Por 
Para un CISO, IT o compliance en LATAM, una plataforma de security awareness training debería evaluarse como un sistema de medición, segmentación y evidencia, no como un catálogo de cursos. Los marcos del material coinciden en pedir capacitación continua y actualizada, y varios agregan ejercicios, evaluación de eficacia y registros verificables. La tensión aparece cuando esa exigencia normativa se cruza con la evidencia empírica: la capacitación sola no muestra una reducción consistente del phishing, por lo que la decisión útil es a quién intervenir, con qué intensidad y cómo probar si el programa funciona.
Qué muestran juntas las exigencias normativas
Puestas lado a lado, las fuentes no describen simplemente un deber de "capacitar". Describen un sistema que combina frecuencia, ejercicios, medición y evidencia, con distinto nivel de detalle según el marco.
| Norma | Qué exige | Frecuencia | Ejercicios | Qué medir | Evidencia | Fuente |
|---|---|---|---|---|---|---|
| NIST SP 800-53 Rev. 5 AT-2 | Capacitación de alfabetización en seguridad y privacidad para usuarios del sistema, incluidos gerentes, ejecutivos sénior y contratistas; actualizar contenido e incorporar lecciones aprendidas de incidentes o brechas internas o externas | Capacitación inicial para nuevos usuarios y luego con la frecuencia definida por la organización; también cuando lo requieran cambios del sistema o eventos definidos por la organización | Incluye las mejoras AT-2(1) "Practical Exercises" y AT-2(3) "Social Engineering and Mining" | no especificado | no especificado | según NIST SP 800-53 Rev. 5 |
| PCI DSS v4.0 Req. 12.6 | Un programa formal de concientización para que todo el personal conozca la política y procedimientos de seguridad de la información y su rol en proteger los datos del titular; la capacitación debe incluir phishing and related attacks y social engineering | La educación de concientización en seguridad es una actividad continua | no especificado | no especificado | no especificado | según PCI DSS v4.0 |
| ISO/IEC 27001:2022 Annex A 6.3 + cláusula 7.2 | El personal y las partes interesadas relevantes deben recibir concientización, educación y capacitación apropiadas y actualizaciones regulares; además se debe determinar la competencia necesaria, asegurar la competencia, tomar medidas para adquirirla y evaluar la eficacia de esas medidas | Actualizaciones regulares | no especificado | Evaluar la eficacia de las medidas tomadas para adquirir la competencia | Conservar información documentada como evidencia de competencia | según ISO/IEC 27001:2022 y la interpretación citada por Sentrix |
| CISA phishing guidance + CISA FISMA metrics | Implementar capacitación de usuarios sobre ingeniería social y phishing; educar regularmente para identificar correos y enlaces sospechosos, no interactuar con ellos y reportarlos; combinar concientización y capacitación, ataques simulados y análisis de resultados para modificar la capacitación y reducir el riesgo | Los empleados deben revisar material de capacitación anti-phishing anualmente; también se exige monitorear y analizar métricas cuantitativas y cualitativas | Evaluación de vulnerabilidad al phishing mediante correos simulados a grupos definidos; contempla evidencia de ejercicios dirigidos a ejecutivos sénior, usuarios privilegiados o personal de ciberseguridad | Porcentaje de usuarios que completaron la capacitación anual; porcentaje de nuevos usuarios que completaron la capacitación antes de acceder; cantidad de usuarios que participaron en ejercicios, cantidad que aprobó y cantidad que identificó y reportó el phishing | Los datos que sustentan las métricas se deben obtener de forma exacta, consistente y reproducible | según CISA |
| ENISA | Los programas deben incluir creación de capacidades, evaluaciones periódicas de tendencias y desafíos, medición del comportamiento de ciberseguridad y planificación de campañas; propone identificar objetivos, segmentar empleados en grupos objetivo, seleccionar medios, implementar y evaluar | Simulaciones de phishing regulares y evaluaciones periódicas | Recomienda una evaluación de línea base y simulaciones de phishing regulares para identificar al personal que necesita capacitación adicional | Medición del comportamiento de ciberseguridad; evaluación de línea base para determinar dónde están los riesgos | no especificado | según ENISA |
| Banco Central de Brasil CMN 4.893/2021 | Mecanismos de difusión de una cultura de ciberseguridad, incluyendo la implementación de programas de entrenamiento y evaluación periódica de empleados; la política debe contemplar el compromiso de la alta dirección con la mejora continua de los procedimientos relacionados con ciberseguridad | Evaluación periódica de empleados | no especificado | Evaluación periódica de empleados | no especificado | según la Resolución CMN 4.893/2021 del Banco Central de Brasil |
¿La plataforma se compra para dar cursos o para medir conducta?
La lectura de Whalemate es que los marcos del material se parecen más a un sistema de gestión que a una biblioteca de contenidos. Según NIST SP 800-53 Rev. 5, el control AT-2 exige capacitación inicial, capacitación posterior con frecuencia definida por la organización, actualización del contenido e incorporación de lecciones aprendidas de incidentes. Según PCI DSS v4.0, el Requirement 12.6 establece que la educación en awareness es una actividad continua, no un curso aislado.
Eso cambia el criterio de compra. Si el problema a resolver fuera solo distribuir contenidos, alcanzaría con un LMS básico. Pero según ENISA, el programa debe partir de una línea base, segmentar empleados en grupos objetivo, ejecutar simulaciones regulares y medir comportamiento, de modo que la plataforma útil es la que transforma conducta observada en decisiones de intervención.
¿Cumplir con capacitación anual alcanza para reducir phishing?
CISA ubica la capacitación anti phishing en el piso mínimo. Según la guía de CISA, los empleados deben revisar material de capacitación anualmente y la organización debe combinar concientización, ataques simulados y análisis de resultados para modificar la capacitación y reducir riesgo.
La evidencia empírica del material complica cualquier promesa lineal. Según el estudio a gran escala publicado en arXiv, el grupo de control tuvo una tasa de clics de 9,8% frente a 10,5% entre participantes capacitados, sin diferencia estadísticamente significativa, con p=0,450. El mismo estudio tampoco encontró diferencia estadísticamente significativa en reportes, con p=0,417 y tamaños de efecto inferiores a 0,01. La lectura de Whalemate es que la capacitación anual puede ser necesaria para cumplir y para establecer una base, pero no alcanza como prueba de eficacia conductual.
¿Qué vale más, el clic o el reporte?
La práctica organizacional sigue muy enfocada en el clic. Según una investigación de NIST, el 72% de las organizaciones encuestadas usaba la tasa de clics en simulaciones de phishing para medir eficacia y el 62% usaba reportes de phishing simulado. Según otro estudio de NIST, la finalización de capacitación fue utilizada por el 84% de las organizaciones encuestadas y la tasa de clics por el 72%.
Las recomendaciones del material son más amplias. Según el NCSC, no hay que medir solo cuántas personas hicieron clic sino también cuántas reportaron. Según CISA, una de las conductas a enseñar es reportar correos, enlaces y adjuntos sospechosos. La lectura de Whalemate es que una plataforma que solo captura clics deja afuera una señal central de resiliencia operativa, porque reportar temprano acelera respuesta y contención.
¿Se puede comparar una tasa de clic sin contexto?
Según NIST, no. La NIST Phish Scale existe justamente para dar contexto a las tasas de clic según la dificultad humana de detección del señuelo. NIST indica que una tasa no debería compararse sin considerar esa dificultad.
El mismo punto aparece en la evidencia empírica. Según el estudio de arXiv, la tasa de clic aumentó de 7,0% para señuelos fáciles a 15,0% para señuelos difíciles. La lectura de Whalemate es directa: una plataforma que muestra una tasa bruta sin clasificar campañas, señuelos y poblaciones puede inducir decisiones erróneas, porque mezcla dificultad del ataque con desempeño del usuario.
¿Los estudios muestran mejora sostenida o resultados nulos?
Muestran ambas cosas, y esa tensión importa. Según el estudio longitudinal de Ruhr University Bochum, la tasa de clics disminuyó de 19% a 10% a medida que avanzaba la capacitación, con 429.418 correos enviados y 59.689 clics, equivalentes a 13,90%, y en una segunda fase 27.501 enlaces clickeados, equivalentes a 10,55%. El mismo estudio reportó que 61 de 77 clientes mejoraron su tasa de clics después de usar correos simulados.
Pero según la revisión de alcance en Computers & Security, que identificó 42 estudios, el impacto de corto plazo está documentado y la evidencia sobre cambio conductual sostenido es limitada. Según arXiv, además, en un estudio reciente a gran escala no hubo efectos principales significativos ni en clics ni en reportes. La lectura de Whalemate es que no conviene comprar la promesa de reducción asegurada, sino la capacidad de medir localmente si la intervención funciona en tu población y en tus campañas.
¿Qué hacer con benchmarks optimistas de proveedores?
Hay que leerlos como referencia comercial, no como veredicto independiente. Según KnowBe4, su análisis abarcó 67,7 millones de simulaciones de phishing, 14,5 millones de usuarios y 62,4 mil organizaciones. El proveedor reportó una tasa global promedio de phishing simulado de 33,1% antes de la capacitación, una reducción del 40% después de tres meses y una reducción acumulada del 86% después de doce meses. En otro informe, KnowBe4 reportó una reducción de 34,3% a 4,6% para su categoría de capacitación.
El propio material obliga a contrastar esos datos. Según SC Magazine UK, en un estudio de diez campañas durante ocho meses sobre más de 19.500 empleados de una organización sanitaria estadounidense, no se observó una mejora de las tasas de clics a lo largo del tiempo y la capacitación tradicional presencial o estática tuvo poco efecto medible. La lectura de Whalemate es que los benchmarks sirven para dimensionar escenarios, pero la compra debe apoyarse en trazabilidad metodológica, segmentación y resultados verificables dentro de la propia organización.
