Formación y concienciación en ciberseguridad basada en competencias: una revisión sistemática de literatura

Abstract

La capacidad de una organización para hacer frente a las amenazas y vulnerabilidades depende en gran medida de los niveles de formación y concienciación en ciberseguridad de su personal, y en consecuencia, de la existencia de un marco de competencias que identifique los contenidos y niveles de formación y concienciación necesarios para cada puesto de trabajo. Este artículo lleva a cabo una revisión sistemática de la literatura con el objetivo de explorar el uso de modelos de competencias en la elaboración de programas de formación y concienciación en ciberseguridad dirigidos al personal no técnico de las organizaciones. El examen de la literatura muestra que, aunque existe un elevado número de estudios que abordan la formación y concienciación en ciberseguridad, las investigaciones relacionadas con modelos de competencias para el personal no especializado son significativamente escasas, las metodologías no han evolucionado de manera relevante, y los escasos modelos competenciales propuestos incorporan de forma limitada perfiles laborales. Como resultado, y con el objetivo de avanzar en el conocimiento en este campo, este artículo propone la elaboración de un modelo basado en competencias para el personal no TIC que permita la configuración de planes de formación y concienciación por perfiles laborales, incorporando de este modo las necesarias competencias en ciberseguridad.

The ability of an organization to face threats and to overcome vulnerabilities in cybersecurity depends to a large extent on the level of training and awareness of its personnel and consequently on the existence of a competency framework that identifies the indicators in training awareness required for each job. This article makes a systematic review of the literature to explore the use of competency models when developing training and awareness programs in cybersecurity aimed at non-technical personnel in organizations. An examination of the literature shows that, although there is a high number of studies that address cybersecurity training and awareness, research related to competency models for non-specialized personnel is significantly scarce, methodologies have not evolved significantly, and the few skills models available incorporate job profiles in a limited way. As a result, and with the aim to advance the knowledge in this particular field, this article presents a model based on competencies for non-ICT personnel which includes the configuration of training and awareness plans according to job profiles, thus incorporating the necessary cybersecurity competencies.