Un contratista puede recibir una cuenta, entrar a una sede y consultar información de clientes antes de conocer las reglas básicas de seguridad. El problema no se resuelve enviándole el mismo curso que a la plantilla: debe saber qué puede hacer, qué debe confirmar y a quién avisar desde su primer turno. Para empresas colombianas con personal temporal o servicios tercerizados, la inducción necesita estar conectada con el alta de accesos.
Esta guía de Insylux Cybersecurity propone un recorrido para responsables de contratación, operaciones y seguridad. No anuncia un incidente ni una obligación nueva. Se apoya en NIST SP 800-50 Rev. 1, que plantea programas de aprendizaje ajustados a funciones, objetivos de comportamiento y evaluación, y en las orientaciones públicas de MinTIC sobre capacitación en seguridad de la información. La aplicación concreta a contratistas es una propuesta editorial que debe adaptarse al contrato y al riesgo del puesto.
El acceso empieza con una decisión de negocio
La primera decisión es qué necesita el contratista para cumplir su trabajo y qué aprendizaje debe demostrar antes de usarlo. Una auxiliar temporal de despacho, un técnico que mantiene servidores y una agencia que administra redes sociales no enfrentan las mismas situaciones. Compartir una política puede ser útil, pero no explica por sí solo cómo actuar en esos tres recorridos.
El área que solicita el servicio debe describir tareas, datos, aplicaciones y duración. Tecnología convierte ese alcance en permisos y seguridad identifica decisiones sensibles. Recursos humanos o compras coordina la inducción, sin asumir que otra área ya lo hizo. Cuando el personal pertenece a un proveedor, también debe quedar claro quién confirma su identidad, comunica reemplazos y conserva la evidencia formativa.
El alta no necesita convertirse en una burocracia extensa. Puede utilizar una ficha corta con persona, empresa contratista, supervisor, función, accesos requeridos, fecha de término y actividad de preparación. Lo importante es que nadie tenga que adivinar quién autorizó la cuenta o por qué mantiene permisos meses después de terminar el servicio.
Enseñar las decisiones del puesto
La formación inicial debe partir de situaciones que la persona reconocerá durante el trabajo. En despacho: una petición inesperada de cambiar el destinatario de una entrega. En soporte: alguien solicita restablecer credenciales por teléfono. En comunicaciones: llega un enlace para recuperar una supuesta cuenta bloqueada. Cada escenario debe indicar cuándo detener la operación, qué verificar y por qué canal reportar.
Un contenido breve puede explicar tres comportamientos esenciales: proteger la identidad asignada, usar la información dentro del alcance permitido y consultar antes de ejecutar una solicitud sensible. Después se añade un ejercicio específico del rol. Evite memorizar definiciones que no cambian ninguna conducta; la evaluación debería pedir una decisión y explicar sus consecuencias.
También hay que enseñar cómo funciona la ayuda. Muestre un ejemplo de reporte con hora, mensaje o enlace, sistema involucrado y acción realizada. Indique qué datos no deben reenviarse indiscriminadamente. Una persona recién incorporada puede reconocer algo extraño y guardar silencio si teme equivocarse o no sabe qué canal utilizar.
El proveedor también participa
El contratista externo necesita conocer las reglas de la empresa receptora aunque su empleador ya tenga un programa de capacitación. Las políticas de una organización no describen los contactos, canales y autorizaciones de otra. Un certificado previo puede demostrar que cursó una formación, pero no que conoce cómo verificar un cambio de cuenta, reportar un dispositivo perdido o solicitar un permiso en este entorno.
Defina con el proveedor quién entrega la lista nominal, quién avisa sustituciones y qué ocurre cuando alguien no completa la preparación. Evite exigir datos personales innecesarios para acreditar la actividad. Una constancia asociada a la persona, función y fecha puede ser suficiente, dependiendo del alcance acordado y de las obligaciones aplicables.
Cuando haya una dependencia compleja, el SGSI / ISO 27001 de Insylux permite ordenar responsabilidades, registros y requisitos de seguridad de terceros. Su utilidad en este caso es conectar el proceso de contratación con controles operativos; la certificación no reemplaza la inducción de cada persona.
Una prueba antes del primer turno
La comprobación de preparación debe ser proporcionada y estar definida antes de invitar al colaborador. Una actividad sencilla puede presentar una solicitud de acceso, una instrucción dudosa y un caso de pérdida de información. La persona selecciona la acción y justifica qué dato necesita verificar. Si falla, recibe retroalimentación y vuelve a intentarlo con un ejemplo distinto.
No use un porcentaje arbitrario como única evidencia de competencia. Registre qué conducta se espera, qué escenario se evaluó y qué error requiere intervención del supervisor. En tareas de alto impacto, una conversación práctica o demostración acompañada puede aportar más que una batería larga de preguntas generales.
La inducción debe poder completarse en los dispositivos realmente disponibles. Personal en campo puede depender de un móvil, una conexión limitada o un turno sin escritorio. Compruebe legibilidad, navegación y tiempo de acceso. Ofrezca un canal de ayuda para fallos técnicos, de modo que una dificultad de plataforma no se interprete como falta de interés.
Formación continua sin repetir el inicio
Después de la inducción, asigne una ruta proporcional a la permanencia y responsabilidad. Un contrato de pocas semanas puede necesitar refuerzos concretos; una persona que gestiona datos o privilegios durante un año requiere continuidad. La ruta debe revisarse cuando cambia su función, se incorpora una aplicación o aparece un nuevo proceso sensible.
Insylux Academy puede apoyar la formación empresarial mediante rutas, evaluaciones y seguimiento. Antes de contratar, acuerde quién administra asignaciones, qué población se incluirá y qué evidencia necesita el supervisor. La landing corporativa es el punto para revisar el servicio; la propuesta debe detallar el alcance que corresponde a su organización.
Un recordatorio útil presenta una decisión del puesto y el contacto de ayuda, sin repetir íntegramente la inducción. Si el personal rota con frecuencia, conserve un núcleo estable y actualice ejemplos. El objetivo es que la persona actúe correctamente, no acumular contenidos que nadie recuerda al recibir una solicitud urgente.
Repartir funciones sin dejar vacíos
| Momento | Responsable operativo | Evidencia útil |
|---|---|---|
| Solicitud del contratista | Área que requiere el servicio | Tareas, duración y supervisor |
| Preparación inicial | Formación y seguridad | Actividad asignada y resultado |
| Activación de la cuenta | Tecnología | Permisos y autorización |
| Cambio de función | Supervisor | Nueva preparación y revisión de acceso |
| Fin del servicio | Compras, supervisor y TI | Aviso y cierre verificable |
La tabla distribuye trabajo; no pretende imponer el mismo organigrama a cualquier empresa. En una pyme varias funciones pueden recaer en una persona, pero las decisiones deben seguir diferenciadas. Quien requiere el acceso no debería dar por hecho que también quedó verificado el aprendizaje, la identidad y la fecha de vencimiento.
Para evitar retrasos, incluya la preparación en el calendario de contratación y no la descubra el día de llegada. Solicite la información necesaria con anticipación y defina una ruta de excepción. Una urgencia operativa puede exigir acompañamiento temporal, pero debe tener permisos limitados, dueño, plazo y revisión posterior.
Medir la población correcta
La cobertura debe calcularse sobre quienes realmente trabajan y usan recursos de la empresa, no solo sobre la nómina directa. Mantenga separados contratistas previstos, activos, sin acceso y con inducción pendiente. Un indicador que excluye al personal de terceros puede parecer favorable y ocultar precisamente a quienes entran y salen con mayor frecuencia.
Observe errores de decisión, calidad de reportes y tiempo para pedir ayuda. Evite comparar equipos con trabajos distintos mediante una única clasificación de personas. Una mejora puede consistir en detectar que el supervisor tarda demasiado en responder, no en atribuir cada falla al colaborador. El aprendizaje y el proceso deben corregirse juntos.
La Ingeniería Social de Insylux puede evaluar comportamientos mediante simulaciones autorizadas cuando esa comprobación sea pertinente. Deben acordarse participantes, canales, límites y tratamiento de resultados. No convierta una campaña en sanción automática ni prometa que una buena tasa de reporte elimina el riesgo.
Un recorrido en una operación colombiana
Escenario hipotético: una empresa de distribución en Antioquia incorpora personal temporal para atender una temporada comercial. Los nuevos auxiliares consultarán pedidos, recibirán mensajes de transportistas y utilizarán una cuenta nominal durante varias semanas. La preparación se organiza alrededor de cambios de entrega, manejo de documentos y reporte de mensajes sospechosos.
Compras entrega la lista y fechas; operaciones asigna supervisores; formación propone actividades breves; TI activa permisos después de la comprobación acordada. Si un trabajador se reemplaza, la cuenta anterior no se reutiliza. El nuevo ingreso recibe identidad y preparación propias. Un ejercicio acompañado permite comprobar si conoce el canal de consulta antes de alterar un pedido.
Los entregables esperados son una matriz de población, ruta por función, resultados de evaluación y excepciones con vencimiento. No es un cliente ni un resultado real de Insylux. El siguiente paso sería contrastar el diseño con un turno representativo y ajustar donde la operación muestre fricción, manteniendo el alcance de acceso limitado al trabajo autorizado.
Cómo empezar este mes
Durante la primera semana, seleccione una función contratista con acceso a información sensible y observe su jornada. En la segunda, escriba tres escenarios, confirme el canal de ayuda y asigne responsables. En la tercera, pruebe la inducción con un grupo pequeño y corrija dificultades. En la cuarta, conecte el resultado con las altas, cambios y bajas de cuentas.
Conserve una versión fechada del contenido y de las reglas de aceptación. Cuando se actualice el proceso, identifique a quienes necesitan el refuerzo específico. Revise con el proveedor cómo informa sustituciones y compruebe una baja real. Una inducción que funciona al ingreso pierde valor si nadie comunica que la persona dejó de prestar el servicio.
Preguntas sobre la inducción de contratistas
¿Es suficiente el curso del empleador externo?
Puede ser una base, pero debe comprobarse que cubre las decisiones y canales de la empresa donde trabajará. Añada preparación local cuando existan diferencias importantes.
¿Debe completarse la misma ruta que la plantilla?
Depende de funciones y permanencia. Compartir fundamentos es razonable; asignar contenidos ajenos al puesto reduce utilidad y puede retrasar el acceso sin mejorar seguridad.
¿Cómo tratar un ingreso urgente?
Use una excepción documentada con supervisor, permisos mínimos, acompañamiento y fecha para completar la actividad pendiente. Revise el riesgo antes de habilitar tareas sensibles.
Fuentes y límites
NIST SP 800-50 Rev. 1, septiembre de 2024, y orientación de MinTIC sobre capacitación, sensibilización y comunicación. Consultadas el 9 de octubre de 2026, hora Colombia. Las recomendaciones de implementación son de Insylux; no se presentan como una obligación laboral universal ni como prueba de incidentes en empresas colombianas.
