--- title: "LATAM: qué evaluar en plataformas de awareness | Whalemate" description: "Para CISO, IT y compliance, una plataforma de awareness sirve para medir, segmentar y auditar conducta, no solo para dar cursos." url: https://www.whalemate.com/recursos/blog/latam-evaluar-plataformas-awareness/ lang: es updated: 2026-10-29 alternates: en: https://www.whalemate.com/en/resources/blog/latam-awareness-platforms-what-evaluate/ pt-BR: https://www.whalemate.com/br/recursos/blog/latam-avaliar-plataformas-awareness/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # LATAM: qué evaluar en plataformas de awareness Para CISO, IT y compliance, una plataforma de awareness sirve para medir, segmentar y auditar conducta, no solo para dar cursos. 29 de oct de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 12 min de lectura [Concientización](https://www.whalemate.com/recursos/blog/tema/concientizacion/) ![LATAM: qué evaluar en plataformas de awareness](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-evaluar-plataformas-awareness.webp) En este artículo 1. [Qué muestran juntas las exigencias normativas](#s1) 2. [¿La plataforma se compra para dar cursos o para medir conducta?](#s2) 3. [¿Cumplir con capacitación anual alcanza para reducir phishing?](#s3) 4. [¿Qué vale más, el clic o el reporte?](#s4) 5. [¿Se puede comparar una tasa de clic sin contexto?](#s5) 6. [¿Los estudios muestran mejora sostenida o resultados nulos?](#s6) 7. [¿Qué hacer con benchmarks optimistas de proveedores?](#s7) 8. [¿La práctica mejora cuando la intervención es inmediata y segmentada?](#s8) 9. [¿Qué pide compliance además de contenido?](#s9) 10. [¿Por qué Brasil vuelve esto más operativo en LATAM?](#s10) 11. [¿Qué métricas mínimas debería poder producir una plataforma?](#s11) 12. [¿Qué falla en la práctica cuando se compra mal?](#s12) 13. [Consecuencia operativa para CISO, IT y compliance en LATAM](#s13) 14. [¿Qué leer después?](#s14) Para un CISO, IT o compliance en LATAM, una plataforma de security awareness training debería evaluarse como un sistema de medición, segmentación y evidencia, no como un catálogo de cursos. Los marcos del material coinciden en pedir capacitación continua y actualizada, y varios agregan ejercicios, evaluación de eficacia y registros verificables. La tensión aparece cuando esa exigencia normativa se cruza con la evidencia empírica: la capacitación sola no muestra una reducción consistente del phishing, por lo que la decisión útil es a quién intervenir, con qué intensidad y cómo probar si el programa funciona. ## Qué muestran juntas las exigencias normativas Puestas lado a lado, las fuentes no describen simplemente un deber de "capacitar". Describen un sistema que combina frecuencia, ejercicios, medición y evidencia, con distinto nivel de detalle según el marco. | Norma | Qué exige | Frecuencia | Ejercicios | Qué medir | Evidencia | Fuente | | --- | --- | --- | --- | --- | --- | --- | | NIST SP 800-53 Rev. 5 AT-2 | Capacitación de alfabetización en seguridad y privacidad para usuarios del sistema, incluidos gerentes, ejecutivos sénior y contratistas; actualizar contenido e incorporar lecciones aprendidas de incidentes o brechas internas o externas | Capacitación inicial para nuevos usuarios y luego con la frecuencia definida por la organización; también cuando lo requieran cambios del sistema o eventos definidos por la organización | Incluye las mejoras AT-2(1) "Practical Exercises" y AT-2(3) "Social Engineering and Mining" | no especificado | no especificado | según NIST SP 800-53 Rev. 5 | | PCI DSS v4.0 Req. 12.6 | Un programa formal de concientización para que todo el personal conozca la política y procedimientos de seguridad de la información y su rol en proteger los datos del titular; la capacitación debe incluir phishing and related attacks y social engineering | La educación de concientización en seguridad es una actividad continua | no especificado | no especificado | no especificado | según PCI DSS v4.0 | | ISO/IEC 27001:2022 Annex A 6.3 + cláusula 7.2 | El personal y las partes interesadas relevantes deben recibir concientización, educación y capacitación apropiadas y actualizaciones regulares; además se debe determinar la competencia necesaria, asegurar la competencia, tomar medidas para adquirirla y evaluar la eficacia de esas medidas | Actualizaciones regulares | no especificado | Evaluar la eficacia de las medidas tomadas para adquirir la competencia | Conservar información documentada como evidencia de competencia | según ISO/IEC 27001:2022 y la interpretación citada por Sentrix | | CISA phishing guidance + CISA FISMA metrics | Implementar capacitación de usuarios sobre ingeniería social y phishing; educar regularmente para identificar correos y enlaces sospechosos, no interactuar con ellos y reportarlos; combinar concientización y capacitación, ataques simulados y análisis de resultados para modificar la capacitación y reducir el riesgo | Los empleados deben revisar material de capacitación anti-phishing anualmente; también se exige monitorear y analizar métricas cuantitativas y cualitativas | Evaluación de vulnerabilidad al phishing mediante correos simulados a grupos definidos; contempla evidencia de ejercicios dirigidos a ejecutivos sénior, usuarios privilegiados o personal de ciberseguridad | Porcentaje de usuarios que completaron la capacitación anual; porcentaje de nuevos usuarios que completaron la capacitación antes de acceder; cantidad de usuarios que participaron en ejercicios, cantidad que aprobó y cantidad que identificó y reportó el phishing | Los datos que sustentan las métricas se deben obtener de forma exacta, consistente y reproducible | según CISA | | ENISA | Los programas deben incluir creación de capacidades, evaluaciones periódicas de tendencias y desafíos, medición del comportamiento de ciberseguridad y planificación de campañas; propone identificar objetivos, segmentar empleados en grupos objetivo, seleccionar medios, implementar y evaluar | Simulaciones de phishing regulares y evaluaciones periódicas | Recomienda una evaluación de línea base y simulaciones de phishing regulares para identificar al personal que necesita capacitación adicional | Medición del comportamiento de ciberseguridad; evaluación de línea base para determinar dónde están los riesgos | no especificado | según ENISA | | Banco Central de Brasil CMN 4.893/2021 | Mecanismos de difusión de una cultura de ciberseguridad, incluyendo la implementación de programas de entrenamiento y evaluación periódica de empleados; la política debe contemplar el compromiso de la alta dirección con la mejora continua de los procedimientos relacionados con ciberseguridad | Evaluación periódica de empleados | no especificado | Evaluación periódica de empleados | no especificado | según la Resolución CMN 4.893/2021 del Banco Central de Brasil | ## ¿La plataforma se compra para dar cursos o para medir conducta? La lectura de Whalemate es que los marcos del material se parecen más a un sistema de gestión que a una biblioteca de contenidos. Según NIST SP 800-53 Rev. 5, el control [AT-2 exige](https://csrc.nist.gov/files/pubs/sp/800/53/r5/upd1/final/docs/sp800-53r5-control-catalog.xlsx) capacitación inicial, capacitación posterior con frecuencia definida por la organización, actualización del contenido e incorporación de lecciones aprendidas de incidentes. Según PCI DSS v4.0, el Requirement 12.6 establece que la educación en awareness es una actividad continua, no un curso aislado. Eso cambia el criterio de compra. Si el problema a resolver fuera solo distribuir contenidos, alcanzaría con un LMS básico. Pero según ENISA, el programa debe partir de una línea base, segmentar empleados en grupos objetivo, ejecutar simulaciones regulares y medir comportamiento, de modo que la plataforma útil es la que transforma conducta observada en decisiones de intervención. ## ¿Cumplir con capacitación anual alcanza para reducir phishing? CISA ubica la capacitación anti phishing en el piso mínimo. Según la guía de CISA, los empleados deben revisar material de capacitación anualmente y la organización debe combinar concientización, ataques simulados y análisis de resultados para modificar la capacitación y reducir riesgo. La evidencia empírica del material complica cualquier promesa lineal. Según el estudio a gran escala publicado en arXiv, el grupo de control tuvo una [tasa de clics](https://www.whalemate.com/recursos/blog/security-awareness-medir-clic-curso/) de 9,8% frente a 10,5% entre participantes capacitados, sin diferencia estadísticamente significativa, con p=0,450. El mismo estudio tampoco encontró diferencia estadísticamente significativa en reportes, con p=0,417 y tamaños de efecto inferiores a 0,01. La lectura de Whalemate es que la capacitación anual puede ser necesaria para cumplir y para establecer una base, pero no alcanza como prueba de eficacia conductual. ## ¿Qué vale más, el clic o el reporte? La práctica organizacional sigue muy enfocada en el clic. Según una investigación de NIST, el 72% de las organizaciones encuestadas usaba la tasa de clics en simulaciones de phishing para medir eficacia y el 62% usaba reportes de phishing simulado. Según otro estudio de NIST, la finalización de capacitación fue utilizada por el 84% de las organizaciones encuestadas y la tasa de clics por el 72%. Las recomendaciones del material son más amplias. Según el NCSC, no hay que medir solo cuántas personas hicieron clic sino también cuántas reportaron. Según CISA, una de las conductas a enseñar es [reportar correos, enlaces y adjuntos sospechosos](https://www.cisa.gov/sites/default/files/2025-03/Phishing%20Guidance%20-%20Stopping%20the%20Attack%20Cycle%20at%20Phase%20One%20508.pdf). La lectura de Whalemate es que una plataforma que solo captura clics deja afuera una señal central de resiliencia operativa, porque reportar temprano acelera respuesta y contención. ## ¿Se puede comparar una tasa de clic sin contexto? Según NIST, no. La NIST Phish Scale existe justamente para dar contexto a las tasas de clic según la dificultad humana de detección del señuelo. NIST indica que una tasa no debería compararse sin considerar esa dificultad. El mismo punto aparece en la evidencia empírica. Según el estudio de arXiv, la tasa de clic aumentó de 7,0% para señuelos fáciles a 15,0% para señuelos difíciles. La lectura de Whalemate es directa: una plataforma que muestra una tasa bruta sin clasificar campañas, señuelos y poblaciones puede inducir decisiones erróneas, porque mezcla dificultad del ataque con desempeño del usuario. ## ¿Los estudios muestran mejora sostenida o resultados nulos? Muestran ambas cosas, y esa tensión importa. Según el estudio longitudinal de Ruhr University Bochum, la tasa de clics disminuyó de 19% a 10% a medida que avanzaba la capacitación, con 429.418 correos enviados y 59.689 clics, equivalentes a 13,90%, y en una segunda fase 27.501 enlaces clickeados, equivalentes a 10,55%. El mismo estudio reportó que 61 de 77 clientes mejoraron su tasa de clics después de usar correos simulados. Pero según la revisión de alcance en Computers & Security, que identificó 42 estudios, el impacto de corto plazo está documentado y la evidencia sobre cambio conductual sostenido es limitada. Según arXiv, además, en un estudio reciente a gran escala no hubo efectos principales significativos ni en clics ni en reportes. La lectura de Whalemate es que no conviene comprar la promesa de reducción asegurada, sino la capacidad de medir localmente si la intervención funciona en tu población y en tus campañas. ## ¿Qué hacer con benchmarks optimistas de proveedores? Hay que leerlos como referencia comercial, no como veredicto independiente. Según KnowBe4, su análisis abarcó 67,7 millones de simulaciones de phishing, 14,5 millones de usuarios y 62,4 mil organizaciones. El proveedor reportó una tasa global promedio de phishing simulado de 33,1% antes de la capacitación, una reducción del 40% después de tres meses y una reducción acumulada del 86% después de doce meses. En otro informe, KnowBe4 reportó una reducción de 34,3% a 4,6% para su categoría de capacitación. El propio material obliga a contrastar esos datos. Según SC Magazine UK, en un estudio de diez campañas durante ocho meses sobre más de 19.500 empleados de una organización sanitaria estadounidense, no se observó una mejora de las tasas de clics a lo largo del tiempo y la capacitación tradicional presencial o estática tuvo poco efecto medible. La lectura de Whalemate es que los benchmarks sirven para dimensionar escenarios, pero la compra debe apoyarse en trazabilidad metodológica, segmentación y resultados verificables dentro de la propia organización. Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿La práctica mejora cuando la intervención es inmediata y segmentada? La evidencia del material sugiere que sí, más que la formación genérica. Según SC Magazine UK, la capacitación embebida, mostrada inmediatamente después de que una persona hiciera clic, redujo los fallos futuros en 1,7% en el estudio sanitario citado. Según la revisión de Computers & Security, los factores asociados con mejores resultados incluyen intensidad de la capacitación, enfoques activos, feedback detallado y la combinación de entrenamiento basado en habilidades con enfoques basados en señales de atención. ENISA va en la misma dirección operativa. Según ENISA, hay que hacer una evaluación de línea base y simulaciones regulares para identificar al personal que necesita capacitación adicional. La lectura de Whalemate es que la plataforma debería habilitar refuerzos contextuales y adaptativos por grupo de riesgo, no solo campañas masivas iguales para toda la organización. ## ¿Qué pide compliance además de contenido? Pide prueba. Según ISO/IEC 27001:2022, la cláusula 7.2 exige determinar la competencia necesaria, asegurar que las personas sean competentes, tomar medidas para adquirir esa competencia, evaluar la eficacia de esas medidas y conservar información documentada como evidencia de competencia. Según el Annex A 6.3 de ISO/IEC 27001:2022, además, el personal y las partes interesadas relevantes deben recibir actualizaciones regulares. CISA refuerza el estándar de calidad de la evidencia. Según la guía FISMA de CISA, los datos que sustentan las métricas deben obtenerse de forma [exacta, consistente y reproducible](https://www.cisa.gov/sites/default/files/2024-05/FY%202024%20IG%20FISMA%20Metrics%20Evaluation%20Guide%20Final.pdf). La lectura de Whalemate es que una plataforma sin registros verificables por usuario, campaña, resultado y evidencia de competencia deja un hueco de auditoría, incluso si el contenido es bueno. ## ¿Por qué Brasil vuelve esto más operativo en LATAM? Porque el entrenamiento y la evaluación periódica ya aparecen en regulación concreta. Según la Resolución CMN 4.893/2021 del Banco Central de Brasil, las entidades deben implementar mecanismos de difusión de una cultura de ciberseguridad, incluyendo programas de entrenamiento y evaluación periódica de empleados. La misma resolución exige que la política contemple el compromiso de la alta dirección con la mejora continua de los procedimientos relacionados con ciberseguridad. Además, según el Decreto 11.856/2023, la Política Nacional de Cibersegurança de Brasil busca estimular medidas de protección y gestión de riesgos para prevenir, mitigar y neutralizar vulnerabilidades, incidentes y ataques, e incluye entre sus objetivos desarrollar educación y capacitación técnico profesional en seguridad cibernética. La lectura de Whalemate es que, en entornos regulados de LATAM, la plataforma tiene que servir tanto para gestión de [riesgo humano](https://www.whalemate.com/recursos/blog/human-risk-management-mide-habilita/) como para auditoría y supervisión. ## ¿Qué métricas mínimas debería poder producir una plataforma? El material permite armar un piso claro. Según NIST, las medidas combinables de efectividad incluyen incidentes relacionados con los temas de capacitación, reportes iniciados por usuarios, tasas de clic en simulaciones, visualización o engagement con materiales y feedback mediante encuestas y entrevistas. Según CISA, también importan el porcentaje de usuarios que completaron la capacitación anual, el porcentaje de nuevos usuarios que la completaron antes de acceder y la cantidad de usuarios que participaron, aprobaron e identificaron y reportaron phishing. La lectura de Whalemate es que ese set mínimo obliga a ver varias capas a la vez. Hay métricas de cobertura, como finalización. Hay métricas de comportamiento, como [clics y reportes](https://www.whalemate.com/recursos/blog/nist-pci-brasil-social-engineering/). Hay métricas de operación, como incidentes relacionados. Y hay métricas de calidad del programa, como feedback y reproducibilidad de los datos. ## ¿Qué falla en la práctica cuando se compra mal? Falla la decisión que viene después. Si una organización compra una plataforma como biblioteca de cursos, probablemente termine midiendo asistencia y una tasa bruta de clics, que según NIST son métricas usadas con frecuencia pero insuficientes por sí solas. Si además no registra dificultad del señuelo, resultados por campaña, grupos de riesgo y evidencia documental, puede creer que mejoró cuando solo cambió el tipo de señuelo o la población expuesta. También falla compliance. Según ISO/IEC 27001:2022, hay que conservar [evidencia documentada de competencia](https://www.whalemate.com/recursos/blog/iso-27001-2022-exige-awareness/), y según CISA los datos deben ser exactos, consistentes y reproducibles. La lectura de Whalemate es que el error común no es solo capacitar poco, sino medir mal y por eso intervenir mal. ## Consecuencia operativa para CISO, IT y compliance en LATAM La decisión útil que habilita una plataforma de security awareness training no es comprar cursos, sino operar un sistema de priorización conductual con evidencia verificable. Para mañana, eso implica exigir que la plataforma establezca línea base, segmente por riesgo, ejecute simulaciones controladas, registre clics y reportes, contextualice campañas por dificultad del señuelo, muestre resultados por grupos y conserve evidencia de competencia y de eficacia del programa, según lo que piden NIST, CISA, ENISA, PCI DSS v4.0, ISO/IEC 27001:2022 y la Resolución CMN 4.893/2021 del Banco Central de Brasil. Si no hace eso, puede dejar expuesto al equipo de compliance y además inducir decisiones erróneas sobre a quién intervenir y con qué intensidad. ## ¿Qué leer después? - [Concientización en la plataforma](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) - [Ingeniería social: NIST, CISA](https://www.whalemate.com/recursos/blog/nist-cisa-explain-social-engineering/) - [PCI DSS y phishing vs spam en LATAM](https://www.whalemate.com/recursos/blog/pci-dss-phishing-vs-spam/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) Preguntas ## Preguntas frecuentes **¿Qué debería evaluar primero un CISO en una plataforma de awareness?** Primero, si mide conducta y no solo asistencia. Según ENISA, el programa debe partir de una línea base, segmentar grupos objetivo e incluir simulaciones regulares. Según CISA y NIST, además, hay que combinar métricas cuantitativas y cualitativas. Si la plataforma no registra clics, reportes, resultados por campaña y evidencia reproducible, evalúa contenido, no riesgo humano. **¿La tasa de finalización de cursos sirve como indicador principal?** Sirve como indicador de cobertura, pero no como medida suficiente de eficacia. Según NIST, la finalización de capacitación fue usada por el 84% de las organizaciones encuestadas, pero NIST recomienda combinarla con incidentes, reportes de usuarios, clics en simulaciones, participación en contenidos y feedback cualitativo. Medir solo finalización deja sin respuesta si el comportamiento cambió. **¿Por qué el reporte de phishing importa tanto como el clic?** Porque reportar es una conducta defensiva que mejora la respuesta temprana. Según el NCSC, no hay que medir solo cuántas personas hicieron clic, sino también cuántas reportaron. Según CISA, la capacitación debe enseñar a identificar y reportar correos, enlaces y adjuntos sospechosos. Una plataforma que no capture reportes mide exposición, pero no capacidad de detección y escalamiento. **¿Qué evidencia necesita compliance para auditoría?** Según ISO/IEC 27001:2022, cláusula 7.2, hay que conservar información documentada como evidencia de competencia y evaluar la eficacia de las medidas tomadas. Según CISA, los datos que sustentan las métricas deben ser exactos, consistentes y reproducibles. En la práctica, eso exige registros verificables por usuario, campaña, resultado, fecha y acción correctiva o refuerzo aplicado. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CLATAM%3A%20qu%C3%A9%20evaluar%20en%20plataformas%20de%20awareness%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CLATAM%3A%20qu%C3%A9%20evaluar%20en%20plataformas%20de%20awareness%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [Qué muestran juntas las exigencias normativas](#s1) 2. [¿La plataforma se compra para dar cursos o para medir conducta?](#s2) 3. [¿Cumplir con capacitación anual alcanza para reducir phishing?](#s3) 4. [¿Qué vale más, el clic o el reporte?](#s4) 5. [¿Se puede comparar una tasa de clic sin contexto?](#s5) 6. [¿Los estudios muestran mejora sostenida o resultados nulos?](#s6) 7. [¿Qué hacer con benchmarks optimistas de proveedores?](#s7) 8. [¿La práctica mejora cuando la intervención es inmediata y segmentada?](#s8) 9. [¿Qué pide compliance además de contenido?](#s9) 10. [¿Por qué Brasil vuelve esto más operativo en LATAM?](#s10) 11. [¿Qué métricas mínimas debería poder producir una plataforma?](#s11) 12. [¿Qué falla en la práctica cuando se compra mal?](#s12) 13. [Consecuencia operativa para CISO, IT y compliance en LATAM](#s13) 14. [¿Qué leer después?](#s14) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[Campaña de concientización, qué exige y qué mide\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/campana-concientizacion-exige-mide.webp)](https://www.whalemate.com/recursos/blog/campana-concientizacion-exige-mide/) Concientización 30 de oct de 2026 Por Federico Hombre ### Campaña de concientización, qué exige y qué mide ISO, PCI DSS, CIS, NIST, ENISA y California no piden lo mismo. El cruce muestra qué medir, qué evidencia guardar y qué decisión habilita. Leer más [!\[PCI, CISA y NIST: phishing vs vishing en control\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-cisa-nist-phishing-vs.webp)](https://www.whalemate.com/recursos/blog/pci-cisa-nist-phishing-vs/) Concientización 28 de oct de 2026 Por Federico Hombre ### PCI, CISA y NIST: phishing vs vishing en control El cruce entre PCI DSS, NIST, CISA y CTIR muestra que phishing y vishing no se gestionan igual. Cambian métricas, controles y decisiones de cumplimiento. Leer más [!\[Phishing vs spear phishing, qué cambia para CISO\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-vs-spear-phishing-cambia.webp)](https://www.whalemate.com/recursos/blog/phishing-vs-spear-phishing-cambia/) Concientización 27 de oct de 2026 Por Federico Hombre ### Phishing vs spear phishing, qué cambia para CISO La diferencia habilita métricas y controles distintos. Para decidir bien, no alcanza con medir clics ni con un curso anual. Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)