Por 
La tesis es directa: para ISO/IEC 27001:2022, awareness no se cumple con un curso anual y una planilla de asistencia. La cláusula 7.3 define qué deben saber todas las personas bajo control de la organización, y el control 6.3 exige un programa formal, regular y alineado al rol. Cuando eso se cruza con la evidencia empírica, medir solo finalización o clics queda corto, y el entrenamiento anual aislado aparece como un esquema débil tanto para auditoría como para operación.
Qué cambia cuando se leen juntas la cláusula 7.3, el control 6.3 y la evidencia
Ninguna fuente del material junta en una misma vista lo que exige ISO/IEC 27001:2022, lo que agrega ISO/IEC 27002:2022 y lo que muestran los estudios sobre resultados reales. Puestas lado a lado, las fuentes marcan que la obligación normativa ya existe, pero la discusión relevante pasa por cadencia, segmentación y métricas de comportamiento.
| Tema | Qué exige | A quién aplica | Cadencia | Qué medir | Señal sobre efectividad | Fuente |
|---|---|---|---|---|---|---|
| ISO/IEC 27001:2022 cláusula 7.3 | Las personas que trabajan bajo el control de la organización deben ser conscientes de la política de seguridad de la información, de su contribución a la eficacia del SGSI, incluidos los beneficios de una mejora del desempeño de seguridad, y de las implicaciones de no conformar con los requisitos del SGSI | Toda persona bajo el control de la organización, empleados, contratistas y terceros incrustados, según ISO27001.com | no especificado | no especificado | Define conciencia mínima requerida, pero no prescribe métricas de resultado | ISO27001.com |
| ISO/IEC 27002:2022 control 6.3 | El personal de la organización y las partes interesadas relevantes deben recibir información, concientización, educación y formación apropiadas en seguridad de la información, y actualizaciones regulares de la política, políticas temáticas y procedimientos, según su función laboral, según Aviso Consultancy | Personal de la organización y partes interesadas relevantes | Actualizaciones regulares | no especificado | Vincula awareness, educación y training con responsabilidades de seguridad y alineación con política y procedimientos | Aviso Consultancy |
| UpGuard sobre implementación de 6.3 | Establecer y mantener un programa formal de awareness, education and training, usar la evaluación de riesgos para definir temas, segmentar audiencia y desarrollar contenido por rol, con training antes del acceso y revisión ante cambio de rol, según UpGuard | Todo el personal y partes interesadas relevantes, con awareness general para todos y formación más profunda para equipos técnicos | La cadencia mínima es anual, pero UpGuard dice que annual training is the floor, not the ceiling, y recomienda refrescos trimestrales para roles con acceso elevado o datos sensibles | no especificado | Empuja un programa continuo y segmentado por riesgo y rol, no una instancia única | UpGuard |
| TCSA sobre operación de 7.3 | Documentar qué debe conocer toda persona en alcance, hacer una sesión corta o módulo más acuse de recibo de la política antes de conceder acceso, incluir empleados, contratistas, personal temporal, pasantes y personal externalizado, y mantener vista de cobertura, según TCSA | Empleados, contratistas, personal temporal, pasantes y personal externalizado dentro del alcance | Día uno antes de acceso, con seguimiento continuo de cobertura | Cobertura y finalización de awareness y training por población, incluyendo contratistas | Prioriza cobertura operativa y control de acceso, más que resultados conductuales | TCSA |
| NIST sobre medición de programas | no especificado | no especificado | no especificado | Click rates de simulaciones de phishing y reporting de phishing simulado y real, según NIST | Estas son las métricas que usan las organizaciones para evaluar la efectividad del phishing-related training | NIST |
| Verizon sobre resultados de programas continuos | no especificado | Usuarios seguidos durante 12 meses en un estudio citado por Verizon | Entrenamiento y testing regulares durante 12 meses | Porcentaje de vulnerabilidad al phishing | Con entrenamiento y testing regulares, la vulnerabilidad al phishing bajó de 31.4% a 4.8%, según Verizon | Verizon |
| Keepnet Labs sobre entrenamiento reciente | no especificado | Empleados que recibieron phishing awareness training dentro de los últimos 30 días | Dentro de los últimos 30 días | Tasa de reporte de intentos de phishing | Los empleados con training dentro de los últimos 30 días fueron 4x más propensos a reportar phishing, 21% frente a 5%, según Keepnet Labs | Keepnet Labs |
| NIST Beyond the Click | no especificado | Personas entrenadas versus no entrenadas | no especificado | Probabilidad de caer en phishing | Las personas entrenadas son aproximadamente un 2% menos propensas a caer en phishing, una mejora pequeña, según NIST | NIST |
| Anti-Phishing Training (Still) Does Not Work | no especificado | Participantes del estudio | no especificado | Reducción de clics y reporting behavior | No hubo mejoras estadísticamente significativas ni en clics ni en reporting behavior, según el paper en arXiv | arXiv |
| Cybersecurity Dive sobre annual training | no especificado | no especificado | Annual security awareness training | Correlación con menos phishing failures | El artículo cita un estudio que no encontró evidencia de que el annual security awareness training se correlacione con menos phishing failures | Cybersecurity Dive |
¿Qué exige realmente ISO/IEC 27001:2022 cláusula 7.3?
La cláusula 7.3 no pide simplemente "dar capacitación". Según ISO 27001:2022, las personas bajo control de la organización deben conocer la política de seguridad de la información, su contribución a la eficacia del SGSI y las implicancias de no conformar con sus requisitos, tal como recogen High Table, ISMS.online y Qalea al citar la cláusula 7.3.
La lectura de Whalemate es que esta cláusula fija un piso de conciencia exigible a toda persona en alcance, no una actividad puntual. Según ISO27001.com e ISMS.online, ese alcance incluye empleados, contratistas y terceros incrustados, y también liderazgo, por lo que dejar afuera directivos o personal tercerizado debilita tanto la operación como la evidencia de cumplimiento.
¿Qué agrega el control 6.3 que 7.3 no resuelve por sí solo?
El control 6.3 de ISO/IEC 27002:2022 agrega estructura programática. Según Aviso Consultancy, el personal y las partes interesadas relevantes deben recibir información, concientización, educación y formación apropiadas, además de actualizaciones regulares de la política, políticas temáticas y procedimientos, según su función laboral.
La lectura de Whalemate es que acá aparece el salto clave desde awareness como obligación general hacia un programa formal. Según ISMS.online, el programa debe desarrollarse de acuerdo con la política, las políticas temáticas y los procedimientos de seguridad, y además considerar la información a proteger y los controles implementados, lo que vuelve insuficiente un contenido genérico igual para todos.
¿Por qué un curso anual no alcanza aunque cubra la auditoría básica?
Aviso Consultancy, al citar el control 6.3, habla de actualizaciones regulares según función laboral. Cybersecurity Dive, por su parte, resume evidencia que no encontró correlación entre annual security awareness training y menos phishing failures, y además recoge revisiones donde los métodos comunes no reducen de forma significativa la probabilidad de caer en phishing.
La lectura de Whalemate es que el curso anual puede servir como evidencia mínima de cobertura documental, pero queda flojo frente a la propia lógica del 6.3. Si la norma pide actualizaciones regulares y por función, un único evento anual tiende a demostrar administración del requisito, no reducción del riesgo humano.
¿Programas continuos o training que no mueve la aguja?
Verizon cita un estudio de 12 meses donde, con training y testing regulares, la vulnerabilidad al phishing bajó de 31.4% a 4.8%. En tensión con eso, el paper Anti-Phishing Training (Still) Does Not Work, publicado en arXiv, concluye que el training no produjo mejoras estadísticamente significativas ni en reducción de clics ni en reporting behavior.
La lectura de Whalemate es que no toda intervención etiquetada como awareness produce el mismo efecto. La señal positiva aparece cuando hay continuidad y testing, según Verizon, mientras que la evidencia negativa cuestiona tratamientos de training que no necesariamente incorporan seguimiento sostenido, contexto o intervención recurrente sobre conducta.
¿La recencia del entrenamiento importa más que su existencia?
Keepnet Labs, al resumir hallazgos del Verizon DBIR, señala que los empleados que recibieron phishing awareness training dentro de los últimos 30 días fueron 4x más propensos a reportar intentos de phishing, con 21% frente a 5%. NIST Beyond the Click, en cambio, indica que las personas entrenadas son aproximadamente un 2% menos propensas a caer en phishing que quienes no reciben training.
La lectura de Whalemate es que "estar entrenado" como categoría general dice poco. La recencia parece mover más el comportamiento de reporte que la mera existencia histórica de una capacitación, y eso empuja a discutir cadencia operativa, no solo cumplimiento anual.
¿Qué se debería medir si los clics no cuentan toda la historia?
NIST reporta que las organizaciones usan click rates de simulaciones de phishing y reporting de phishing simulado y real para evaluar la efectividad del training. Verizon, sin embargo, cita una encuesta donde quienes reportaron haber recibido training rindieron ligeramente peor en pruebas posteriores, y donde el 74% de quienes respondieron todo mal dijeron sentirse seguros frente a amenazas.
La lectura de Whalemate es que medir clics sirve, pero no alcanza, y medir percepción puede incluso confundir. Un programa puede mostrar alta finalización o autoconfianza y al mismo tiempo no mejorar decisiones reales, por lo que conviene separar métricas de cumplimiento de métricas de comportamiento y no usar satisfacción como proxy de efectividad.