Por 
Septiembre, cuando se realiza National Insider Threat Awareness Month, solo habilita una decisión útil si la campaña se convierte en un programa medible de detección, reporte y respuesta. El cruce entre DCSA y CISA, los controles de NIST, los requisitos de ISO y las métricas propuestas por NIST y ENISA muestra lo mismo: awareness aislado no alcanza, y completar cursos o mirar clics como única señal deja afuera la velocidad, la calidad del reporte y la capacidad real de manejo multidisciplinario.
Qué aparece cuando se ponen juntas campaña, requisitos, métricas y resultados
Ninguna fuente del material junta en una sola vista las cuatro capas. Al compararlas, aparece una brecha consistente entre lo que los marcos exigen, lo que las organizaciones suelen medir y lo que los resultados reales siguen mostrando sobre exposición humana e interna.
| Norma | Tipo | Qué pide o mide | Foco | Señal de suficiencia | Brecha visible | Fuente |
|---|---|---|---|---|---|---|
| DCSA NITAM | Campaña anual de awareness | La estructura oficial incluye Promote Awareness, Establish an Insider Threat Program, Train the Workforce y Support through Reporting | Reconocer todas las formas de insider threat y apoyar el reporte | no especificado | La campaña por sí sola no especifica métricas de efectividad ni tiempos de detección | Defense Counterintelligence and Security Agency, DCSA |
| NIST SP 800-53 AT-2(2) | Control de capacitación y awareness | Exige proporcionar capacitación para reconocer y reportar indicadores potenciales de insider threat | Reconocimiento y reporte de indicadores de insider threat | no especificado | El control exige reconocer y reportar, pero no define por sí mismo métricas operativas de calidad o velocidad del reporte | National Institute of Standards and Technology, NIST |
| NIST SP 800-53 IR-4(6) | Control de respuesta a incidentes | Exige implementar una capacidad de incident handling para incidentes que involucren insider threats | Respuesta a incidentes de insider threat | no especificado | Muestra que awareness sin capacidad de handling deja incompleto el programa | National Institute of Standards and Technology, NIST |
| NIST SP 800-53 PM-12 | Control de programa | Exige implementar un insider threat program que incluya un equipo cross-discipline de incident handling | Programa multidisciplinario e integración centralizada de información técnica y no técnica | no especificado | Un curso anual aislado no cumple con la exigencia de equipo cross-discipline ni con la integración centralizada | National Institute of Standards and Technology, NIST |
| ISO Annex SL 7.2 y 7.3 | Requisito de sistema de gestión | Exige determinar competencia, asegurar competencia mediante educación, capacitación o experiencia, evaluar la efectividad de esas acciones y conservar evidencia documentada; además exige awareness sobre la política, la contribución al sistema y las implicancias de no conformidad | Competencia, awareness y evidencia documentada | Evaluar la efectividad de las acciones y conservar información documentada como evidencia de competencia | No baja a métricas específicas de insider threat o phishing, requiere que la organización las defina | International Organization for Standardization, ISO |
| ISO/IEC 27002:2022 6.1.3 según JTC 1/SC 27 | Práctica de control | Resume la práctica como capacitación regular y específica por rol, incluyendo simulaciones de phishing, seguimiento de participación y adaptación de materiales según feedback e incidentes | Capacitación regular por rol y ajuste según resultados | Seguimiento de participación y adaptación de materiales según feedback e incidentes | La participación aparece como señal, pero no necesariamente mide detección, reporte ni respuesta | ISO/IEC JTC 1/SC 27 |
| NIST estudio de efectividad de awareness | Medición práctica | Las organizaciones usan cantidad y tipo de incidentes vinculados a temas de capacitación, reportes iniciados por usuarios, tasas de clic en simulaciones de phishing, visualizaciones o engagement con materiales y encuestas a stakeholders; el 84% usaba finalización de capacitación, el 72% tasa de clic y el 67% auditorías o evaluaciones del programa | Indicadores de efectividad del programa | No hay una sola, combina finalización, clics, reportes, incidentes y auditorías | La medida más usada es la finalización de capacitación, aunque no prueba por sí sola capacidad de detectar o reportar | National Institute of Standards and Technology, NIST |
| NIST estudio de métricas de phishing | Medición práctica | El 72% de las organizaciones encuestadas utilizaba tasas de clic en simulaciones de phishing, el 62% reportes de phishing simulado y el 53% reportes de phishing real para evaluar la efectividad de la capacitación relacionada con phishing | Comportamiento de reporte además de clics | Incluir reportes de phishing simulado y real, no solo tasa de clic | Incluso en phishing, el reporte real se usa menos que la tasa de clic | National Institute of Standards and Technology, NIST |
| ENISA metodología de ejercicios | Medición operativa | Propone medir time to detect y reporting accuracy para evaluar la detección y el reporte de un phishing simulado | Velocidad y calidad del reporte | Definir una o más métricas claras para cada indicador de éxito | Estas métricas de tiempo y calidad no aparecen en muchas prácticas centradas solo en completar cursos o medir clics | European Union Agency for Cybersecurity, ENISA |
| NITTF compendio de mejores prácticas | Medición del programa | Indica que muchos programas solicitan feedback regularmente y mantienen métricas para evaluar la efectividad de la capacitación; menciona como medidas los reportes recibidos poco después de completar la capacitación y los comentarios registrados mediante formularios | Efectividad cercana al entrenamiento y feedback | Reportes recibidos poco después de completar la capacitación y feedback registrado | Introduce una ventana temporal de respuesta que la capacitación anual aislada no captura de manera sostenida | National Insider Threat Task Force, NITTF |
| Verizon DBIR 2025 y EMEA | Resultado de exposición | La participación del elemento humano en brechas se mantuvo alrededor del 60%; en EMEA, el 29% de las brechas se originó dentro de las organizaciones, 19% se atribuyó a errores no intencionales, 8% a misuse y phishing apareció en 19% de las brechas regionales | Peso real del factor humano e interno en brechas | no especificado | Si el elemento humano se mantiene alrededor del 60% y el origen interno en EMEA es 29%, awareness sin detección y reporte medidos no parece suficiente | Verizon |
| UK Cyber Security Breaches Survey 2025/2026 | Práctica de mercado | El 19% de las empresas había proporcionado alguna forma de capacitación al personal durante los últimos 12 meses; 54% en empresas medianas y 84% en empresas grandes. El 38% de las empresas había experimentado phishing durante el año relevado | Cobertura de capacitación frente a exposición a phishing | no especificado | La exposición a phishing sigue siendo alta mientras la capacitación en empresas es minoritaria en términos agregados | Government of the United Kingdom |
| CERT/SEI sabotaje interno | Patrones de casos reales | En 49 casos, el 62% había sido planificado con anticipación, el 80% de los insiders había mostrado comportamiento inusual en el lugar de trabajo antes de actuar y el 57% había explotado vulnerabilidades sistémicas en aplicaciones, procesos o procedimientos | Indicadores previos y fallas sistémicas | no especificado | Los casos muestran que hay señales conductuales y debilidades de proceso antes del incidente, por lo que awareness sin monitoreo, procesos de reporte y controles de acceso deja señales sin aprovechar | Software Engineering Institute, Carnegie Mellon University |
¿Por qué completar cursos y medir clics sigue siendo la señal dominante si no alcanza?
Según el estudio de NIST sobre efectividad de awareness, el 84% de los participantes utilizaba finalización de capacitación como medida de efectividad y el 72% utilizaba la tasa de clic en simulaciones de phishing. Según la metodología de ejercicios de ENISA, para evaluar detección y reporte conviene medir time to detect y reporting accuracy. La lectura de Whalemate es que muchas organizaciones siguen midiendo lo más fácil de registrar, no lo más útil para decidir respuesta.
El problema no es que la finalización o el click rate no sirvan. El problema es usarlos como sustituto de capacidad operativa. Según NIST, también se usan reportes iniciados por usuarios, incidentes vinculados a temas de capacitación y auditorías, pero esas señales quedan menos estandarizadas que el curso completado o el clic en una simulación.
¿Qué exige realmente NITAM, una campaña o un programa?
Según DCSA, NITAM se estructura en Promote Awareness, Establish an Insider Threat Program, Train the Workforce y Support through Reporting. Según NIST, PM-12 exige implementar un insider threat program que incluya un equipo cross-discipline de incident handling, e IR-4(6) exige una capacidad de incident handling para incidentes que involucren insider threats. La lectura de Whalemate es que septiembre no alcanza como campaña de comunicación si no desemboca en una decisión de gobierno y operación.
También CISA ordena la mitigación en cuatro pasos, Define, Detect and Identify, Assess y Manage, según su Insider Threat Mitigation Guide. Eso corre la conversación desde la pieza de awareness hacia un sistema con detección, evaluación y respuesta, apoyado por seguimiento de activos críticos y métricas sobre datos y comportamientos que investigará el equipo de insider threat, según CISA.
¿Awareness documentado equivale a reducción de exposición?
Según ISO Annex SL 7.2 y 7.3, la organización debe asegurar competencia, evaluar la efectividad de las acciones y conservar evidencia documentada, además de asegurar awareness sobre la política y las implicancias de no conformidad. Según Verizon 2025 DBIR, la participación del elemento humano en brechas se mantuvo alrededor del 60%, y en el recorte EMEA el 29% de las brechas se originó dentro de las organizaciones. La lectura de Whalemate es que cumplir con evidencia documental no prueba por sí mismo reducción material del riesgo.
La tensión no es normativa, es operativa. ISO pide evaluar efectividad, pero no impone la métrica específica. Si la organización elige como evidencia principal asistencia o aprobación de cursos, puede quedar formalmente ordenada y, al mismo tiempo, ciega respecto de la calidad del reporte, la velocidad de detección o la exposición por rol.
¿Qué se mide cuando el objetivo es reconocer y reportar indicadores?
Según NIST SP 800-53 AT-2(2), la exigencia es proporcionar capacitación para reconocer y reportar indicadores potenciales de insider threat. Según NIST, esos indicadores pueden incluir insatisfacción laboral intensa y prolongada, intentos de acceder a información no necesaria para el trabajo, acceso inexplicado a recursos financieros, bullying o acoso, violencia laboral y otras violaciones graves de políticas o reglas. La lectura de Whalemate es que medir solo phishing deja afuera buena parte del problema que el propio control pide cubrir.
Según el FBI, señales posibles incluyen tomar información propietaria sin necesidad o autorización, buscar información fuera de las funciones laborales, copiar material innecesariamente, acceder remotamente en horarios inusuales y desobedecer políticas sobre software, hardware o descargas confidenciales. Eso obliga a combinar señales técnicas y no técnicas, no a reducir insider threat a una campaña de correos simulados.
¿Qué falla cuando el programa se apoya en un curso anual aislado?
Según el material del comité ISO/IEC JTC 1/SC 27 sobre ISO/IEC 27002:2022 6.1.3, la práctica esperada incluye capacitación regular y específica por rol, simulaciones de phishing, seguimiento de participación y adaptación de materiales según feedback e incidentes. Según NITTF, muchos programas piden feedback regularmente y miden reportes recibidos poco después de completar la capacitación. La lectura de Whalemate es que el curso anual aislado falla porque no genera un ciclo continuo de prueba, aprendizaje, ajuste y reentrenamiento.
PCI DSS 12.6, según el material provisto, exige un programa de concientización en seguridad, no un curso suelto. Aplicado a insider threat, la campaña de septiembre solo tiene valor si abre un tramo de medición y seguimiento posterior, con intervenciones focalizadas según resultados.
