general. En cuanto a la capacitación, podría significar permitir que los empleados elijan entre módulos, formatos u horarios específicos para cada puesto. Para el desarrollo de software, podría significar crear un entorno de pruebas seguro donde se fomente la experimentación, al tiempo que se restringe el uso de herramientas públicas para código o datos confidenciales.

2. Haz que el camino seguro sea menos desagradable.

Los empleados no usan herramientas no autorizadas solo porque sean imprudentes. A menudo las usan porque las herramientas autorizadas son más lentas, menos eficaces, más difíciles de acceder o de usar, o no se adaptan bien al trabajo.

Por lo tanto, los líderes deben tratar la frustración de los empleados como información relevante para la seguridad. Los equipos de ciberseguridad deben colaborar con las unidades de negocio para identificar las tareas que los empleados intentan realizar con herramientas no autorizadas. Acto seguido, deben trabajar con los empleados para diseñar alternativas autorizadas que sean realmente útiles, de modo que se minimice la aversión a la solución y la reactancia.

3. Explica la amenaza antes de imponer el control.

Los empleados son más propensos a aceptar restricciones cuando comprenden primero la amenaza. Con demasiada frecuencia, las organizaciones anuncian la restricción antes de explicar el riesgo.

Esa secuencia genera reactancia y, por consiguiente, aversión a la solución. Una secuencia más adecuada consiste en explicar la amenaza, mostrar cómo se aplica al trabajo real de los empleados, reconocer el valor del comportamiento restringido, ofrecer alternativas seguras y, solo entonces, introducir la medida de control. Este enfoque fomenta una consideración racional de la decisión gerencial, en lugar de una reactancia instintiva.

4. Planea la salida antes de imponer la prohibición.

Una prohibición temporal puede ser necesaria. Pero los líderes deben asumir que revertir una política restrictiva se interpretará como evidencia de la amenaza original.

Si los líderes imponen una prohibición como medida temporal, deben expresarlo. Deben explicar qué tendría que cambiar para que se revise la política. Y cuando se levanten las políticas, deben ser claros sobre por qué y dónde persisten los riesgos. Hacerlo debería reducir la probabilidad de que los empleados interpreten el cambio como una admisión de que el riesgo fue exagerado.

5. Evalúa las creencias además del cumplimiento.

Los líderes deben evaluar periódicamente las creencias de los empleados en materia de seguridad. ¿Creen los empleados que los riesgos cibernéticos son exagerados? ¿Entienden por qué se restringen ciertas herramientas? ¿Saben qué alternativas hay disponibles? ¿Creen que los líderes consideran igual de graves las amenazas? ¿Ven al equipo de seguridad como un aliado o como un obstáculo?