Alrededor de la cuarta diapositiva roja y negra, que muestra a una figura encapuchada tecleando de manera amenazante en una computadora portátil, algo predecible ocurre en la sala: la gente deja de inclinarse hacia adelante y comienza a revisar sus teléfonos. El presentador, confundiendo el silencio con gravedad, agrega otra estadística. La sala se vuelve más silenciosa. Nadie recuerda un solo punto de acción para el lunes. Esta es la parte que nadie menciona en las notas de retroalimentación —la presentación "fue bien" y cambió casi nada. He asistido a suficientes de estas para notar un patrón que tiene poco que ver con la seriedad de la amenaza, que es muy real, y todo que ver con lo que la diapositiva está pidiendo realmente a la audiencia que sienta versus que haga. --- **La diapositiva que debería asustarte para que te importe** Abre una presentación de ciberseguridad creada por un equipo de TI bienintencionado y, usualmente, encontrarás una diapositiva que hace todo el trabajo emocional: un conteo regresivo de "días desde el último incidente", una pared de iconos rojos, una cita sobre cómo los ataques ocurren "cada 39 segundos". Es dramático. Pero, en mi experiencia, es la diapositiva menos persuasiva del conjunto —no porque los números estén mal, sino porque la diapositiva nunca responde la pregunta que acaba de plantear en la mente de la audiencia: *okay, entonces ¿qué haré yo personalmente diferente a las 2 pm mañana?* El miedo funciona como un foco. No funciona como una brújula. Una diapositiva puede hacer que el pulso de alguien aumente durante noventa segundos y aún dejarlo con cero idea sobre qué comportamiento cambiará realmente. --- **El miedo sin un siguiente paso no es una advertencia, es solo ruido** Esto no es solo una suposición sobre las capacidades de atención. La investigación resumida de un trabajo publicado en *Frontiers in Human Neuroscience* describe lo que ocurre cuando un mensaje se basa en la gravedad de la amenaza sin emparejarla con algo que la persona pueda controlar: empuja a las personas hacia la ansiedad y el desinterés, en lugar de la vigilancia que el presentador deseaba. En otras palabras, el cerebro no archiva "ahora soy más cuidadoso", sino "esto es aterrador y, además, no es realmente mi problema resolver", y sigue adelante. Aquí está el giro que hace que el mensaje de seguridad basado en el miedo sea peor que simplemente ineficaz: una investigación publicada por Beauceron Security encontró que los empleados que tienen miedo de ser regañados por hacer clic en un enlace de phishing tienen aproximadamente la mitad de probabilidades de informarle a alguien que lo hicieron. Así que la presentación diseñada para hacer a la gente más vigilante puede, en un sentido muy literal, hacer que las mismas personas sean más propensas a ocultar el error que más necesita ser reportado rápidamente. Eso no es un problema de tono que se solucione con una fuente más amigable. Es que la diapositiva está trabajando activamente en contra de su propio objetivo. --- **La diapositiva "todo lo que encontramos" está haciendo el trabajo del pánico de forma gratuita** Algún lugar entre la introducción y las recomendaciones aparece la diapositiva que parece crecer por sí sola en cada presentación de seguridad: una tabla con todas las vulnerabilidades que encontró el auditoría, ordenadas por gravedad, con doce filas, todo en rojo. Nadie planeó construir una pared de texto rojo —se acumuló, una por una "¿también podemos agregar este hallazgo?", hasta que la diapositiva dejó de ser un gráfico y se convirtió en una hoja de cálculo disfrazada de gráfico. La sala no procesa doce hallazgos. Procesa "hay doce cosas mal y no entendí ninguna de ellas", lo que produce exactamente la respuesta de bloqueo que toda la presentación estaba tratando de evitar. Esto es básicamente el mismo patrón de fracaso que deberías eliminar de cualquier presentación —la diapositiva que creció en lugar de ser decidida. Guarda la lista completa de hallazgos como un apéndice. Muestra a la sala las dos o tres que realmente cambian lo que deben hacer este trimestre, y deja que el resto exista en algún lugar donde puedan encontrarlo si lo piden. --- **Cada presentación de seguridad que se ve igual es parte de lo que las hace sentir alarmantes** Aquí está la parte un poco vergonzosa de admitir como alguien que ha construido estas presentaciones: una gran parte del "pánico" no es el contenido, es la estética. Fondo oscuro, color de acento rojo, iconos de candado, un gráfico de escudo cerca del título —se ha convertido en una gramática visual tan fija para "ciberseguridad" que el formato en sí ahora se lee como una amenaza antes de que el presentador diga una sola palabra. Esto podría sonar como una característica. En la práctica, significa que la audiencia entra preparada para una charla, y estar preparada para una charla no es lo mismo que estar lista para escuchar. Esto no es único de los temas de seguridad —es el mismo deslizamiento hacia lo "por defecto" que ocurre en la mayoría de presentaciones corporativas, solo con una paleta de colores más aterradora. Un registro visual más tranquilo —colores neutros, iconos contenidos, un diagrama real del camino de ataque en lugar de una foto de stock de un hacker con capucha— no hace que el tema sea menos serio. Solo deja de señalar "prepárate" antes de que la audiencia tenga la oportunidad de escuchar el punto real. --- **El pánico no es un estilo de diseño —la jerarquía es lo que falta** Lo que suele reemplazar al pánico, una vez que se lo elimina, no es la monotonía. Es la jerarquía: una sola cosa clara que la audiencia debe entender primero, expresada llanamente, con todo lo demás apoyándola en lugar de competir con ella. El mismo principio que hace que una diapositiva estilo consultoría sea legible bajo presión se aplica directamente aquí: una diapositiva que diga "este es el comportamiento que habría evitado el casi accidente del trimestre pasado" hace más que una diapositiva gritando que los ataques ocurren cada 39 segundos, porque da al cerebro algo específico en lo que aferrarse en lugar de una sensación difusa de angustia. No recomendaría eliminar por completo la urgencia, ya que una charla de seguridad sin estacas asignadas es su propia versión inútil del mismo error. La solución no es menos seriedad. Es reemplazar el miedo vago y universal con una instrucción específica y personal. --- **¿Qué realmente mueve a la gente a actuar?** Las presentaciones que he visto que realmente cambian el comportamiento suelen compartir una característica poco glamurosa: pasan menos tiempo probando que la amenaza es real —el público generalmente ya cree esa parte— y más tiempo mostrando exactamente cómo se ve una respuesta adecuada, en un escenario lo suficientemente cercano al trabajo real del espectador como para que puedan imaginarse haciéndolo. Es más difícil construir esa diapositiva que un temporizador de conteo regresivo rojo. Pero también es la que la gente puede describir una semana después. La próxima vez que una presentación de seguridad cruce tu escritorio, prueba una prueba antes de enviarla: cubre la diapositiva aterradora y pregúntate qué acción única la audiencia debe llevar de ella. Si la respuesta honesta es "ten más cuidado", esa diapositiva aún no está terminada —solo está alarmada.