Por 
Para CISO, IT y compliance en LATAM, una plataforma de gestión del riesgo humano no es otro canal de awareness, sino la capa de medición y evidencia que vuelve operable lo que ISO/IEC 27001:2022 exige sobre competencia, conciencia y formación continuas. El quiebre práctico está en que, según Qalea e ISMS.online, ISO pide programas eficaces y recurrentes, pero el enfoque clásico de curso anual o tasa de finalización no prueba reducción de exposición ni habilita decisiones finas de priorización, endurecimiento de flujos o reporting de gobierno. A eso se suma que, según PR Newswire Brasil, el Informe de Benchmarking de Phishing por Industria 2025 de KnowBe4 analizó 67,7 millones de simulaciones de phishing realizadas sobre 14,5 millones de usuarios de 62,4 mil organizaciones, con una Porcentaje Phish-prone™ global inicial de 33,1% que, tras 12 meses de capacitación de seguridad, descendió a 4,1%, una reducción global del 86%.
Qué se ve cuando se comparan ISO y HRM
Puestas lado a lado, las fuentes muestran algo que no aparece armado por separado en ninguna de ellas: ISO/IEC 27001:2022 define obligaciones sobre competencia, conciencia y formación, mientras las plataformas HRM describen cómo convertir esas obligaciones en métricas de comportamiento, decisiones operativas y evidencia para dirección.
| Norma o plataforma | Qué exige o aporta | Cómo se mide | Qué suele fallar | Qué decisión habilita | Fuente |
|---|---|---|---|---|---|
| ISO/IEC 27001:2022 cláusula 7.2 | Las personas que realizan trabajos bajo el control de la organización deben ser competentes en función de su educación, formación o experiencia. | no especificado | no especificado | Asegurar la competencia en temas de información y ciberseguridad. | Qalea |
| ISO/IEC 27001:2022 cláusula 7.3 | Todas las personas que realizan trabajos bajo el control de la organización deben ser conscientes de la política de seguridad de la información, de su contribución a la eficacia del ISMS y de las implicaciones de no conformarse con los requisitos del sistema. | no especificado | no especificado | no especificado | Qalea |
| ISO/IEC 27001:2022 Annex A 6.3 | El personal y las partes interesadas relevantes deben recibir concienciación, educación y formación apropiadas, además de actualizaciones periódicas sobre la política de seguridad, las políticas específicas por tema y los procedimientos pertinentes a su función. | Para demostrar que el programa reduce el riesgo, se debe evidenciar el vínculo entre formación y resultados, por ejemplo mostrando menos usuarios víctimas de phishing y tiempos de reporte de incidentes más rápidos. | La educación en seguridad debe ser continua, impulsada por las partes interesadas y adaptativa, no solo una vez al año. | La alta dirección y el consejo deben aprobar, dotar de recursos y revisar periódicamente los programas de concienciación. | ISMS.online |
| Plataforma HRM según Adaptive Security | Se apoya en simulaciones continuas multicanal, capacitación disparada por comportamiento, puntajes de riesgo dinámicos por empleado, infraestructura de triaje de phishing con botón de reporte, realismo basado en OSINT y reporting de riesgo a nivel de junta directiva. | Tasa de fallo en simulaciones de phishing, tasa de reporte, exactitud de los reportes, tiempo mediano de reporte, volumen de reportes de incidentes, número de reportes confirmados maliciosos, tiempo de remediación, tiempo hasta el aislamiento de cuentas afectadas, reincidencia de incidentes y magnitud de la interrupción del negocio. | Reemplaza métricas de cumplimiento genéricas por indicadores de comportamiento. | Priorizar a quién intervenir según el movimiento del risk score, la reincidencia de fallos y el desempeño por canal. | Adaptive Security |
| Plataforma HRM según NHIMG | Modelo de gobernanza por capas para medir el comportamiento, reducir la exposición y vincular controles centrados en las personas con resultados de seguridad más amplios. | Latencia en el reporte de incidentes, recurrencia de la susceptibilidad al phishing, comportamiento de aprobación riesgoso y frecuencia de excepciones de seguridad, correlacionando estos datos con resultados como fraude, abuso de acceso y éxito de ataques de ingeniería social. | Reportar solo tasas de finalización de cursos. | Endurecer flujos de identidad que dependen de personas, como reseteo de contraseñas, recuperación de MFA, aprobaciones privilegiadas y escalaciones al help desk, y reportar a la dirección sobre cambios en intentos fallidos de ingeniería social, reducción de excepciones y detección más rápida de solicitudes sospechosas. | NHIMG |
| Plataforma HRM según Living Security | Unifica señales de toda la pila de seguridad existente, las correlaciona con personas individuales y transforma los datos crudos en inteligencia accionable que permite detectar y medir comportamientos de seguridad, cuantificar el riesgo humano e iniciar intervenciones de política y formación según ese riesgo. | Disminución medible de incidentes de seguridad originados en la actividad humana, incluyendo menos ataques de phishing exitosos, reducción de compromisos de credenciales y menor pérdida de datos atribuible a errores de empleados, además de la reducción del número de usuarios de alto riesgo, la disminución de intentos de phishing exitosos y la aceleración del tiempo de resolución de riesgos identificados. | no especificado | Conectar intervenciones específicas con mejoras de comportamiento y medir la evolución de las métricas en el tiempo. | Living Security |
¿Qué cambia cuando ISO pide un programa y HRM pide evidencia de comportamiento?
UpGuard afirma que ISO/IEC 27001:2022 A.6.3 exige establecer y mantener un programa formal de concienciación, educación y formación para todo el personal y las partes interesadas relevantes. Adaptive Security, en cambio, sostiene que Human Risk Management reemplaza métricas de cumplimiento genéricas por indicadores de comportamiento. La lectura de Whalemate es que no hay contradicción, el programa formal sigue siendo obligatorio, pero deja de ser suficiente si no produce evidencia observable de cambio conductual.
Ese cruce cambia el estándar de prueba interna. Según ISMS.online, para demostrar que el programa reduce el riesgo hay que vincular formación con resultados, como menos usuarios víctimas de phishing y tiempos de reporte más rápidos. Entonces, la plataforma HRM no sustituye la obligación normativa, la vuelve defendible frente a auditoría, dirección y gestión diaria.
¿Por qué el awareness anual queda corto frente a ISO/IEC 27001:2022?
ISMS.online indica que la organización podría necesitar proporcionar formación de concienciación al menos una vez al año, o con la frecuencia que determine la evaluación de riesgos. Ironscales responde desde la práctica de HRM que la capacitación efectiva se dirige a las personas correctas en el momento adecuado, a menudo disparada por una simulación fallida o una acción riesgosa, no por calendario anual. La lectura de Whalemate es que la frecuencia mínima no debe confundirse con eficacia operativa.
El problema no es dar formación anual, sino usarla como techo. Según ISMS.online, bajo A.6.3 la educación debe ser continua, adaptativa y no solo una vez al año. Eso deja expuesto el límite del awareness clásico, cumple un rito administrativo, pero no acompaña la variación real del riesgo humano. Según PR Newswire Brasil, en el segundo trimestre de 2025 los temas internos representaron el 98,4% de los 10 modelos de correo electrónico más clicados en simulaciones de phishing, y Recursos Humanos apareció citado en el 42,5% de las fallas de phishing y TI en el 21,5%.
¿Qué se mide de verdad en una plataforma de gestión del riesgo humano?
Adaptive Security detalla que las plataformas avanzadas de HRM miden tasa de fallo en simulaciones de phishing, tasa de reporte, exactitud de los reportes y tiempo mediano de reporte en canales como correo electrónico, SMS, voz y herramientas de colaboración. Expert Insights suma tasas de clic, envío de credenciales, comportamiento de reporte y tiempo hasta el reporte como insumos clave para evaluar el riesgo humano. KnowBe4 también ubica como indicadores habituales la tasa de reporte de incidentes, la susceptibilidad al phishing y el tiempo hasta la detección.
A eso se agregan métricas de operación y remediación. Según Adaptive Security, también se rastrean volumen de reportes de incidentes, número de reportes confirmados maliciosos, tiempo de remediación, tiempo hasta el aislamiento de cuentas afectadas, reincidencia de incidentes y magnitud de la interrupción del negocio. NHIMG recomienda además medir latencia en el reporte, recurrencia de susceptibilidad al phishing, comportamiento de aprobación riesgoso y frecuencia de excepciones de seguridad, correlacionando esos datos con fraude, abuso de acceso y éxito de ataques de ingeniería social.
¿Qué parte de ISO/IEC 27001:2022 traduce una plataforma HRM?
Qalea señala que la cláusula 7.2 de ISO/IEC 27001:2022 exige que las personas sean competentes en función de su educación, formación o experiencia. La cláusula 7.3, según la misma fuente, requiere que esas personas sean conscientes de la política de seguridad, de su contribución a la eficacia del ISMS y de las implicaciones de no conformarse con sus requisitos. Qalea también indica que el control 6.3 exige concienciación, educación, formación apropiadas y actualizaciones periódicas sobre políticas y procedimientos relevantes a la función.
La traducción que hace HRM es llevar esas exigencias a evidencia observable. Según Proofpoint, una implementación de Human Risk Management incluye evaluación de riesgo humano específica por organización, análisis del comportamiento, capacitación adaptada al perfil de riesgo, monitoreo continuo en tiempo real y políticas que se ajustan según comportamientos observados y amenazas emergentes. Ahí es donde competencia, conciencia y formación dejan de ser categorías declarativas y pasan a expresarse en señales operativas.
¿Dónde falla en la práctica un programa centrado solo en cursos?
NHIMG dice de forma explícita que reportar solo tasas de finalización de cursos es una limitación del enfoque tradicional. Adaptive Security agrega que HRM reemplaza métricas de cumplimiento genéricas por indicadores de comportamiento. La lectura de Whalemate es que el fallo más común no es la falta de contenido, sino la falta de capacidad para probar si ese contenido cambió algo relevante en la exposición real.
Infosec Institute distingue HRM de la formación clásica al señalar que aborda sistemáticamente los riesgos asociados a cada fase del ciclo de vida del empleado, desde el onboarding hasta la salida, en lugar de limitarse a impartir cursos aislados. Springer llega a una conclusión similar al sostener que el valor de HRM reside en cuantificar y predecir el riesgo de empleados y de la organización, ofrecer intervenciones en tiempo real adaptadas y fomentar culturas de ciberseguridad saludables. El curso suelto informa, pero no necesariamente gestiona riesgo.
¿El risk score sirve para gobernar o para disciplinar personas?
usecure define el human risk score como una representación numérica del riesgo cibernético por usuario, equipo y organización basada en comportamiento observado, útil para priorizar intervenciones sobre grupos o individuos con mayor exposición. Living Security describe estas plataformas como soluciones que asignan un risk score dinámico a individuos, equipos y a toda la organización para identificar las áreas más vulnerables. Ironscales agrega que esa puntuación sube y baja según el comportamiento del usuario y da visibilidad en tiempo real de dónde se concentra el riesgo humano.
La lectura de Whalemate es que el score tiene valor si orienta soporte, intervención y diseño de controles, no si se usa como herramienta disciplinaria. El propio material de Whalemate plantea que el risk score consolida señales de simulaciones, cursos, reportes y comportamiento para priorizar intervenciones, no para disciplinar. Si la organización lo convierte en castigo, deteriora la cultura de reporte que ISACA considera crítica.
