CISA y NIST sobre simulaciones de ciberataque

Las simulaciones de cyber attack no se miden bien con una sola tasa de clics. Lo útil para un CISO, IT o compliance es ver qué capacidad prueba el ejercicio, qué variable cambió el resultado y qué ajuste de programa queda habilitado. ISO/IEC 27001:2022 pide conciencia, educación, capacitación y actualizaciones periódicas según el rol, mientras CISA y NIST empujan hacia ejercicios, métricas y correcciones más operativas.

Antes de mirar cada fuente por separado, el cuadro conjunto muestra algo que ninguna deja armado sola, la norma pide el programa, CISA define el ejercicio y NIST y los estudios empujan las métricas y las variables que realmente mueven el resultado.

¿Qué pide realmente ISO/IEC 27001:2022 y qué no define?

ISO/IEC 27001:2022, en la cláusula 6.3 y en el control A.6.3, exige conciencia, educación, capacitación y actualizaciones periódicas adecuadas a la función laboral, según la copia de la norma y el resumen de control provistos. No fija una KPI de simulación ni obliga a mirar una sola métrica. La lectura de Whalemate es que la norma define el deber de programa, no el tablero de control.

¿Qué entiende CISA por cyber exercise y simulated cyberattack?

CISA, en NICCS, define un cyber exercise como un evento planificado para simular una disrupción cibernética y desarrollar o probar prevención, detección, mitigación, respuesta o recuperación. CISA también define un simulated cyberattack como un ataque autorizado y simulado para evaluar defensas y hallar debilidades explotables. La lectura de Whalemate es que el ejercicio vale por la capacidad que pone a prueba, no por la teatralidad del señuelo.

¿Por qué CISA insiste en ejercicios anunciados y no anunciados?

CISA, en sus Cybersecurity Performance Goals, señala que los ejercicios pueden incluir penetration testing, bug bounties, simulaciones de incidentes o ejercicios de mesa, y deberían incluir pruebas anunciadas y no anunciadas. Eso cambia la calidad de la evidencia, porque evita que el equipo responda solo por expectativa del calendario. La lectura de Whalemate es que el anuncio o la sorpresa son variables de diseño, no detalles administrativos.

¿Qué métricas usa NIST para evaluar concientización?

NIST, en su estudio sobre programas de concientización, reporta que las métricas más usadas fueron tasa de finalización de capacitación, clics en simulaciones de phishing y auditorías o evaluaciones de programa. El mismo estudio también menciona reportes de phishing simulado y real como insumo de evaluación. La lectura de Whalemate es que la medición útil mezcla cumplimiento formal con comportamiento observable.

¿Qué pasa cuando se cambia la dificultad o la personalización del señuelo?

Phin Security, al resumir un estudio académico, dice que la dificultad del phishing simulado tuvo un efecto sustancial, con clics que subieron de 7% con señuelos fáciles a 15% con señuelos difíciles. En el estudio hospitalario de SAGE, la personalización aumentó significativamente la probabilidad de interacción, con 64% que no abrió el phishing general frente a 38% que no abrió el personalizado. La lectura de Whalemate es que el resultado depende mucho del diseño del estímulo.

¿La capacitación convencional alcanza para bajar el riesgo?

Phin Security resume un estudio longitudinal de más de 14.000 empleados durante 15 meses y dice que la capacitación convencional integrada no volvió a los empleados más resilientes al phishing y pudo tener efectos negativos no intencionados. El mismo resumen agrega que las simulaciones sostenidas y la capacitación dirigida redujeron aproximadamente a la mitad las tasas de compromiso exitoso dentro de seis meses. La lectura de Whalemate es que el programa tiene que cerrar el ciclo entre simulación, análisis, intervención y ajuste de la capacitación.

¿Qué implica esto para un CISO, IT o compliance en LATAM?

La decisión útil para mañana es dejar de tratar la simulación como un trámite de awareness y convertirla en una prueba de capacidad. Eso implica definir si se medirá apertura, clic, envío de datos, reporte, auditoría y desempeño en ejercicios anunciados y no anunciados, según el objetivo del programa. También implica decidir si el problema está en el diseño del señuelo, en la capacidad de detección y reporte, o en la capacitación que vino después.

Para IT y seguridad, eso cambia la operación, porque obliga a conservar trazabilidad de campañas, segmentación, resultados y acciones correctivas. Para compliance, cambia la evidencia, porque ya no alcanza con demostrar que hubo entrenamiento, sino que el programa produce actualización periódica y correcciones observables. Para CISO, la decisión concreta es si el programa se gobierna por una sola tasa de clics o por un conjunto de señales que permitan ajustar controles y capacitación.

¿Qué leer después?

• Concientización en la plataforma
• Plataformas de awareness en español para LATAM
• Ingeniería social: NIST, CISA