NIST y qué medir en awareness

"Indicators of awareness" no se puede leer como una sola tasa de clic. El material sostiene que el tablero útil para CISO, IT y compliance combina apertura, clic, reporte, envío de datos y tiempo de respuesta, y que esos números cambian de significado según la dificultad del mensaje y el contexto de la unidad de negocio. La decisión práctica no es medir más por medir, sino evitar conclusiones falsas cuando una ola mejora o empeora por razones que no están en el clic.

Antes de entrar en las tensiones, vale ordenar qué pone cada fuente sobre la mesa. La tabla muestra que NIST empuja el contexto y el reporte, JISTIC amplía el set de indicadores medibles, y el estudio empresarial agrega segmentación por unidad de negocio y lectura por oleadas. Al mirarlos juntos, aparece la brecha entre un indicador aislado y una lectura operativa.

¿Por qué NIST no deja al clic solo?

NIST dice que las tasas de clic, por sí solas, no ofrecen una visión completa de los comportamientos del personal, y que la Phish Scale sirve para contextualizar la dificultad del correo. Esa lectura cambia la discusión en compliance, porque un mismo porcentaje puede representar mensajes distintos si el escenario era fácil o difícil de detectar. Whalemate toma ese punto como base: el clic se interpreta, no se idolatra.

¿Qué agrega la NIST Phish Scale al tablero?

La NIST Phish Scale, según NIST, incorpora señales del correo y la alineación de la premisa con el contexto del destinatario. También toma en cuenta la relevancia laboral del escenario, la alineación con otras situaciones o eventos, el nivel de preocupación por las consecuencias de no hacer clic y la exposición previa a capacitación o advertencias. Para un CISO, eso significa que el dato de desempeño no se separa del diseño del ejercicio.

¿Qué métricas aparecen además del clic?

NIST menciona tasa de clic y tasa de reporte, pero el artículo académico de JISTIC amplía el tablero con tasa de apertura, tasa de envío de datos y tiempo de respuesta. JISTIC además define la tasa de apertura como el porcentaje de usuarios que abren el correo simulado respecto del total entregado correctamente, y la tasa de clic como el porcentaje que hace clic en el enlace. La lectura de Whalemate es que la operación madura no se queda con una sola reacción del usuario.

¿Qué pasa cuando se compara por unidad de negocio?

El estudio a escala empresarial observó variaciones en la tasa de clics entre distintas unidades de negocio, y también informó que el momento de la capacitación antes de los correos simulados no influyó significativamente en esa tasa. Esa combinación rompe una práctica común, que es atribuir una mejora o una caída a una sola causa. La lectura útil es otra, la respuesta cambia según el grupo, y eso obliga a segmentar antes de decidir una acción general.

¿Qué aprendemos de las oleadas sucesivas?

ScienceDirect informó que las tasas de clic y de reporte mejoraron durante tres oleadas de phishing simulado. Ese dato importa porque muestra que el comportamiento no es estático, y que una sola foto puede engañar. Para Whalemate, la pregunta operativa no es si hubo mejora, sino en qué oleada, en qué unidad y con qué tipo de mensaje se produjo.

¿Qué tensión hay entre NIST y JISTIC?

NIST presenta la tasa de clic como una métrica habitual que debe leerse junto con el reporte y el contexto del escenario. JISTIC, en cambio, incorpora además apertura, envío de datos y tiempo de respuesta como indicadores medibles, ampliando el tablero más allá del clic. La lectura de Whalemate es que no hay contradicción, hay capas distintas, NIST explica cómo interpretar, JISTIC ayuda a ampliar qué observar.

¿Qué tensión hay entre NIST y el estudio empresarial?

NIST insiste en que la dificultad del mensaje y el contexto del escenario son claves para entender la variabilidad del clic. El estudio empresarial agrega que esa variación también aparece entre unidades de negocio y que el timing de la capacitación no movió significativamente la tasa de clics. Para un CISO o compliance, esto implica que el error frecuente no es medir poco, sino asignar la causa en bloque cuando el fenómeno está segmentado.

¿Qué pasa con las cifras de proveedores y preprints?

TitanHQ afirma una reducción del 92% en la susceptibilidad al phishing tras capacitar con SafeTitan, y arXiv reporta una reducción del 52% en un período de seis a ocho meses con simulaciones y feedback inmediato. Ambos resultados son útiles como evidencia puntual, pero no deben leerse como benchmark universal. Whalemate los toma como resultados atribuidos, no como regla general para toda organización.

¿Qué consecuencia operativa deja esto para mañana?

Para un CISO, IT o compliance en LATAM, la decisión no debería ser "subió o bajó el clic", sino dónde intervenir. Si el reporte mejora pero el envío de datos sigue alto, la capacitación no está frenando el daño práctico. Si la variación aparece concentrada en una unidad, o si el ejercicio era de alta dificultad según la Phish Scale, conviene priorizar refuerzo puntual, segmentación y lectura por oleadas antes que un programa genérico.

¿Qué leer después?

• Concientización en la plataforma
• Plataformas de awareness en español para LATAM
• Ingeniería social: NIST, CISA