NIST, PCI y Brasil: ingeniería social

Para un CISO, IT o compliance, describir la ingeniería social no habilita una decisión de diccionario sino de medición. El cruce entre NIST, CIS, PCI, CISA, NCSC y guías de Brasil muestra algo más incómodo: cumplir una frecuencia anual o periódica de capacitación puede servir para compliance, pero no prueba eficacia. La decisión defendible es otra, medir comportamiento observable, ejercicios, reportes y capacidad de respuesta frente a riesgo de credenciales expuestas, acceso no autorizado, fraude, transferencias de dinero o instalación de malware.

Puestas una al lado de la otra, las fuentes no discuten si hay que entrenar, discuten qué vale como evidencia de que el programa funciona. Ahí aparece la diferencia que ninguna fuente del material junta por sí sola, entre frecuencia mínima, ejercicios, métricas y canales de reporte.

¿Qué describe realmente la ingeniería social para un CISO?

CISA define la ingeniería social como el intento de engañar a alguien para revelar información o realizar una acción que pueda comprometer sistemas o redes, y NIST agrega que ese engaño puede derivar en acceso no autorizado o fraude. BSI suma efectos concretos, compartir información confidencial, eludir controles, enviar dinero o instalar malware. La lectura de Whalemate es que la ingeniería social, en una mesa de riesgo, no describe un concepto académico sino una clase de pérdida observable.

Eso cambia la conversación interna. Si el riesgo es divulgación de credenciales, fraude o malware, entonces el programa no puede medirse solo por asistencia a capacitación. Según la guía conjunta de CISA, NSA, FBI y MS-ISAC, dos tácticas comunes del phishing son obtener credenciales de acceso y desplegar malware, lo que vuelve insuficiente cualquier enfoque centrado únicamente en awareness formal.

¿La frecuencia anual que piden CIS y PCI demuestra eficacia?

CIS Controls v8 exige capacitación al incorporarse y, como mínimo, anualmente, además de actualizar el contenido al menos una vez por año o ante cambios significativos. PCI DSS 12.6.3 exige capacitar al personal al ser contratado y al menos cada 12 meses, usar más de un método de comunicación y obtener confirmación de lectura y comprensión de políticas y procedimientos. La lectura de Whalemate es que ambos marcos ordenan una base de cumplimiento, pero no demuestran por sí mismos reducción de riesgo.

La tensión aparece cuando se cruza esa exigencia con la evidencia empírica. Investigadores de UC San Diego reportaron que no encontraron correlación entre la fecha de la capacitación anual y que una persona hiciera clic en enlaces de mensajes de phishing simulados. Una reproducción a gran escala publicada en arXiv tampoco encontró efectos principales significativos ni sobre clics, con p=0.450, ni sobre reportes, con p=0.417. Cumplir el calendario, entonces, no equivale a probar cambio de conducta.

¿Qué cambia cuando NIST deja la frecuencia definida por la organización?

NIST SP 800-172 3.2.1e exige capacitación enfocada en reconocer y responder a amenazas de ingeniería social, actores APT, brechas y comportamientos sospechosos, pero deja la frecuencia definida por la organización. También exige actualizar la capacitación con frecuencia definida por la organización o cuando haya cambios significativos en la amenaza. La lectura de Whalemate es que NIST empuja una decisión basada en riesgo, no un mínimo uniforme para todos.

Ese matiz es clave para equipos de LATAM con superficies de ataque distintas entre sí. Si una organización recibe campañas por email, SMS, llamadas y mensajería directa, como advierte CISA, la definición de frecuencia debería salir del patrón de exposición y de los resultados observados, no de una cadencia heredada. Además, según NIST SP 800-172A, la evaluación del requisito mira políticas, materiales, registros e información sobre amenazas, lo que habilita una gobernanza más amplia que el mero registro de asistencia.

¿Por qué NCSC pone el foco en ejercicios y reportes?

El NCSC del Reino Unido sostiene que la mejor forma de comprobar la preparación frente al phishing es mediante ejercicios y no únicamente mediante capacitación teórica. También recomienda medir éxitos defensivos, no solo cuántas personas hicieron clic sino cuántas reportaron el mensaje. La lectura de Whalemate es que ahí aparece una vara operativa más exigente, medir si la organización detecta y escala antes de que el incidente crezca.

Ese enfoque corrige un sesgo habitual en programas de awareness. Mirar solo clics mide falla individual, mientras que sumar reportes mide capacidad defensiva distribuida. El propio NCSC además recomienda ejercitar los planes de respuesta antes de un incidente, porque detectar sin saber a quién escalar o qué aislar sigue dejando una brecha operativa.

¿Qué deja afuera PCI DSS 12.6.3 si se lo toma como programa suficiente?

PCI DSS 12.6.3, según el material citado, pone el énfasis en capacitación al menos cada 12 meses, más de un método de comunicación y confirmación de lectura y comprensión. No exige, en ese material, métricas de clics o reportes ni ejercicios de phishing. La lectura de Whalemate es que sirve para demostrar disciplina documental, pero deja abierta la pregunta central, si el comportamiento cambió.

Para compliance esto importa porque el control puede estar formalmente completo y seguir siendo débil como defensa real. Si el programa solo acredita que la gente recibió mensajes y confirmó comprensión, todavía falta probar si reconoce un señuelo realista, si reporta por el canal correcto y si el equipo responde a tiempo. Esa diferencia entre evidencia formal y evidencia operativa es la tensión más práctica del material.

¿Brasil eleva el estándar por encima del mínimo anual?

Las guías del Gobierno Digital de Brasil afirman que el programa debe ir más allá de una capacitación anual con videos y pruebas de phishing, e incluir mensajes frecuentes y actualizados sobre temas relevantes. Además, la guía brasileña de prevención y respuesta a ransomware recomienda simulaciones periódicas de ingeniería social, por ejemplo pruebas mensuales de phishing para todos los agentes públicos, con escenarios realistas del contexto organizacional. La lectura de Whalemate es que Brasil plantea una operación continua, no un hito anual de cumplimiento.

Esa postura tensiona de frente con la lógica de mínimo anual que aparece en CIS Controls v8 y PCI DSS 12.6.3. Una organización puede cumplir el piso de CIS o PCI y, al mismo tiempo, quedar por debajo del estándar operativo que Brasil sugiere para sostener memoria, detección y reporte en contextos cambiantes. Para equipos regionales, esto importa porque el marco de referencia local puede pedir más continuidad que el estándar internacional usado para auditoría.

¿La capacitación funciona o la evidencia sigue siendo mixta?

La evidencia del material no permite una respuesta simple. La reproducción a gran escala publicada en arXiv reportó que las intervenciones de capacitación no produjeron efectos principales significativos sobre clics ni reportes, y detalló una tasa general de clics de 10.4%, con 9.8% en el grupo de control, 10.5% en el grupo capacitado, 10.6% en el grupo con capacitación solamente y 10.4% en el grupo con capacitación más ejercicio. La lectura de Whalemate es que la mera existencia de una intervención no garantiza impacto.

Pero otro estudio comparativo publicado en Springer informó que después de 10 días no observó una diferencia significativa entre grupos, mientras que después de 63 días la capacitación sí produjo mejoras significativas en el comportamiento de clic. En ese estudio falló 24.5% del grupo capacitado, frente a 32.08% del grupo con solo feedback y 47.5% del grupo sin capacitación ni feedback. La evidencia, entonces, es mixta, y por eso la decisión razonable no es abandonar el programa sino validarlo con datos propios.

¿Qué métricas sí conviene mirar cuando el objetivo es bajar riesgo?

NIST SP 800-50 Rev. 1 describe las métricas del programa como medidas para cuantificar implementación, efectividad y eficiencia, analizar la suficiencia de los esfuerzos e identificar mejoras. El NCSC pide sumar éxitos defensivos, por ejemplo reportes, además de clics. DomainTools, en su análisis de los datos del Verizon 2025 DBIR, indicó que usuarios con capacitación más reciente reportaron phishing a una tasa aproximada de 21%, frente a una tasa base de 5%, una diferencia relativa de aproximadamente cuatro veces. La lectura de Whalemate es que reportar rápido puede ser un indicador más útil que perseguir un clic cero imposible.

Eso no significa descartar clics. Significa leerlos junto con tiempo de reporte, resultados de ejercicios y exposición por rol, tal como plantea el hallazgo del material. Si además NIST SP 800-50 Rev. 1 orienta el programa a cambio de conducta y mejora continua, medir solamente completitud del curso deja afuera la mitad de la película.

¿Qué peso tiene el canal de reporte en la decisión operativa?

CISA recomienda definir a quién y cómo debe reportarse un correo sospechoso o intento de phishing, y también reportar rápidamente incidentes de phishing. El NCSC recomienda ayudar a los usuarios a identificar y reportar mensajes sospechosos y responder rápidamente a los incidentes. La lectura de Whalemate es que el canal de reporte no es un detalle administrativo, es parte del control.

Si el usuario reconoce el intento pero no sabe dónde reportarlo, o si reporta y nadie acciona, el programa falla aunque la capacitación haya sido completada. Además, CISA advierte que el phishing puede llegar por email, SMS, mensajes directos en redes sociales o llamadas telefónicas. Eso obliga a diseñar reporte y respuesta para múltiples canales, no solo para el correo corporativo.

¿Qué muestra el contexto de amenaza sobre el costo de medir mal?

El FBI informó que su Internet Crime Report 2024 reunió 859.532 denuncias de delitos de internet y pérdidas reportadas superiores a US$16.000 millones, y que phishing/spoofing estuvo entre los tres delitos con mayor número de denuncias. El informe IC3 2024 reportó pérdidas de US$16.600 millones, un aumento del 33% respecto de 2023. APWG observó 3,8 millones de ataques de phishing durante 2025, frente a 3,76 millones en 2024, y en el tercer trimestre de 2025 registró un aumento de casi 35% en el fraude basado en SMS y de 57% en los ataques BEC de transferencias electrónicas. La lectura de Whalemate es que el problema no se limita al email ni a un vector estable.

Verizon agregó otra capa. El Verizon 2025 Data Breach Investigations Report indicó que el elemento humano estuvo involucrado en aproximadamente 60% de las brechas analizadas, y que la participación de terceros se duplicó de 15% a 30%. En el resumen del DBIR 2025, las acciones sociales estuvieron lideradas por phishing y pretexting, y también se registró prompt bombing en 14% de los incidentes analizados. Medir mal no solo deja pasar clics, también deja ciegos frente a fraude, terceros y nuevas formas de presión sobre el usuario.

¿Qué implica esto para CISO, IT y compliance en LATAM mañana?

La decisión operativa no debería ser si alcanza con dar un curso anual. Debería ser qué comportamiento observable se quiere mejorar y cómo se lo va a probar. Según NIST SP 800-50 Rev. 1, el programa tiene que orientarse a cambio de conducta y métricas de efectividad, según el NCSC hay que medir clics y reportes, según CISA hay que definir canales de reporte y respuesta rápida, y según las guías de Brasil conviene sostener mensajes frecuentes y simulaciones periódicas.

Para un equipo de LATAM, eso habilita un programa defendible con cinco piezas. Primero, tratar la ingeniería social como riesgo de credenciales expuestas, acceso no autorizado, fraude, transferencias de dinero o malware, según CISA, NIST y BSI. Segundo, medir al menos clics, reportes, tiempo de reporte, resultados de ejercicios y exposición por rol, porque el material muestra que la frecuencia sola no prueba eficacia. Tercero, incluir simulaciones o ejercicios para comprobar preparación real, como recomiendan NIST, NCSC y Brasil. Cuarto, definir y ensayar canales de reporte y respuesta para email, SMS, llamadas y mensajería. Quinto, separar cumplimiento de eficacia, porque CIS Controls v8 y PCI DSS 12.6.3 pueden estar satisfechos y aun así no demostrar reducción de riesgo.

¿Qué leer después?

• Concientización en la plataforma
• NIST y SANS en phishing awareness
• NIST y CISA explican la ingeniería social