Por 
El cruce entre NIST, ISO, CISA y guías federales de Brasil muestra que, para un CISO, phishing and hacking no se gestiona con una campaña anual ni con click rate como métrica central. Un programa defendible debe cubrir reconocimiento y reporte, ejercicios prácticos alineados con amenazas actuales, medición de cambio de conducta y refuerzo con MFA resistente al phishing, según NIST SP 800-53, NIST SP 800-172, NIST SP 800-50 Rev. 1, CISA e ISO/IEC 27001:2022 Annex A 6.3.
Qué cambia al comparar marcos que suelen leerse por separado
Puestas lado a lado, las fuentes no dicen lo mismo ni con el mismo nivel de exigencia. El valor del cruce está en que ISO pide awareness y actualizaciones regulares, NIST agrega reconocimiento y reporte de ingeniería social, CISA suma MFA resistente al phishing y las guías federales de Brasil empujan a medir sobre todo el reporte y no quedarse en el entrenamiento anual.
| Norma | Qué exige | Frecuencia | Ejercicios prácticos | Qué medir | Actualización | Control técnico asociado | Fuente |
|---|---|---|---|---|---|---|---|
| NIST SP 800-53 Rev. 5 AT-2 y AT-2(3) | Proporcionar capacitación de alfabetización en seguridad y privacidad a usuarios, gerentes, ejecutivos y contratistas, además de capacitación para reconocer y reportar casos potenciales y reales de ingeniería social y social mining | Como parte de la capacitación inicial y posteriormente con una frecuencia definida por la organización, también ante cambios del sistema o eventos definidos por la organización | Contempla ejercicios prácticos sin aviso que simulan intentos de ingeniería social, recolección de información, acceso no autorizado, apertura de adjuntos maliciosos o activación de enlaces maliciosos mediante spear phishing | no especificado | Ante cambios del sistema o eventos definidos por la organización | no especificado | según NIST SP 800-53 Rev. 5 |
| NIST SP 800-172 requisitos 03.02.1e y 03.02.2e | Capacitación de awareness enfocada en reconocer y responder a amenazas de ingeniería social, actores APT, brechas y comportamientos sospechosos, e incluir ejercicios prácticos para roles definidos por la organización | Con frecuencia definida por la organización, y actualización con frecuencia definida por la organización o cuando haya cambios significativos en la amenaza | Ejercicios alineados con escenarios de amenaza actuales y con feedback a las personas involucradas y a sus supervisores, incluida la simulación de adjuntos o enlaces maliciosos mediante spear phishing | no especificado | Cuando haya cambios significativos en la amenaza | no especificado | según NIST SP 800-172 |
| NIST SP 800-50 Rev. 1 | Un programa de aprendizaje en ciberseguridad y privacidad orientado a promover cambios de comportamiento como parte de la gestión de riesgos y la cultura de seguridad y privacidad | no especificado | Describe ejercicios de phishing como correos enviados para comprobar si los usuarios reconocen un intento, hacen clic en un sitio malicioso o abren un adjunto infectado | Porcentaje de participantes que cambiaron su comportamiento en el trabajo, cuántos participantes recibieron un correo de prueba de phishing y lo reportaron correctamente, impacto del entrenamiento sobre el reconocimiento y el reporte, y métricas habituales como click-through y reportes | Revisar y mejorar periódicamente los programas de aprendizaje a medida que cambian las necesidades | no especificado | según NIST SP 800-50 Rev. 1 |
| ISO/IEC 27001:2022 Annex A 6.3 | El personal y las partes interesadas relevantes deben recibir información, concientización, educación y capacitación apropiadas en seguridad de la información, además de actualizaciones regulares de políticas y procedimientos relevantes para su función | Actualizaciones regulares | No especificado en el texto del control, una guía secundaria menciona campañas continuas como newsletters o simulaciones de phishing como evidencia esperable | No especificado, una guía secundaria menciona resultados de cuestionarios o evaluaciones como evidencia esperable | Actualizaciones regulares de la política de seguridad, políticas temáticas y procedimientos | no especificado | según ISO/IEC 27001:2022 Annex A 6.3 y la guía secundaria de ISO27001.com |
| CISA | Un programa anti-phishing integral que incluye concientización y capacitación de empleados, ataques simulados y análisis de resultados para modificar la capacitación y mitigar el riesgo, además de énfasis en el reporte de correos, enlaces, adjuntos o señuelos sospechosos | no especificado | Correos simulados de phishing enviados a grupos definidos para evaluar niveles de vulnerabilidad | El informe puede identificar cuántos usuarios abrieron o hicieron clic en el enlace para estimar el impacto potencial | Modificar la capacitación según el análisis de resultados | Implementar autenticación multifactor resistente al phishing como parte de Zero Trust, priorizando FIDO/WebAuthn o PKI | según CISA |
| Guías federales de Brasil | Un programa eficaz va más allá del entrenamiento anual con videos y pruebas de phishing e incluye mensajes frecuentes y actualizados y campañas estacionales, mientras CIMBRA-I incluye phishing por correo electrónico, otras tácticas de ingeniería social, identificación de eventos e incidentes, clasificación y tratamiento de datos y seguridad de dispositivos móviles | Mensajes frecuentes y actualizados, campañas estacionales, y evaluación periódica conforme a disparadores definidos | no especificado | Monitorear no solo la reducción de la tasa de clics, sino principalmente el aumento de la tasa de reporte a TI | La eficacia se evalúa periódicamente y conforme a disparadores definidos, como cambios en los sistemas y eventos externos | no especificado | según la Secretaria de Governo Digital de Brasil y CIMBRA-I |
¿Qué se está midiendo mal cuando se usa solo click rate?
Sophos reporta que el 50% de las organizaciones encuestadas rastreaba la tasa de clics en correos de phishing y usaba esa métrica para orientar programas de concientización y adaptar el contenido, según su informe de 2021. NIST, en cambio, sostiene que los programas suelen usar la tasa de clics como única métrica, pero que la dificultad del correo altera la interpretación de ese dato y que las tasas de clics no ofrecen por sí solas una imagen completa de las conductas del personal, según sus trabajos sobre la NIST Phish Scale y su blog técnico.
La lectura de Whalemate es que click rate sirve, pero como señal parcial. Si un programa no incorpora reporte correcto, repetición de clics, dificultad del señuelo y cambio de conducta, termina produciendo evidencia débil tanto para gestión de riesgo como para defensa de cumplimiento.
¿Por qué la dificultad del señuelo cambia el valor de la métrica?
NIST desarrolló la NIST Phish Scale como método para medir la dificultad de detección humana de un correo de phishing y contextualizar diferencias en las tasas de clics, según la publicación sobre phishing user context. Además, NIST remarca que el contexto de dificultad debe incorporarse porque una misma tasa de clics puede significar cosas distintas si el señuelo era burdo o si imitaba con precisión una situación laboral habitual.
La lectura de Whalemate es que comparar campañas sin normalizar la dificultad lleva a decisiones erróneas. Un área con más clics puede estar recibiendo escenarios más complejos, mientras otra con menos clics puede estar siendo evaluada con señuelos triviales.
¿Capacitar alcanza cuando el problema es robo de credenciales?
Microsoft reportó más de 600 millones de ataques contra identidades por día en datos de Microsoft Entra, y que los ataques basados en contraseñas representaron más del 99% de los ataques contra identidades observados, según el Microsoft Digital Defense Report 2024. El resumen ejecutivo del mismo informe agregó un aumento del 146% en ataques de phishing adversary-in-the-middle y 39.000 incidentes detectados por día en sus plataformas, según Microsoft.
CISA responde a ese cuadro recomendando implementar autenticación multifactor resistente al phishing como parte de Zero Trust y la llama el estándar de oro para MFA, según su ficha técnica. En sus Cybersecurity Performance Goals 2.0, CISA prioriza mecanismos basados, por ejemplo, en FIDO/WebAuthn o PKI, y deja SMS o voz solo cuando no haya otras opciones.
La lectura de Whalemate es que, si el objetivo del atacante es secuestrar la identidad y el volumen de ataques a credenciales escala de esa forma, la capacitación sola no cierra la brecha. La decisión habilitada es unir intervención humana y control técnico, en especial donde el impacto de una credencial comprometida es alto.
¿ISO pide menos que NIST sobre phishing?
ISO/IEC 27001:2022 Annex A 6.3 exige awareness, educación, capacitación y actualizaciones regulares relevantes para la función laboral, según el texto del control. NIST SP 800-53 Rev. 5 AT-2(3), en cambio, exige específicamente capacitación para reconocer y reportar casos potenciales y reales de ingeniería social y social mining, según la planilla de controles publicada por NIST.
La tensión no es una contradicción, sino una diferencia de especificidad. La lectura de Whalemate es que una organización que se quede en la literalidad más general de ISO puede acreditar que hizo awareness, pero todavía quedar corta en evidencia concreta sobre reconocimiento y reporte de phishing e ingeniería social.
¿Qué agrega NIST 800-172 que no aparece con la misma fuerza en otros marcos?
NIST SP 800-172, en los requisitos 03.02.1e y 03.02.2e, exige capacitación enfocada en reconocer y responder a amenazas de ingeniería social, actores APT, brechas y comportamientos sospechosos, e incluir ejercicios prácticos alineados con escenarios de amenaza actuales, según NIST. La guía de implementación agrega que esos ejercicios pueden incluir intentos no anunciados de ingeniería social y simulación del impacto de abrir adjuntos maliciosos o activar enlaces maliciosos, y que el feedback rápido refuerza el comportamiento deseado.
La lectura de Whalemate es que acá aparece una vara más operativa que la del awareness genérico. No alcanza con entrenar, también hay que probar con escenarios vigentes y devolver feedback mientras la señal sigue fresca.
¿Reconocer phishing alcanza sin capacidad de reportarlo?
NIST SP 800-53 Rev. 5 AT-2(3) exige reconocer y reportar casos potenciales y reales de ingeniería social y social mining, según NIST. NIST SP 800-50 Rev. 1 también propone medir cuántos participantes recibieron un correo de prueba de phishing y lo reportaron correctamente, y medir el impacto de la capacitación sobre reconocimiento y reporte, según la misma publicación.
CISA, por su parte, recomienda reportar el phishing en lugar de responderlo y extiende esa lógica a correo electrónico, SMS, mensajes directos de redes sociales o llamadas telefónicas, según su guía pública. La Secretaria de Governo Digital de Brasil recomienda monitorear principalmente el aumento de la tasa de reporte a TI, más que la sola reducción de clics.
La lectura de Whalemate es que el reporte no es un complemento blando. Es una capacidad operativa que reduce tiempo de detección y permite activar respuesta antes de que el evento escale.
