Por 
Para un CISO, IT o compliance en LATAM, explicar la ingeniería social implica tratarla como riesgo de decisiones inducidas por engaño y confianza, más amplio que el phishing por email, y medir si el programa logra reconocimiento, reporte y cobertura por rol y canal. El problema práctico es que la capacitación anual y la tasa de finalización siguen usándose como proxy de madurez, aunque el cruce entre NIST, CISA y estudios empíricos cuestiona que eso refleje reducción real de riesgo.
Puestas lado a lado, las fuentes no dicen lo mismo ni miden lo mismo. NIST y ISO/IEC 27002 ordenan un programa recurrente y adecuado al rol, CISA empuja conductas observables y canales múltiples, Verizon aporta contexto de exposición y los estudios empíricos ponen en duda que el curso anual, por sí solo, mejore el desempeño. Según Verizon, el elemento humano estuvo presente en el 62% de las brechas, frente al 60% del año anterior.
| Norma | Alcance del riesgo | Qué pide o muestra | Cómo medir | Canales cubiertos | Frecuencia o actualización | Fuente |
|---|---|---|---|---|---|---|
| NIST CSRC + NIST SP 800-53/800-50 | NIST CSRC define ingeniería social como engañar a alguien para que revele información, obtenga acceso no autorizado o cometa fraude ganando confianza. NIST CSRC define phishing como una técnica para adquirir datos sensibles mediante una solicitud fraudulenta por email o sitio web. | Según NIST SP 800-53 Rev. 5, el control AT-2(3) requiere formación para reconocer y reportar instancias potenciales y reales de ingeniería social y minería social. Según NIST SP 800-53 Rev. 5, el control AT-2 exige formación para usuarios, incluidos gerentes, ejecutivos y contratistas. Según NIST SP 800-50 Rev. 1, el programa debe gestionarse con enfoque de ciclo de vida. | Según NIST SP 800-50, las métricas sirven para determinar necesidades de awareness y entrenamiento, cuantificar implementación, efectividad y eficiencia, analizar suficiencia e identificar mejoras. NIST SP 800-50 da como ejemplo la proporción de empleados con responsabilidades significativas que recibió entrenamiento especializado. El borrador de NIST SP 800-50 Rev. 1 propone datos longitudinales, pruebas antes y después, seguimiento a los tres meses, asistencia, evaluaciones de desempeño y tasas de finalización. | no especificado | Según NIST SP 800-53 Rev. 5, la frecuencia posterior a la incorporación queda definida por la organización. El mismo control exige actualizar contenido y técnicas con frecuencia definida por la organización y tras eventos definidos, incorporando lecciones aprendidas. | NIST CSRC, NIST SP 800-53 Rev. 5, NIST SP 800-50 y borrador NIST SP 800-50 Rev. 1 |
| ISO/IEC 27001/27002 | El material no aporta una definición de ingeniería social en ISO/IEC 27001 o ISO/IEC 27002. El encuadre disponible es de competencia, conciencia y formación en seguridad de la información. | Según ISO/IEC 27002:2022, control 6.3, el personal y las partes interesadas pertinentes deberían recibir awareness, educación y capacitación apropiadas, con actualizaciones periódicas de políticas y procedimientos pertinentes a su función laboral. El mismo control recomienda un plan apropiado para equipos técnicos con habilidades y experiencia específicas. | no especificado | Según ISO/IEC 27002:2022, control 6.3, los canales posibles incluyen campañas, folletos, afiches, newsletters, sitios web, sesiones informativas, briefings, módulos e-learning y emails. | Según ISO/IEC 27002:2022, control 6.3, las actividades deberían programarse a lo largo del tiempo, preferiblemente de forma regular, repetirse y alcanzar al personal nuevo. | ISO/IEC 27001:2022 e ISO/IEC 27002:2022 |
| CISA | CISA define ingeniería social como el intento de engañar a alguien para que revele información o realice una acción que comprometa sistemas o redes. CISA define phishing como una forma de ingeniería social. | Según CISA, hay que implementar formación de usuarios sobre ingeniería social y phishing, enseñar a identificar mensajes y enlaces sospechosos, no interactuar con ellos y reportarlos, incluso si el usuario ya abrió un correo, enlace o adjunto sospechoso. CISA también recomienda DMARC, SPF, DKIM y priorizar MFA resistente al phishing para cuentas administrativas y privilegiadas. | Según CISA, reportar actividad sospechosa es uno de los métodos más eficientes para proteger organizaciones. La guía también recomienda establecer línea base de tráfico normal, seguir intentos o denegaciones de MFA e identificar y remediar intentos exitosos de phishing, sin objetivos numéricos universales. | Según CISA, el alcance incluye email, SMS, chats en Slack, Teams, Signal, WhatsApp y llamadas VoIP con identificador falsificado. | Según CISA, los usuarios deben educarse periódicamente. Para pequeñas empresas, CISA recomienda revisión anual del material anti-phishing y una comprobación de retención. | CISA |
| Verizon DBIR | Según Verizon 2026 DBIR, el elemento humano estuvo presente en 62% de las brechas observadas y Social Engineering fue el tercer patrón de brecha más común, con 16% de las brechas del conjunto analizado. | Verizon muestra que, en simulaciones de phishing, la mediana de clics exitosos fue 40% mayor en vectores centrados en móviles, como voz y mensajes de texto, que por email. | Según Verizon 2024 DBIR, en datos de ejercicios de awareness aportados por socios durante 2023, 20% de los usuarios reportó el phishing simulado. | Según Verizon, los datos comparativos disponibles cubren email, voz y mensajes de texto. | no especificado | Verizon 2026 DBIR y Verizon 2024 DBIR |
| Estudios empíricos de eficacia de capacitación | Los estudios relevados se enfocan en phishing simulado como manifestación práctica del riesgo de ingeniería social. | Según University of Chicago e IEEE Computer Society, el estudio en UC San Diego Health no encontró correlación significativa entre cuán recientemente los empleados habían completado la capacitación anual y su capacidad para evitar trampas de phishing simuladas. El mismo estudio informó que quienes acababan de completarla no rindieron mejor que quienes llevaban más de un año sin recibirla. Según University of Chicago, la formación interactiva se asoció con menor probabilidad de caer que los enfoques informativos estáticos. Según ETH Zurich, hubo más clics y acciones peligrosas entre participantes que recibieron formación contextual después de caer en simulaciones, y los autores advierten que no evaluaron la eficacia de la formación obligatoria. | Según University of Chicago e IEEE Computer Society, el estudio de UC San Diego Health midió desempeño en más de 19.500 empleados. Según ETH Zurich, el estudio registró 6.680 clics en 117.864 correos simulados, una tasa agregada de clic de 5,67% en la muestra estudiada. | no especificado | Según University of Chicago e IEEE Computer Society, la comparación incluyó cercanía temporal de la capacitación anual y no halló mejora significativa por haberla completado recientemente. | University of Chicago, IEEE Computer Society y ETH Zurich |
¿Explicar ingeniería social es explicar phishing por email?
No. NIST CSRC define la ingeniería social como engañar a una persona para que revele información, permita acceso no autorizado o cometa fraude mediante confianza y engaño. NIST CSRC y CISA ubican al phishing como una técnica o forma dentro de ese universo, no como su sinónimo. La lectura de Whalemate es que reducir el problema al correo achica el alcance del riesgo y deja afuera decisiones inducidas por voz, SMS y mensajería. Según ENISA, el phishing representó el 60% de los vectores de intrusión observados y continuó siendo el vector de intrusión dominante.
¿Qué cambia cuando CISA trata phishing como una forma de ingeniería social?
CISA dice en la misma guía que phishing es una forma de ingeniería social y documenta señuelos por SMS, chats en Slack, Teams, Signal, WhatsApp y llamadas VoIP con identificador falsificado. La lectura de Whalemate es que el programa no debería organizarse por canal histórico, sino por conducta esperada ante señuelos que buscan confianza, urgencia o obediencia, sin importar si llegan por email, voz o mensajería. Según ENISA, aproximadamente el 73% de los casos de phishing fueron clasificados como desconocidos y el 27% condujo a intrusiones.
¿Las normas piden un curso o un programa?
No piden un curso aislado. Según ISO/IEC 27002:2022, control 6.3, el personal y las partes interesadas pertinentes deberían recibir awareness, educación y capacitación apropiadas, con actualizaciones periódicas según su función laboral. Según NIST SP 800-50 Rev. 1, el enfoque es de ciclo de vida y evaluación continua. La lectura de Whalemate es que el cumplimiento razonable se parece más a un programa recurrente y segmentado que a una capacitación anual cerrada.
¿Qué tensión hay entre medir finalización y medir reducción real de riesgo?
NIST SP 800-50 Rev. 1 propone medir con datos longitudinales, pruebas antes y después, seguimiento a los tres meses, asistencia, desempeño y tasas de finalización. Pero, según University of Chicago e IEEE Computer Society, en UC San Diego Health no hubo correlación significativa entre haber completado recientemente la capacitación anual y evitar phishing simulado. La lectura de Whalemate es que la finalización puede servir como dato administrativo, pero no como proxy principal de reducción de riesgo.
¿Sirve seguir usando capacitación anual como señal central?
Sirve para demostrar que hubo una actividad, pero no necesariamente que cambió una conducta. Según NIST SP 800-53 Rev. 5, la frecuencia posterior a la incorporación la define la organización, y el control exige actualizar contenidos y técnicas con lecciones aprendidas. Según University of Chicago e IEEE Computer Society, la cercanía temporal de la capacitación anual no mejoró el desempeño en simulaciones. La lectura de Whalemate es que la decisión útil es pasar de una cadencia fija a una actualización basada en rol, incidente y exposición.
¿Qué conducta priorizan CISA y NIST frente al señuelo?
CISA recomienda enseñar a identificar mensajes y enlaces sospechosos, no interactuar con ellos y reportarlos, incluso si la persona ya abrió el correo, enlace o adjunto. NIST SP 800-53 Rev. 5, control AT-2(3), pide reconocer y reportar instancias potenciales y reales de ingeniería social. La lectura de Whalemate es que el comportamiento observable clave no es solo evitar el clic, sino reconocer, escalar y habilitar remediación temprana.
