Un estudio del NIST reveló que más de la mitad de los usuarios entrevistados mostraban signos de agotamiento frente a advertencias repetidas, un patrón que explica por qué las organizaciones fallan incluso con presupuestos robustos.
En 2016, investigadores del National Institute of Standards and Technology entrevistaron a 40 usuarios cotidianos de computadoras sobre sus prácticas de seguridad y privacidad. El objetivo inicial no era medir agotamiento, pero en 25 de esas 40 conversaciones apareció un patrón inesperado: los participantes describían frustración con requisitos repetidos, sensación de resignación y pérdida de control frente a las demandas de seguridad digital. Los investigadores conectaron estas experiencias con tres comportamientos concretos: evitar decisiones, elegir siempre la opción más fácil disponible y desestimar orientación protectora. El fenómeno tiene nombre propio: fatiga de seguridad.
Cuando la urgencia constante deja de significar algo
El estudio del NIST identificó que la fatiga de seguridad se caracteriza por la incapacidad de distinguir qué importa, qué es urgente y qué acción se espera del usuario. Esta definición no describe desinterés ni negligencia — describe sobrecarga. Cuando cada alerta llega marcada como crítica, cuando cada semana trae una nueva técnica de phishing documentada, cuando cada brecha de datos en una empresa grande se presenta como evidencia de que la protección individual es inútil, el resultado predecible es que la urgencia deja de funcionar como señal.
La diferencia entre mantenerse informado y sentirse obligado a permanecer en alerta máxima cada momento del día no es trivial. Una vulnerabilidad calificada como crítica en un boletín de seguridad no genera el mismo nivel de riesgo para todas las organizaciones: depende de qué productos están en uso, si los sistemas afectados están expuestos a internet, qué controles ya existen y cuál es el impacto potencial en el negocio. Una falla crítica en tecnología que una empresa no utiliza puede anotarse sin requerir acción de emergencia. Un problema menos dramático en un servicio crítico expuesto puede merecer atención inmediata. El titular por sí solo no puede hacer esa distinción.
Por qué los equipos de seguridad confunden volumen con comunicación efectiva
El patrón que el NIST documentó en usuarios individuales tiene un equivalente organizacional. Cuando los equipos de seguridad tratan cada boletín de vulnerabilidad, cada reporte de amenaza y cada actualización de cumplimiento como igualmente urgentes, no están mejorando la postura de seguridad — están compitiendo por una cantidad limitada de atención. Una alerta que genuinamente requiere acción puede desaparecer en el ruido de advertencias rutinarias.
La respuesta no es ignorar el panorama de amenazas. Los criminales adaptan técnicas, los esquemas de fraude evolucionan y algunas vulnerabilidades requieren remediación urgente. Pero la existencia de una amenaza no es lo mismo que la exposición de una persona u organización a esa amenaza. Un profesional de seguridad que etiqueta como negligencia el hecho de que alguien descarte una advertencia puede estar pasando por alto que esa persona ya perdió la capacidad de diferenciar qué mensaje merece respuesta.
El impacto en organizaciones latinoamericanas con equipos reducidos
En América Latina, donde muchas organizaciones operan con equipos de seguridad reducidos o inexistentes, la fatiga de seguridad se amplifica por factores estructurales. Un responsable de TI en una empresa mediana de México o Colombia frecuentemente acumula funciones que en otras geografías distribuyen entre especialistas: administración de sistemas, soporte a usuarios, cumplimiento regulatorio y respuesta a incidentes. Cuando ese mismo responsable recibe alertas diarias sobre vulnerabilidades en productos que tal vez ni siquiera utiliza, sin contexto sobre relevancia o prioridad, el resultado es predecible: las alertas se convierten en ruido de fondo.
El problema no es exclusivo de la región, pero la concentración de responsabilidades en pocas personas lo hace más visible. Una organización brasileña del sector financiero puede tener controles robustos y equipos dedicados. Una empresa de logística en Perú con cincuenta empleados probablemente no. Ambas reciben el mismo volumen de boletines de seguridad, pero solo una tiene capacidad de procesarlos con criterio de riesgo. Para la segunda, cada alerta sin contexto es una demanda imposible de cumplir.
Tres preguntas que separan información útil de ruido
Una alternativa al volumen constante de advertencias es un proceso que conecte alertas con activos reales, exposición verificable y responsables claros. Tres preguntas pueden servir como filtro cada vez que aparece una nueva alerta: ¿esto afecta un servicio, dispositivo, cuenta o proceso que uso o superviso? ¿requiere acción ahora, con orientación concreta y razón verificable de urgencia, o es información general sobre una amenaza posible? ¿cuál es la acción más efectiva disponible: instalar una actualización, verificar una solicitud inusual por otro canal, habilitar un control o notificar al equipo correspondiente?
Este enfoque no garantiza seguridad absoluta. Reduce la carga cognitiva y preserva atención para decisiones que importan. Para individuos, una línea base consistente es más valiosa que intentar reconocer la estafa de la semana: mantener dispositivos y aplicaciones actualizados, usar contraseñas largas y únicas con un gestor de contraseñas, habilitar autenticación multifactor y verificar solicitudes que demandan acción inmediata o información sensible. Para organizaciones, el equivalente es un proceso basado en riesgo que responda quién está afectado, qué se sabe, qué necesita hacerse y para cuándo. Cuando no se requiere acción, decirlo explícitamente también es útil.
Nuestro análisis
El estudio del NIST tiene diez años, pero el patrón que documentó no desapareció — se intensificó. El volumen de boletines de seguridad, alertas de amenazas y actualizaciones de cumplimiento creció de forma sostenida desde 2016. La cantidad de productos y servicios que una organización promedio utiliza también creció. La brecha entre la capacidad de procesar información de seguridad y la cantidad de información disponible se amplió. Lo que el NIST llamó fatiga de seguridad en usuarios individuales ahora tiene un equivalente organizacional: equipos que reciben cientos de alertas mensuales sin capacidad de priorizarlas, ejecutivos que aprueban presupuestos de seguridad sin entender qué riesgo específico están mitigando, proveedores que marcan todo como crítico porque no tienen incentivo para diferenciar.
El problema no es técnico — es de diseño de comunicación. Si un sistema de seguridad requiere que cada empleado interprete advertencias técnicas, navegue configuraciones confusas y tome la decisión correcta cada vez, el diseño del sistema es parte del problema. La carga no puede recaer enteramente en usuarios ni en equipos internos con recursos limitados. Las organizaciones y los proveedores de tecnología deberían hacer que el comportamiento seguro sea más fácil por defecto, no una tarea adicional que compite con responsabilidades operativas. ¿Cuántas brechas más van a atribuirse a error humano antes de que se reconozca que el error está en esperar que humanos procesen volúmenes de información diseñados para máquinas?