Por 
Una campaña de concientización, vista desde CISO, IT y compliance, cruza tres planos que las fuentes suelen tratar por separado, cumplimiento mínimo, medición operativa y presión de riesgo. El cruce muestra que ISO pide awareness sobre políticas y requisitos, PCI DSS y CIS fijan incorporación y piso anual con actualización, y NIST, ENISA y California empujan a medir conducta real con ejercicios, KPIs y comparación temporal. Con la exposición sostenida al phishing y la brecha de capacitación en LATAM, tratar la campaña como curso anual o tasa de finalización no alcanza para demostrar eficacia ni para priorizar intervenciones.
Puestas lado a lado, las fuentes dejan ver algo que por separado no muestran. Las normas fijan un piso de cobertura y evidencia, pero los marcos operativos piden además observación de conducta, seguimiento en el tiempo y decisiones focalizadas por grupo o función.
| Norma | Qué exige | Frecuencia mínima | Qué medir | Evidencia auditable | Decisión que habilita | Fuente |
|---|---|---|---|---|---|---|
| ISO Annex SL 7.3 Awareness | Que las personas bajo control de la organización sean conscientes de la política, los requisitos del sistema de gestión y cualquier situación o aspecto que pueda afectar los resultados previstos | no especificado | no especificado | no especificado | Asegurar cobertura de awareness sobre políticas y requisitos relevantes | ISO |
| PCI DSS 4.0 requisito 12.6 | Actividad continua de educación en awareness, programa formal para que todo el personal conozca políticas, procedimientos y su rol, revisión del programa, capacitación al ingreso, inclusión de phishing, ataques relacionados e ingeniería social, uso de múltiples métodos y reconocimiento anual de lectura y comprensión | Al incorporarse y al menos una vez cada 12 meses, revisión del programa al menos una vez cada 12 meses | no especificado | Reconocimiento del personal, al menos una vez cada 12 meses, de que leyó y comprendió políticas y procedimientos | Actualizar contenido ante nuevas amenazas y vulnerabilidades que puedan afectar al entorno de datos del titular de la tarjeta | PCI Security Standards Council |
| CIS Control 14 | Establecer y mantener un programa de concientización y habilidades de seguridad para influir en la conducta de la fuerza laboral y reducir riesgos, capacitar para reconocer ingeniería social, incluidos phishing, BEC, pretexting y tailgating, capacitar sobre autenticación y gestión de credenciales | Al incorporarse y como mínimo anualmente, revisar y actualizar el contenido anualmente o cuando ocurran cambios significativos en la empresa | Porcentaje de miembros conformes calculado como M6/M3, si la antigüedad de la capacitación supera 12 meses la salvaguarda recibe puntuación 0 y falla | Antigüedad de la capacitación y puntuación de cumplimiento de la salvaguarda | Identificar incumplimiento objetivo cuando la capacitación supera 12 meses y actualizar contenido por cambios del negocio | Center for Internet Security |
| NIST SP 800-50 Rev. 1 | Programa de aprendizaje de ciberseguridad y privacidad como enfoque de ciclo de vida adaptable, incluir métricas y métodos de evaluación para mejorar regularmente el programa y actualizarlo conforme cambian las necesidades, usar tácticas como ejercicios de phishing, newsletters, webinars, escenarios, smishing, vishing, juegos, cuestionarios, tabletop y laboratorios virtuales | no especificado | Tasas actuales de clics por grupo o función laboral, si la persona reportó el correo como phishing, hizo clic en un enlace, abrió un adjunto, porcentaje de participantes que cambió una conducta en el trabajo | Métricas y métodos de evaluación del programa, resultados observables de ejercicios de phishing | Determinar si se necesita capacitación más focalizada por grupo o función laboral y mejorar regularmente el programa | NIST |
| California SIMM 5320-A y guía estatal de phishing | Documentar un plan y una política de ejercicios simulados de phishing, desarrollar indicadores clave de desempeño y umbrales, registrar métricas durante el ejercicio, elaborar un informe resumido para comparar campañas en el tiempo, campañas controladas trimestrales para probar reconocimiento en tiempo real | La guía propone campañas trimestrales, el estándar no especifica frecuencia mínima general | Tasa de apertura, tasa de clic, tasa de envío de credenciales en una página simulada, tasa de reporte, comparación temporal entre campañas | Los informes de ejercicios deben conservarse accesibles porque pueden ser solicitados durante una auditoría | Exigir capacitación adicional al personal que no alcance el umbral mínimo definido por la entidad | California Department of Technology, California Cybersecurity Integration Center |
| ENISA | Ejecutar simulaciones regulares de phishing, combinar desarrollo de capacidades, evaluaciones regulares de tendencias y desafíos, medición de conductas de ciberseguridad y planificación de campañas | Simulaciones regulares de phishing | Alcance, cantidad de personas alcanzadas, cantidad de incidentes reportados, resultados positivos de pruebas, aumento de conocimiento, retroalimentación cualitativa, recursos utilizados y costos | no especificado | Identificar al personal que necesita capacitación adicional y ajustar campañas según tendencias y desafíos | European Union Agency for Cybersecurity |
| Presión de riesgo y brecha LATAM | no especificado | no especificado | ESET reportó en su telemetría de 2020 que Brasil concentró 26,4% de las detecciones empresariales de phishing en Latinoamérica, Perú 22,8%, México 12%, Colombia 9,1% y Argentina 7,1%, ESET 2022 describió al phishing como una vía de infección estable con un promedio aproximado de 10.000 detecciones diarias, Kaspersky informó que 47% de las empresas de América Latina no capacita a sus empleados para detectar estafas en línea | no especificado | Priorizar países, áreas o poblaciones con mayor exposición y cerrar brechas de capacitación sin usar cifras regionales como benchmark universal de eficacia | ESET, Kaspersky |
¿Alcanza con cumplir el piso anual de PCI DSS y CIS?
No. PCI DSS 12.6.3 exige capacitación al incorporarse y al menos una vez cada 12 meses, además de reconocimiento anual de lectura y comprensión de políticas, según el PCI Security Standards Council. CIS Control 14.1 también exige capacitación al ingreso y como mínimo anual, según Center for Internet Security. La lectura de Whalemate es que ese piso sirve para frecuencia y trazabilidad, pero no prueba por sí mismo cambio conductual ni efectividad operativa.
¿Por qué el propio CIS desarma la idea del curso anual suficiente?
La tensión aparece dentro del mismo campo de control. CIS fija un mínimo anual en Control 14.1, pero también advierte que un video anual prefabricado acompañado de pruebas periódicas de phishing no constituye por sí solo un programa robusto, según Center for Internet Security. La lectura de Whalemate es que el mínimo anual ordena cumplimiento, pero el diseño del programa tiene que ser más frecuente, más contextual y más específico para el riesgo real.
¿Qué agregan NIST, ENISA y California que no aparece en el piso normativo?
NIST SP 800-50 Rev. 1 propone un enfoque de ciclo de vida, con métricas y métodos de evaluación para mejorar regularmente el programa, según NIST. ENISA recomienda simulaciones regulares de phishing y medición de conductas, según European Union Agency for Cybersecurity. California exige plan, KPIs, umbrales, registro de métricas e informes comparables en el tiempo, y su guía propone campañas trimestrales, según California Department of Technology y California Cybersecurity Integration Center. La lectura de Whalemate es que estas fuentes desplazan la conversación desde dar capacitación hacia observar si la conducta cambia.
¿Qué se mide de verdad en una campaña de concientización?
Separar cobertura de conducta es la parte crítica. Para cobertura, PCI DSS y CIS permiten mirar incorporación, vigencia anual, revisión del contenido y reconocimiento de políticas, según PCI Security Standards Council y Center for Internet Security. Para conducta, NIST propone medir clics por grupo o función, reportes, apertura de adjuntos y cambio observable en el trabajo, mientras California suma apertura, clic, envío de credenciales y reporte, según NIST y California Cybersecurity Integration Center.
¿Sirven aperturas y clics como KPI principal?
Sirven, pero no alcanzan solos. CISA describe informes de campañas que muestran cuántos usuarios abrieron y cuántos hicieron clic, según Cybersecurity and Infrastructure Security Agency. SANS identifica la tasa de clic y la tasa de reporte como dos métricas centrales, según SANS Institute. Pero NIST advierte que evaluar eficacia usando solo tasa de clic aísla mal el fenómeno humano y la dificultad del mensaje, según NIST. La lectura de Whalemate es que clics y aperturas sirven como señal, no como veredicto.
¿Por qué NIST cuestiona la lectura lineal de la tasa de clic?
Porque la misma tasa puede significar cosas distintas si cambia la dificultad del correo o el contexto humano. NIST describe la NIST Phish Scale como una medida de la dificultad de detección humana de un correo de phishing, creada en 2019 con datos empíricos del mundo real, según NIST. La lectura de Whalemate es que comparar campañas sin ponderar dificultad puede empujar decisiones erradas, por ejemplo sobrerreaccionar a un clic alto en una simulación mucho más sofisticada.
