--- title: "Campaña de concientización, qué exige y qué mide | Whalemate" description: "ISO, PCI DSS, CIS, NIST, ENISA y California no piden lo mismo. El cruce muestra qué medir, qué evidencia guardar y qué decisión habilita." url: https://www.whalemate.com/recursos/blog/campana-concientizacion-exige-mide/ lang: es updated: 2026-10-30 alternates: en: https://www.whalemate.com/en/resources/blog/awareness-campaigns-what-they-require/ pt-BR: https://www.whalemate.com/br/recursos/blog/campanha-conscientizacao-exige-mede/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # Campaña de concientización, qué exige y qué mide ISO, PCI DSS, CIS, NIST, ENISA y California no piden lo mismo. El cruce muestra qué medir, qué evidencia guardar y qué decisión habilita. 30 de oct de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 11 min de lectura [Concientización](https://www.whalemate.com/recursos/blog/tema/concientizacion/) ![Campaña de concientización, qué exige y qué mide](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/campana-concientizacion-exige-mide.webp) En este artículo 1. [¿Alcanza con cumplir el piso anual de PCI DSS y CIS?](#s1) 2. [¿Por qué el propio CIS desarma la idea del curso anual suficiente?](#s2) 3. [¿Qué agregan NIST, ENISA y California que no aparece en el piso normativo?](#s3) 4. [¿Qué se mide de verdad en una campaña de concientización?](#s4) 5. [¿Sirven aperturas y clics como KPI principal?](#s5) 6. [¿Por qué NIST cuestiona la lectura lineal de la tasa de clic?](#s6) 7. [¿Qué evidencia conviene guardar para auditoría?](#s7) 8. [¿Qué pasa cuando el conocimiento declarado no coincide con la exposición real?](#s8) 9. [¿Qué cambia cuando se mira LATAM y no solo estándares globales?](#s9) 10. [¿Por qué no conviene usar telemetría regional como benchmark directo del programa?](#s10) 11. [¿Cómo se traduce esto en una decisión de mañana para CISO, IT o compliance?](#s11) 12. [Consecuencia operativa](#s12) 13. [¿Qué leer después?](#s13) Una campaña de concientización, vista desde CISO, IT y compliance, cruza tres planos que las fuentes suelen tratar por separado, cumplimiento mínimo, medición operativa y presión de riesgo. El cruce muestra que ISO pide [awareness](https://www.whalemate.com/recursos/blog/iso-27001-2022-exige-awareness/) sobre políticas y requisitos, PCI DSS y CIS fijan incorporación y piso anual con actualización, y NIST, ENISA y California empujan a [medir conducta](https://www.whalemate.com/recursos/blog/nist-cis-pci-social-engineering/) real con ejercicios, KPIs y comparación temporal. Con la exposición sostenida al phishing y la brecha de capacitación en LATAM, tratar la campaña como curso anual o tasa de finalización no alcanza para demostrar eficacia ni para priorizar intervenciones. Puestas lado a lado, las fuentes dejan ver algo que por separado no muestran. Las normas fijan un piso de cobertura y evidencia, pero los marcos operativos piden además observación de conducta, seguimiento en el tiempo y decisiones focalizadas por grupo o función. | Norma | Qué exige | Frecuencia mínima | Qué medir | Evidencia auditable | Decisión que habilita | Fuente | | --- | --- | --- | --- | --- | --- | --- | | ISO Annex SL 7.3 Awareness | Que las personas bajo control de la organización sean conscientes de la política, los requisitos del sistema de gestión y cualquier situación o aspecto que pueda afectar los resultados previstos | no especificado | no especificado | no especificado | Asegurar cobertura de awareness sobre políticas y requisitos relevantes | ISO | | PCI DSS 4.0 requisito 12.6 | Actividad continua de educación en awareness, programa formal para que todo el personal conozca políticas, procedimientos y su rol, revisión del programa, capacitación al ingreso, inclusión de phishing, ataques relacionados e ingeniería social, uso de múltiples métodos y reconocimiento anual de lectura y comprensión | Al incorporarse y al menos una vez cada 12 meses, revisión del programa al menos una vez cada 12 meses | no especificado | Reconocimiento del personal, al menos una vez cada 12 meses, de que leyó y comprendió políticas y procedimientos | Actualizar contenido ante nuevas amenazas y vulnerabilidades que puedan afectar al entorno de datos del titular de la tarjeta | PCI Security Standards Council | | CIS Control 14 | Establecer y mantener un programa de concientización y habilidades de seguridad para influir en la conducta de la fuerza laboral y reducir riesgos, capacitar para reconocer ingeniería social, incluidos phishing, BEC, pretexting y tailgating, capacitar sobre autenticación y gestión de credenciales | Al incorporarse y como mínimo anualmente, revisar y actualizar el contenido anualmente o cuando ocurran cambios significativos en la empresa | Porcentaje de miembros conformes calculado como M6/M3, si la antigüedad de la capacitación supera 12 meses la salvaguarda recibe puntuación 0 y falla | Antigüedad de la capacitación y puntuación de cumplimiento de la salvaguarda | Identificar incumplimiento objetivo cuando la capacitación supera 12 meses y actualizar contenido por cambios del negocio | Center for Internet Security | | NIST SP 800-50 Rev. 1 | Programa de aprendizaje de ciberseguridad y privacidad como enfoque de ciclo de vida adaptable, incluir métricas y métodos de evaluación para mejorar regularmente el programa y actualizarlo conforme cambian las necesidades, usar tácticas como ejercicios de phishing, newsletters, webinars, escenarios, smishing, vishing, juegos, cuestionarios, tabletop y laboratorios virtuales | no especificado | Tasas actuales de clics por grupo o función laboral, si la persona reportó el correo como phishing, hizo clic en un enlace, abrió un adjunto, porcentaje de participantes que cambió una conducta en el trabajo | Métricas y métodos de evaluación del programa, resultados observables de ejercicios de phishing | Determinar si se necesita capacitación más focalizada por grupo o función laboral y mejorar regularmente el programa | NIST | | California SIMM 5320-A y guía estatal de phishing | Documentar un plan y una política de ejercicios simulados de phishing, desarrollar indicadores clave de desempeño y umbrales, registrar métricas durante el ejercicio, elaborar un informe resumido para comparar campañas en el tiempo, campañas controladas trimestrales para probar reconocimiento en tiempo real | La guía propone campañas trimestrales, el estándar no especifica frecuencia mínima general | Tasa de apertura, tasa de clic, tasa de envío de credenciales en una página simulada, tasa de reporte, comparación temporal entre campañas | Los informes de ejercicios deben conservarse accesibles porque pueden ser solicitados durante una auditoría | Exigir capacitación adicional al personal que no alcance el umbral mínimo definido por la entidad | California Department of Technology, California Cybersecurity Integration Center | | ENISA | Ejecutar simulaciones regulares de phishing, combinar desarrollo de capacidades, evaluaciones regulares de tendencias y desafíos, medición de conductas de ciberseguridad y planificación de campañas | Simulaciones regulares de phishing | Alcance, cantidad de personas alcanzadas, cantidad de incidentes reportados, resultados positivos de pruebas, aumento de conocimiento, retroalimentación cualitativa, recursos utilizados y costos | no especificado | Identificar al personal que necesita capacitación adicional y ajustar campañas según tendencias y desafíos | European Union Agency for Cybersecurity | | Presión de riesgo y brecha LATAM | no especificado | no especificado | ESET reportó en su telemetría de 2020 que Brasil concentró 26,4% de las detecciones empresariales de phishing en Latinoamérica, Perú 22,8%, México 12%, Colombia 9,1% y Argentina 7,1%, ESET 2022 describió al phishing como una vía de infección estable con un promedio aproximado de 10.000 detecciones diarias, Kaspersky informó que 47% de las empresas de América Latina no capacita a sus empleados para detectar estafas en línea | no especificado | Priorizar países, áreas o poblaciones con mayor exposición y cerrar brechas de capacitación sin usar cifras regionales como benchmark universal de eficacia | ESET, Kaspersky | ## ¿Alcanza con cumplir el piso anual de PCI DSS y CIS? No. PCI DSS 12.6.3 exige capacitación al incorporarse y al menos una vez cada 12 meses, además de reconocimiento anual de lectura y comprensión de políticas, según el PCI Security Standards Council. CIS Control 14.1 también exige capacitación [al ingreso y como mínimo anual](https://cas.docs.cisecurity.org/en/latest/source/Controls14/), según Center for Internet Security. La lectura de Whalemate es que ese piso sirve para frecuencia y trazabilidad, pero no prueba por sí mismo cambio conductual ni efectividad operativa. ## ¿Por qué el propio CIS desarma la idea del curso anual suficiente? La tensión aparece dentro del mismo campo de control. CIS fija un mínimo anual en Control 14.1, pero también advierte que un video anual prefabricado acompañado de pruebas periódicas de phishing no constituye por sí solo un programa robusto, según Center for Internet Security. La lectura de Whalemate es que el mínimo anual ordena cumplimiento, pero el diseño del programa tiene que ser más frecuente, más contextual y más específico para el riesgo real. ## ¿Qué agregan NIST, ENISA y California que no aparece en el piso normativo? NIST SP 800-50 Rev. 1 propone un enfoque de ciclo de vida, con métricas y métodos de evaluación para mejorar regularmente el programa, según NIST. ENISA recomienda simulaciones regulares de phishing y medición de conductas, según European Union Agency for Cybersecurity. California exige plan, KPIs, umbrales, registro de métricas e informes comparables en el tiempo, y su guía propone campañas trimestrales, según California Department of Technology y California Cybersecurity Integration Center. La lectura de Whalemate es que estas fuentes desplazan la conversación desde dar capacitación hacia observar si la conducta cambia. ## ¿Qué se mide de verdad en una campaña de concientización? Separar cobertura de conducta es la parte crítica. Para cobertura, PCI DSS y CIS permiten mirar incorporación, vigencia anual, revisión del contenido y reconocimiento de políticas, según PCI Security Standards Council y Center for Internet Security. Para conducta, NIST propone medir clics por grupo o función, reportes, apertura de adjuntos y cambio observable en el trabajo, mientras California suma apertura, clic, envío de credenciales y reporte, según NIST y California Cybersecurity Integration Center. ## ¿Sirven aperturas y clics como KPI principal? Sirven, pero no alcanzan solos. CISA describe informes de campañas que muestran cuántos usuarios abrieron y cuántos hicieron clic, según Cybersecurity and Infrastructure Security Agency. SANS identifica la tasa de clic y la tasa de reporte como dos métricas centrales, según SANS Institute. Pero NIST advierte que evaluar eficacia usando solo tasa de clic aísla mal el fenómeno humano y la dificultad del mensaje, según NIST. La lectura de Whalemate es que clics y aperturas sirven como señal, no como veredicto. ## ¿Por qué NIST cuestiona la lectura lineal de la tasa de clic? Porque la misma tasa puede significar cosas distintas si cambia la dificultad del correo o el contexto humano. NIST describe la NIST Phish Scale como una medida de la dificultad de detección humana de un correo de phishing, creada en 2019 con datos empíricos del mundo real, según NIST. La lectura de Whalemate es que comparar campañas sin ponderar dificultad puede empujar decisiones erradas, por ejemplo sobrerreaccionar a un clic alto en una simulación mucho más sofisticada. Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Qué evidencia conviene guardar para auditoría? PCI DSS 12.6.3 exige obtener al menos una vez cada 12 meses el reconocimiento del personal de que leyó y comprendió las políticas y procedimientos, según PCI Security Standards Council. California SIMM 5320-A indica que los [informes de ejercicios](https://www.cdt.ca.gov/wp-content/uploads/policy/simm/SIMM-5320-A-Phishing-Exercise-Standard.pdf) deben conservarse accesibles porque pueden ser solicitados durante una auditoría, según California Department of Technology. Microsoft además señala que Attack Simulation Training requiere auditoría habilitada para capturar, registrar y recuperar eventos de actividad, según Microsoft. La lectura de Whalemate es que sin evidencia retenida, el programa existe menos en auditoría que en PowerPoint. ## ¿Qué pasa cuando el conocimiento declarado no coincide con la exposición real? Ahí aparece una de las tensiones más incómodas. La Universidad de Panamá reportó una media de conocimiento de 8,94 sobre 10, 84% de los participantes se consideró vulnerable frente al phishing y 88% declaró conocer distintos tipos de amenazas, según la Universidad de Panamá. Pero Verizon 2025 DBIR indicó que el elemento humano estuvo involucrado en aproximadamente [60% de las brechas](https://www.verizon.com/business/resources/reports/2025-dbir-executive-summary.pdf) y que phishing y pretexting lideran las acciones sociales, según Verizon. La lectura de Whalemate es que percepción y autoevaluación no reemplazan medición conductual. ## ¿Qué cambia cuando se mira LATAM y no solo estándares globales? Cambia la presión de decisión, no la lógica de medición. El ESET Security Report LATAM 2021 informó, con telemetría de 2020, que Brasil concentró [26,4% de las detecciones](https://web-assets.esetstatic.com/wls/2021/06/ESET-security-report-LATAM2021.pdf) empresariales de phishing en Latinoamérica, Perú 22,8%, México 12%, Colombia 9,1% y Argentina 7,1%, según ESET. El ESET Security Report LATAM 2022 describió al phishing como una vía de infección estable, con un promedio aproximado de 10.000 detecciones diarias, y Kaspersky informó que 47% de las empresas de América Latina no capacita a sus empleados para detectar estafas en línea, según ESET y Kaspersky. La lectura de Whalemate es que hay exposición sostenida y brecha de entrenamiento, pero esas cifras no deben convertirse en benchmark universal de eficacia. ## ¿Por qué no conviene usar telemetría regional como benchmark directo del programa? Porque mezcla poblaciones, años y metodologías distintas. El propio material advierte que las cifras regionales de ESET y Kaspersky deben conservar su año y metodología y no deben transformarse en una tasa de eficacia de la capacitación. La lectura de Whalemate es que esas cifras sirven para justificar prioridad y presupuesto, no para afirmar que un área propia está mejor o peor sin medición interna comparable. ## ¿Cómo se traduce esto en una decisión de mañana para CISO, IT o compliance? La decisión habilitada no es comprar más contenido genérico, sino rediseñar el programa como ciclo continuo. Según NIST, el programa puede comenzar determinando las tasas actuales de clics por grupo o función laboral para evaluar si se necesita capacitación más focalizada. Según California, también conviene definir umbrales y exigir capacitación adicional a quien no los alcance. Según PCI DSS y CIS, además hay que sostener incorporación, revisión y actualización anual con evidencia de cumplimiento. La lectura de Whalemate es que el dato útil no es quién terminó un curso, sino qué grupo, rol o área necesita intervención específica y puede demostrarlo. ## Consecuencia operativa Para un equipo de CISO, IT o compliance en LATAM, campaña de concientización debería significar un programa continuo con cuatro capas. Primero, cobertura mínima y trazable, incorporación, piso anual, actualización del contenido y reconocimiento de políticas, según PCI Security Standards Council y Center for Internet Security. Segundo, medición separada entre cobertura y conducta, con KPIs como alcance y finalización por un lado, y clic, reporte, envío de credenciales, apertura de adjuntos, tiempo de reporte y repetición de fallas por otro, según NIST, California, CISA y SANS. Tercero, evidencia auditable, con registros de reconocimiento, métricas, resultados e informes comparables en el tiempo, según PCI Security Standards Council y California Department of Technology. Cuarto, decisión focalizada, usar resultados por grupo, rol o área para imponer capacitación adicional, priorizar recursos y justificar presupuesto ante una presión de riesgo donde el phishing sigue estable en la región y casi la mitad de las empresas latinoamericanas no capacita a su personal, según ESET y Kaspersky. ## ¿Qué leer después? - [Concientización en la plataforma](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) - [Ingeniería social: NIST, CISA](https://www.whalemate.com/recursos/blog/nist-cisa-explain-social-engineering/) - [PCI DSS y phishing vs spam en LATAM](https://www.whalemate.com/recursos/blog/pci-dss-phishing-vs-spam/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) Preguntas ## Preguntas frecuentes **¿Una campaña de concientización es lo mismo que un curso anual?** No. PCI DSS 12.6 exige un programa de concientización en seguridad como actividad continua, y CIS Control 14 exige establecer y mantener un programa para influir en la conducta de la fuerza laboral, según PCI Security Standards Council y Center for Internet Security. Un curso anual puede cubrir una parte del requisito, pero no agota la medición ni la intervención operativa. **¿Qué KPI debería mirar primero un CISO?** Primero conviene separar KPI de cobertura de KPI de conducta. Cobertura incluye incorporación, vigencia anual, alcance y finalización. Conducta incluye clics, reportes, apertura de adjuntos, envío de credenciales y cambio observable en el trabajo, según NIST y California Cybersecurity Integration Center. Esa separación evita confundir cumplimiento documental con reducción real del riesgo humano. **¿Qué evidencia conviene retener para una auditoría?** Como mínimo, reconocimiento anual de lectura y comprensión de políticas, según PCI DSS 12.6.3 del PCI Security Standards Council. Si hay simulaciones, también informes, métricas y comparaciones históricas, porque California SIMM 5320-A indica que esos reportes deben quedar accesibles para auditoría. Si la plataforma lo requiere, también hay que habilitar y conservar los eventos de auditoría, según Microsoft. **¿Las simulaciones de phishing son obligatorias?** No todas las fuentes las plantean como obligación universal, pero varias las empujan con fuerza como práctica de medición. NIST las incluye como táctica posible para awareness y evaluación, ENISA recomienda simulaciones regulares, y California exige documentar ejercicios simulados con métricas e informes, según NIST, ENISA y California Department of Technology. Operativamente, son el puente entre concientización y evidencia conductual. **¿Se puede usar una cifra regional de phishing para demostrar eficacia interna?** No de forma directa. El material indica que cifras como la telemetría regional de ESET o la brecha de capacitación reportada por Kaspersky deben conservar su año y metodología y no convertirse en benchmarks universales ni en tasa de eficacia de la capacitación. Sirven para dimensionar exposición y justificar prioridad, no para reemplazar métricas propias comparables en el tiempo. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CCampa%C3%B1a%20de%20concientizaci%C3%B3n%2C%20qu%C3%A9%20exige%20y%20qu%C3%A9%20mide%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CCampa%C3%B1a%20de%20concientizaci%C3%B3n%2C%20qu%C3%A9%20exige%20y%20qu%C3%A9%20mide%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [¿Alcanza con cumplir el piso anual de PCI DSS y CIS?](#s1) 2. [¿Por qué el propio CIS desarma la idea del curso anual suficiente?](#s2) 3. [¿Qué agregan NIST, ENISA y California que no aparece en el piso normativo?](#s3) 4. [¿Qué se mide de verdad en una campaña de concientización?](#s4) 5. [¿Sirven aperturas y clics como KPI principal?](#s5) 6. [¿Por qué NIST cuestiona la lectura lineal de la tasa de clic?](#s6) 7. [¿Qué evidencia conviene guardar para auditoría?](#s7) 8. [¿Qué pasa cuando el conocimiento declarado no coincide con la exposición real?](#s8) 9. [¿Qué cambia cuando se mira LATAM y no solo estándares globales?](#s9) 10. [¿Por qué no conviene usar telemetría regional como benchmark directo del programa?](#s10) 11. [¿Cómo se traduce esto en una decisión de mañana para CISO, IT o compliance?](#s11) 12. [Consecuencia operativa](#s12) 13. [¿Qué leer después?](#s13) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[LATAM: qué evaluar en plataformas de awareness\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-evaluar-plataformas-awareness.webp)](https://www.whalemate.com/recursos/blog/latam-evaluar-plataformas-awareness/) Concientización 29 de oct de 2026 Por Federico Hombre ### LATAM: qué evaluar en plataformas de awareness Para CISO, IT y compliance, una plataforma de awareness sirve para medir, segmentar y auditar conducta, no solo para dar cursos. Leer más [!\[PCI, CISA y NIST: phishing vs vishing en control\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-cisa-nist-phishing-vs.webp)](https://www.whalemate.com/recursos/blog/pci-cisa-nist-phishing-vs/) Concientización 28 de oct de 2026 Por Federico Hombre ### PCI, CISA y NIST: phishing vs vishing en control El cruce entre PCI DSS, NIST, CISA y CTIR muestra que phishing y vishing no se gestionan igual. Cambian métricas, controles y decisiones de cumplimiento. Leer más [!\[Phishing vs spear phishing, qué cambia para CISO\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-vs-spear-phishing-cambia.webp)](https://www.whalemate.com/recursos/blog/phishing-vs-spear-phishing-cambia/) Concientización 27 de oct de 2026 Por Federico Hombre ### Phishing vs spear phishing, qué cambia para CISO La diferencia habilita métricas y controles distintos. Para decidir bien, no alcanza con medir clics ni con un curso anual. Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)