Por 
La ingeniería social, para un CISO, IT o compliance, tiene una definición operativa más exigente que "dar awareness". Al cruzar NIST, CIS, ISO, PCI DSS y CISA, el riesgo debe medirse como capacidad de reconocer, reportar y responder, con cobertura y vigencia de entrenamiento. La brecha aparece cuando esa exigencia se compara con la práctica: según Verizon, el elemento humano siguió presente en aproximadamente 60% de las brechas analizadas en 2025, y según la UK Statistics Authority muchos eventos ni siquiera se reportan. Según Verizon, en 2026 el factor humano estuvo presente en el 62% de las brechas analizadas, frente al 60% del año anterior.
Qué cambia cuando la definición se lleva a gestión
NIST define la ingeniería social como un intento de engañar a una persona para que revele información o ejecute una acción que pueda comprometer un sistema, según el glosario de NIST y NIST SP 800-53. Esa definición ya desplaza la conversación desde el curso hacia la conducta observable: revelar, actuar, reportar o no reportar. La lectura de Whalemate es que, si el riesgo está en la conducta, el programa no puede medirse solo por asistencia o finalización.
ISO/IEC 27001 plantea un enfoque holístico que incluye personas, políticas y tecnología, según ISO. PCI DSS 12.6 exige un programa continuo de concientización, no un curso aislado, según Bright Defense. CISA, junto con NSA, FBI y MS-ISAC, suma además monitoreo técnico de correo y mensajería, según su guía conjunta. El mapa completo obliga a unir personas, proceso y controles técnicos en un mismo tablero. Según Verizon, en el Verizon Data Breach Investigations Report 2026 se analizaron más de 31.000 incidentes de seguridad reales ocurridos en empresas de 145 países, incluidos al menos 22.000 casos de filtración de datos confirmados.
Qué se ve al comparar NIST, CIS, ISO, PCI y CISA
Puestas lado a lado, las fuentes no dicen exactamente lo mismo, pero sí dibujan una misma exigencia práctica. NIST profundiza reconocimiento y reporte, CIS aporta métricas de cobertura y vigencia, ISO amplía el alcance a empleados y contratistas, PCI formaliza revisión periódica y CISA agrega una capa técnica que no aparece con el mismo detalle en los otros marcos.
| Norma | Qué pide | Reconocimiento | Reporte | Frecuencia | Cómo se mide | Fuente |
|---|---|---|---|---|---|---|
| NIST SP 800-53 AT-2(3) | Proveer capacitación de alfabetización para reconocer y reportar instancias potenciales y reales de ingeniería social y social mining | Incluye phishing, pretexting, impersonation, baiting, quid pro quo, thread-jacking, social media exploitation y tailgating. Contempla identificar correos sospechosos, incluidos mensajes inesperados, con gramática extraña o deficiente, o de remitentes desconocidos que aparentan ser sponsors o contratistas conocidos | La capacitación debe explicar cómo comunicar preocupaciones de empleados y management sobre casos potenciales o reales mediante canales organizacionales basados en políticas y procedimientos establecidos | no especificado | no especificado | NIST SP 800-53 Rev. 5 |
| CIS Controls v8 14.1 y 14.2 | Establecer y mantener un programa de security awareness y entrenar a la fuerza laboral para reconocer ataques de ingeniería social | Menciona phishing, business email compromise (BEC), pretexting y tailgating | no especificado | Capacitación al ingresar y, como mínimo, anualmente. Revisar y actualizar el contenido anualmente o cuando ocurran cambios empresariales significativos que puedan afectar el safeguard | Capacitación inicial: porcentaje de integrantes de la fuerza laboral que recibieron capacitación inicial, cálculo M4/M3. Capacitación vigente: porcentaje de integrantes conformes de la fuerza laboral, cálculo M6/M3 | CIS Controls documentation, Control 14 |
| ISO/IEC 27001 / guía de awareness y Annex A 6.3 | Todo empleado de la organización y, cuando sea relevante, contratistas, debe recibir awareness, educación y capacitación apropiadas y actualizaciones regulares en políticas y procedimientos organizacionales, según su función | no especificado | no especificado | Actualizaciones regulares. La guía consultada sobre Annex A 6.3 indica que no exige un formato o una frecuencia específicos de capacitación | no especificado | ISO/IEC JTC 1/SC 27 y guía consultada sobre Annex A 6.3 |
| PCI DSS v4.0.1 Requirement 12.6 | La concientización de seguridad debe ser una actividad continua. Exige un programa formal para que todo el personal conozca las políticas y procedimientos de seguridad de la información y su rol en la protección de datos del titular de tarjeta | Exige concientización sobre phishing, ataques relacionados e ingeniería social | no especificado | Revisar el programa al menos una vez cada 12 meses y actualizarlo frente a nuevas amenazas o vulnerabilidades. La obligación de 12.6.3.1 pasó a ser vigente el 31 de marzo de 2025, según CyberAware | no especificado | Bright Defense y CyberAware |
| CISA/NSA/FBI/MS-ISAC Phishing Guidance | Implementar user training sobre ingeniería social y phishing attacks | Educar regularmente a los usuarios para identificar correos y enlaces sospechosos y no interactuar con ellos | Recomienda reportar aperturas de correos, enlaces, adjuntos o señuelos sospechosos | Exigir que los empleados revisen el material de capacitación anualmente | no especificado | CISA, NSA, FBI y MS-ISAC |
| CISA/NSA/FBI/MS-ISAC Phishing Guidance, capa técnica | Habilitar DMARC para los correos recibidos y monitorear internamente el tráfico de correo y mensajería para detectar actividad sospechosa | no especificado | no especificado | no especificado | no especificado | CISA, NSA, FBI y MS-ISAC |
¿Si CIS ya mide cobertura y vigencia, por qué el elemento humano sigue en las brechas?
CIS Controls v8 mide la capacitación inicial como porcentaje de integrantes que recibieron capacitación inicial, con cálculo M4/M3, y la capacitación vigente como porcentaje de integrantes conformes, con cálculo M6/M3, según la documentación de CIS. Verizon, en su 2025 Data Breach Investigations Report, indicó que la participación del elemento humano en las brechas se mantuvo aproximadamente en 60% dentro de su muestra analizada. La lectura de Whalemate es que cobertura y vigencia son necesarias, pero no alcanzan si no se conectan con comportamiento real ante señuelos y escalamiento. Según Verizon, en 2026 la ingeniería social fue el tercer patrón de brecha más frecuente y representó el 16% de todas las brechas analizadas.
El problema no es que las métricas de CIS sean débiles. El problema es que son métricas de base del programa, no evidencia suficiente de desempeño bajo presión. Un tablero que celebra 100% de capacitación vigente puede seguir ciego frente a quién reconoce una suplantación, quién la reporta y en cuánto tiempo.
¿Qué pasa cuando NIST exige reportar, pero en la práctica muchos eventos no se reportan?
NIST AT-2(3) exige capacitar para reconocer y reportar instancias potenciales y reales de ingeniería social, y también exige explicar cómo comunicar preocupaciones mediante canales organizacionales basados en políticas y procedimientos establecidos, según NIST SP 800-53 Rev. 5. La UK Statistics Authority informó que, en el año terminado en septiembre de 2024, solo uno de cada siete delitos de fraude y uno de cada quince delitos de computer misuse fueron reportados a Action Fraud o a la policía. La lectura de Whalemate es directa: tener canal no equivale a lograr uso efectivo del canal.
Para CISO y compliance, esta tensión pega sobre la evidencia. Si el programa prueba que existe un buzón o botón de reporte, pero no muestra volumen, tiempos y calidad del escalamiento, la organización puede estar documentada y a la vez subreportando. El riesgo no es solo pedagógico, también es de detección temprana.
¿Alcanza con enseñar a identificar mensajes sospechosos?
CISA, NSA, FBI y MS-ISAC recomiendan educar regularmente a los usuarios para identificar correos y enlaces sospechosos, no interactuar con ellos y reportar aperturas de correos, enlaces, adjuntos o señuelos sospechosos, según su guía conjunta. El estudio publicado en Data: Journal of Information Systems and Management reportó patrones bimodales de clic: 20% de los participantes hizo clic dentro de los primeros 5 segundos y 30% después de 15 segundos. El mismo estudio reportó además un tiempo mediano de aproximadamente 30 minutos para reportar una simulación de phishing.
La lectura de Whalemate es que reconocimiento sin velocidad operativa llega tarde. Parte del daño ocurre en segundos, mientras el reporte puede demorarse decenas de minutos. Por eso la métrica útil no es solo quién detectó, sino cuándo detectó y cuándo escaló. Según Verizon, en las simulaciones de phishing del Verizon DBIR 2026, la tasa mediana de clics exitosos en vectores centrados en dispositivos móviles, como llamadas de voz y mensajes de texto, fue un 40% mayor que por correo electrónico.
¿Qué revela la diferencia entre curso dado y phishing sufrido?
La Cyber Security Breaches Survey 2025 encontró que solo el 19% de las empresas había proporcionado algún tipo de capacitación al personal en los 12 meses anteriores, según el UK Department for Science, Innovation and Technology. La misma encuesta reportó que el phishing afectó al 37% de las empresas encuestadas. La lectura de Whalemate es que hay una brecha de cobertura evidente, pero también una advertencia: subir cobertura es condición mínima, no garantía de desempeño.
El dato importa para LATAM porque muchas organizaciones todavía discuten si formalizar o no el programa. Esa discusión queda vieja frente a marcos como CIS, PCI o CISA, que ya tratan la capacitación y la revisión periódica como parte esperable del control. Según Verizon, en 2026 la explotación de vulnerabilidades representó el 47% de los vectores de acceso inicial en brechas, el phishing el 28% y el abuso de credenciales el 6%.
¿Qué exige NIST además del phishing clásico?
NIST AT-2(3) no se limita a phishing. Según NIST, incluye phishing, pretexting, impersonation, baiting, quid pro quo, thread-jacking, social media exploitation y tailgating. También contempla entrenar al personal para identificar correos sospechosos, incluidos mensajes inesperados, con gramática extraña o deficiente, o de remitentes desconocidos que aparentan ser sponsors o contratistas conocidos.
La lectura de Whalemate es que un programa medido solo sobre campañas de correo deja huecos. Si el marco exige reconocer múltiples formas de ingeniería social, el tablero también debería reflejar ese alcance, al menos en phishing, BEC, pretexting y tailgating, que CIS enumera explícitamente en 14.2.
