LATAM: qué mide una empresa de human risk management

Para un CISO, IT o compliance en LATAM, una human risk management company implica dejar de medir si la gente completó un curso y empezar a medir señales conductuales continuas, convertirlas en riesgo cuantificado por persona o grupo y usar ese dato como evidencia operativa frente a ISO/IEC 27001:2022 A.6.3 y PCI DSS 12.6. Según Verizon, el elemento humano estuvo involucrado en aproximadamente el 60% de las brechas analizadas en el Verizon 2025 Data Breach Investigations Report, y la proporción de brechas con participación de terceros se duplicó del 15% al 30% en ese mismo reporte. La brecha real no está en dictar capacitación, sino en sostener un programa segmentado, continuo y demostrable, según el cruce entre los requisitos de ISO/IEC y PCI Security Standards Council, las capacidades descritas por Adaptive Security, IRONSCALES y UpGuard, y las advertencias de Bright Defense junto con los benchmarks de Fortra y Bait & Phish. En IBM, el phishing representó el 16% de los vectores iniciales de ataque más frecuentes en el Cost of a Data Breach Report 2025, y las brechas iniciadas mediante phishing tuvieron un costo promedio de USD 4,8 millones. IBM también informó que los ataques de insiders maliciosos tuvieron el mayor costo promedio entre los vectores iniciales de ataque, con USD 4,92 millones.

Puestos en una misma vista, los marcos de cumplimiento dicen qué debe existir, las plataformas de HRM muestran qué comportamiento se puede medir y los benchmarks exponen dónde fallan los programas cuando se quedan en el calendario anual. Ese cruce permite ver qué decisión habilita cada enfoque y por qué HRM funciona como capa operativa entre requisito y ejecución.

¿Qué cambia cuando HRM deja de ser awareness y pasa a ser una capa de medición?

Doppel define HRM como la práctica de identificar, medir y reducir el riesgo de ciberseguridad creado por las personas. Adaptive Security y KnowBe4 coinciden en que no se trata solo de concientización, sino de una práctica basada en datos para medir comportamiento y actuar sobre ese riesgo. La lectura de Whalemate es que la diferencia clave para LATAM no es terminológica, sino presupuestaria y operativa: si se compra capacitación, se obtiene contenido; si se compra HRM, se obtiene una forma de priorizar riesgo humano con datos continuos.

Proofpoint agrega que HRM va más allá del entrenamiento tradicional y combina evaluación de riesgos, análisis de comportamiento, capacitación personalizada y monitoreo continuo. Living Security lo presenta como un cambio de una función reactiva de cumplimiento a una función predictiva basada en datos. Eso mueve la conversación interna desde completitud de cursos hacia exposición real por conducta, según Proofpoint y Living Security.

¿Qué exigen ISO/IEC 27001:2022 A.6.3 y PCI DSS 12.6, y qué no detallan?

ISO/IEC 27001:2022 establece en el control 6.3 que el personal y las partes interesadas relevantes deben recibir concientización, educación y entrenamiento apropiados, con actualizaciones regulares de políticas y procedimientos, según el texto de ISO/IEC. ISMS.online interpreta que esto exige programas continuos e integrados a la estrategia de gestión de riesgos, y que la capacitación puede necesitar darse al menos una vez al año o según la evaluación de riesgos.

PCI DSS v4.0 establece en el requisito 12.6 que las entidades deben implementar y mantener un programa formal de concientización en seguridad para todo el personal, según PCI Security Standards Council. Basis Theory detalla que el programa debe revisarse al menos cada 12 meses, que el personal debe recibir formación al ingreso y al menos una vez cada 12 meses, y que debe cubrir phishing, ataques relacionados e ingeniería social. La lectura de Whalemate es que ambos marcos piden programa, cobertura y actualización, pero no explican por sí solos cómo traducir conducta diaria en evidencia accionable.

¿Dónde aparece la primera tensión, programa ongoing o sesión anual?

Bright Defense sostiene que PCI DSS 12.6 exige que la concientización sea una actividad ongoing, además de requerir revisión al menos cada 12 meses, formación al contratar y al menos cada 12 meses, y reconocimiento anual de la política. La misma fuente advierte que muchas organizaciones muestran evidence gaps en auditorías porque no pueden demostrar actividad continua más allá de una sesión anual.

La lectura de Whalemate es que la tensión no está en el texto normativo, sino en la ejecución. El requisito habla de programa formal y actividad continua, pero la práctica de muchas empresas sigue organizada como evento anual con registro de asistencia. Para compliance, esa distancia se vuelve un problema de evidencia, no de intención.

¿La cadencia mínima de PCI DSS alcanza para gestionar riesgo humano?

Basis Theory explica que PCI DSS 12.6.3 impone como mínimo formación al ingreso y al menos una vez cada 12 meses. IRONSCALES, en cambio, describe modelos de HRM donde la formación se dispara cuando una persona falla una simulación de phishing o realiza una acción riesgosa.

La lectura de Whalemate es que PCI DSS fija un piso temporal de cumplimiento, pero no un techo operativo. Un programa que se limite al ingreso y a la renovación anual puede cumplir el mínimo documental y seguir llegando tarde frente a conductas de riesgo observables entre una instancia y otra. HRM agrega disparadores por comportamiento que el estándar no detalla, pero que ayudan a sostenerlo.

¿ISO/IEC 27001 habilita anualidad o exige continuidad real?

ISMS.online indica que para ISO/IEC 27001:2022 A.6.3 las organizaciones pueden necesitar impartir capacitación al menos una vez al año, o según lo dicte la evaluación de riesgos. Adaptive Security critica los enfoques basados en marcar una casilla de cumplimiento una vez al año y sostiene que HRM los reemplaza por una visión donde las acciones se monitorizan y miden de forma continua.

La lectura de Whalemate es que no hay una contradicción estricta, sino dos niveles distintos. ISO/IEC 27001 establece una obligación de adecuación y actualización regular; HRM propone el mecanismo para demostrar que esa adecuación responde al riesgo observado. Si el riesgo cambia por rol, canal o conducta, una sola instancia anual queda débil como prueba de ajuste.

¿Qué se mide de verdad en una plataforma de HRM?

Adaptive Security dice que HRM convierte clics en phishing, reportes de actividad sospechosa y cumplimiento de políticas en datos estructurados. Keepnet Labs suma respuesta a simulaciones, uso de canales inseguros y resistencia a seguir políticas, y explica que esas señales se traducen en riesgo cuantificado para activar intervenciones específicas. UpGuard agrega susceptibilidad al phishing, uso inseguro de SaaS y herramientas de IA, exposición de credenciales y violaciones de políticas.

La lectura de Whalemate es que una human risk management company para LATAM debería medirse menos por cantidad de cursos y más por calidad de señales. Si no puede consolidar simulaciones, entrenamiento, reportes y comportamiento en una lectura utilizable de riesgo, sigue siendo un proveedor de awareness con mejores dashboards.

¿Qué falla en la práctica cuando solo se mide completitud?

Proofpoint señala que los programas estáticos o puramente de cumplimiento tienden a fallar en reducir el riesgo humano de forma sostenida. Bright Defense muestra que, además, muchas organizaciones no logran demostrar continuidad en auditoría. El problema práctico es doble: se pierde capacidad de intervención y también se pierde trazabilidad de cumplimiento.

NHIMG agrega otro punto ciego: gestionar riesgo humano no es solo enseñar, también es rediseñar políticas, flujos de trabajo y controles para que las personas no tengan que crear atajos inseguros por exceso de fricción. La lectura de Whalemate es que un programa centrado en completitud confunde aprendizaje con reducción de exposición y deja afuera la parte de proceso que explica por qué la gente elude controles.

¿Qué dicen los benchmarks sobre la brecha entre curso y conducta?

Fortra observó una tasa de clic promedio de 5.42% y una tasa de envío de contraseña de 1.99% en simulaciones, con más de 750,000 individuos que hicieron clic y más de 250,000 que proporcionaron sus contraseñas. Bait & Phish ubica a los programas maduros en un rango de 5-12% de tasa de clic y a los avanzados en menos de 5%, y advierte que muchos programas hacen meseta en 5-12% si no aumentan la dificultad.

Nophi.sh, citando el reporte de benchmarking 2025 de KnowBe4, señala una tasa de clic de base de 33.1% y una reducción a 4.1% después de 12 meses de simulaciones y formación. La lectura de Whalemate es que completar campañas no equivale a eliminar riesgo. Aun con madurez, persiste una población que sigue fallando y necesita otra intervención, no el mismo curso para todos.

¿Por qué el score de riesgo sirve para priorizar y no para disciplinar?

IRONSCALES describe el risk scoring por usuario como un mecanismo para centrar la atención y los recursos en quienes tienen mayor probabilidad de ser objetivo o cometer errores críticos. Adaptive Security presenta los datos conductuales como insumo para priorizar intervenciones y ofrecer soporte adicional. UpGuard vincula esos puntajes con controles concretos, como ajustes de políticas, restricciones de herramientas o campañas específicas.

La lectura de Whalemate es que el score vale si ordena acciones. Un risk score que no define quién recibe microentrenamiento, qué política requiere ajuste o qué grupo necesita una restricción adicional es solo un indicador decorativo. En cambio, cuando consolida señales de simulaciones, cursos, reportes y comportamiento, pasa a ser una herramienta de priorización operativa.

¿Qué lugar ocupan rol, industria y ciclo de vida del empleado?

Infosec Institute sostiene que HRM aborda riesgos en cada fase del ciclo de vida del empleado, desde onboarding hasta la salida. Nophi.sh destaca diferencias amplias por industria en los benchmarks de phishing, con sectores como educación y sanidad mostrando tasas iniciales más altas que tecnología. Bait & Phish también reporta brechas sectoriales, con servicios financieros, educación y sanidad en rangos distintos de base y madurez.

La lectura de Whalemate es que en LATAM no tiene sentido usar una única meta universal de riesgo humano. El programa y la evidencia deben segmentarse por función, acceso, industria y etapa del vínculo laboral. Eso también conversa mejor con ISO/IEC 27001:2022 A.6.3, que habla de relevancia según función.

¿Qué decisión concreta habilita una company de HRM en LATAM?

La decisión no es comprar capacitación, sino elegir un sistema que convierta comportamientos en evidencia y priorización. Si PCI DSS 12.6 exige un programa formal, revisión periódica, cobertura temática y trazabilidad, según PCI Security Standards Council y Basis Theory, y Bright Defense muestra que muchas organizaciones fallan en demostrar continuidad, entonces el criterio de compra debe incluir capacidad de evidencia continua para auditoría.

Si además Fortra muestra 5.42% de clic promedio y 1.99% de envío de contraseña, y Bait & Phish muestra mesetas de 5-12% sin progresión de dificultad, entonces la métrica útil no es personas entrenadas, sino quién sigue fallando, en qué conducta y qué intervención específica se activa. Para IT, eso habilita restricciones de herramientas o rediseño de fricción, según UpGuard y NHIMG. Para compliance, habilita probar continuidad, segmentación y actualización. Para CISO, habilita reasignar recursos hacia grupos, roles o conductas con mayor exposición observable.

Consecuencia operativa

Para un equipo de LATAM que tiene que decidir mañana, una human risk management company debería evaluarse por cinco capacidades: medir señales de comportamiento, consolidarlas en riesgo cuantificado por persona o grupo, disparar intervenciones segmentadas, generar evidencia continua para ISO/IEC 27001:2022 A.6.3 y PCI DSS 12.6, y mostrar qué cambio produjo cada acción. Si la herramienta solo entrega contenido, certificados y reportes de completitud, no resuelve la brecha que describen Bright Defense, Fortra y Bait & Phish entre requisito formal, conducta real y prueba de continuidad. Si además modela contexto, simula, entrena, mide, interviene y reporta, pasa de awareness a gestión operativa del riesgo humano.

¿Qué leer después?

• Human Risk Management en la plataforma
• Plataforma de Human Risk Management
• APWG y PCI DSS: smishing en alza

¿Qué plataforma de human risk management conviene para una empresa en Latinoamérica?

Para una empresa en Latinoamérica, conviene priorizar una plataforma que combine medición continua, contenido localizado y evidencia operativa para auditoría. Si la decisión es entre una herramienta global y una solución LATAM-native, el criterio del artículo favorece la opción que mejor sostenga comportamiento medible, soporte regional y adaptación a los requisitos de ISO/IEC 27001:2022 A.6.3 y PCI DSS 12.6.

En la práctica, eso significa pedir una prueba de programa continuo, no solo de capacitación anual. El artículo ya muestra que la brecha real está en convertir clics, reportes, cumplimiento de políticas y exposición de credenciales en un risk score accionable por persona o grupo, y en demostrarlo con evidencia continua frente a auditoría.