--- title: "NITAM exige pasar de awareness a programa medible | Whalemate" description: "NITAM solo habilita una decisión útil si septiembre se convierte en un programa medible de reporte, detección y respuesta, no en cursos aislados." url: https://www.whalemate.com/recursos/blog/nitam-exige-pasar-awareness-programa/ lang: es updated: 2026-11-12 alternates: en: https://www.whalemate.com/en/resources/blog/nitam-needs-measurable-insider-threat/ pt-BR: https://www.whalemate.com/br/recursos/blog/nitam-pede-programa-mensuravel-insider/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # NITAM exige pasar de awareness a programa medible NITAM solo habilita una decisión útil si septiembre se convierte en un programa medible de reporte, detección y respuesta, no en cursos aislados. 12 de nov de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 14 min de lectura [Concientización](https://www.whalemate.com/recursos/blog/tema/concientizacion/) ![NITAM exige pasar de awareness a programa medible](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nitam-exige-pasar-awareness-programa.webp) En este artículo 1. [Qué aparece cuando se ponen juntas campaña, requisitos, métricas y resultados](#s1) 2. [¿Por qué completar cursos y medir clics sigue siendo la señal dominante si no alcanza?](#s2) 3. [¿Qué exige realmente NITAM, una campaña o un programa?](#s3) 4. [¿Awareness documentado equivale a reducción de exposición?](#s4) 5. [¿Qué se mide cuando el objetivo es reconocer y reportar indicadores?](#s5) 6. [¿Qué falla cuando el programa se apoya en un curso anual aislado?](#s6) 7. [¿Qué métricas sirven para tomar decisiones mañana?](#s7) 8. [¿Qué muestran los casos reales sobre señales previas desaprovechadas?](#s8) 9. [¿Por qué el canal de reporte importa tanto como la capacitación?](#s9) 10. [¿Dónde entra la integración entre seguridad, RR. HH., legal y compliance?](#s10) 11. [¿Qué peso tiene hoy la exposición humana e interna?](#s11) 12. [¿Qué decisión concreta habilita septiembre para LATAM?](#s12) 13. [¿Qué leer después?](#s13) Septiembre, cuando se realiza [National Insider Threat Awareness Month](https://www.cisa.gov/news-events/alerts/2020/08/31/national-insider-threat-awareness-month), solo habilita una decisión útil si la campaña se convierte en un programa medible de detección, reporte y respuesta. El cruce entre DCSA y CISA, los controles de NIST, los requisitos de ISO y las métricas propuestas por NIST y ENISA muestra lo mismo: awareness aislado no alcanza, y completar cursos o mirar clics como única señal deja afuera la velocidad, la calidad del reporte y la capacidad real de manejo multidisciplinario. ## Qué aparece cuando se ponen juntas campaña, requisitos, métricas y resultados Ninguna fuente del material junta en una sola vista las cuatro capas. Al compararlas, aparece una brecha consistente entre lo que los marcos exigen, lo que las organizaciones suelen medir y lo que los resultados reales siguen mostrando sobre exposición humana e interna. | Norma | Tipo | Qué pide o mide | Foco | Señal de suficiencia | Brecha visible | Fuente | | --- | --- | --- | --- | --- | --- | --- | | DCSA NITAM | Campaña anual de awareness | La estructura oficial incluye Promote Awareness, Establish an Insider Threat Program, Train the Workforce y Support through Reporting | Reconocer todas las formas de insider threat y apoyar el reporte | no especificado | La campaña por sí sola no especifica métricas de efectividad ni tiempos de detección | Defense Counterintelligence and Security Agency, DCSA | | NIST SP 800-53 AT-2(2) | Control de capacitación y awareness | Exige proporcionar capacitación para reconocer y reportar indicadores potenciales de insider threat | Reconocimiento y reporte de indicadores de insider threat | no especificado | El control exige reconocer y reportar, pero no define por sí mismo métricas operativas de calidad o velocidad del reporte | National Institute of Standards and Technology, NIST | | NIST SP 800-53 IR-4(6) | Control de respuesta a incidentes | Exige implementar una capacidad de incident handling para incidentes que involucren insider threats | Respuesta a incidentes de insider threat | no especificado | Muestra que awareness sin capacidad de handling deja incompleto el programa | National Institute of Standards and Technology, NIST | | NIST SP 800-53 PM-12 | Control de programa | Exige implementar un insider threat program que incluya un equipo cross-discipline de incident handling | Programa multidisciplinario e integración centralizada de información técnica y no técnica | no especificado | Un curso anual aislado no cumple con la exigencia de equipo cross-discipline ni con la integración centralizada | National Institute of Standards and Technology, NIST | | ISO Annex SL 7.2 y 7.3 | Requisito de sistema de gestión | Exige determinar competencia, asegurar competencia mediante educación, capacitación o experiencia, evaluar la efectividad de esas acciones y conservar evidencia documentada; además exige awareness sobre la política, la contribución al sistema y las implicancias de no conformidad | Competencia, awareness y evidencia documentada | Evaluar la efectividad de las acciones y conservar información documentada como evidencia de competencia | No baja a métricas específicas de insider threat o phishing, requiere que la organización las defina | International Organization for Standardization, ISO | | ISO/IEC 27002:2022 6.1.3 según JTC 1/SC 27 | Práctica de control | Resume la práctica como capacitación regular y específica por rol, incluyendo simulaciones de phishing, seguimiento de participación y adaptación de materiales según feedback e incidentes | Capacitación regular por rol y ajuste según resultados | Seguimiento de participación y adaptación de materiales según feedback e incidentes | La participación aparece como señal, pero no necesariamente mide detección, reporte ni respuesta | ISO/IEC JTC 1/SC 27 | | NIST estudio de efectividad de awareness | Medición práctica | Las organizaciones usan cantidad y tipo de incidentes vinculados a temas de capacitación, reportes iniciados por usuarios, tasas de clic en simulaciones de phishing, visualizaciones o engagement con materiales y encuestas a stakeholders; el 84% usaba finalización de capacitación, el 72% tasa de clic y el 67% auditorías o evaluaciones del programa | Indicadores de efectividad del programa | No hay una sola, combina finalización, clics, reportes, incidentes y auditorías | La medida más usada es la finalización de capacitación, aunque no prueba por sí sola capacidad de detectar o reportar | National Institute of Standards and Technology, NIST | | NIST estudio de métricas de phishing | Medición práctica | El 72% de las organizaciones encuestadas utilizaba tasas de clic en simulaciones de phishing, el 62% reportes de phishing simulado y el 53% reportes de phishing real para evaluar la efectividad de la capacitación relacionada con phishing | Comportamiento de reporte además de clics | Incluir reportes de phishing simulado y real, no solo tasa de clic | Incluso en phishing, el reporte real se usa menos que la tasa de clic | National Institute of Standards and Technology, NIST | | ENISA metodología de ejercicios | Medición operativa | Propone medir time to detect y reporting accuracy para evaluar la detección y el reporte de un phishing simulado | Velocidad y calidad del reporte | Definir una o más métricas claras para cada indicador de éxito | Estas métricas de tiempo y calidad no aparecen en muchas prácticas centradas solo en completar cursos o medir clics | European Union Agency for Cybersecurity, ENISA | | NITTF compendio de mejores prácticas | Medición del programa | Indica que muchos programas solicitan feedback regularmente y mantienen métricas para evaluar la efectividad de la capacitación; menciona como medidas los reportes recibidos poco después de completar la capacitación y los comentarios registrados mediante formularios | Efectividad cercana al entrenamiento y feedback | Reportes recibidos poco después de completar la capacitación y feedback registrado | Introduce una ventana temporal de respuesta que la capacitación anual aislada no captura de manera sostenida | National Insider Threat Task Force, NITTF | | Verizon DBIR 2025 y EMEA | Resultado de exposición | La participación del elemento humano en brechas se mantuvo alrededor del 60%; en EMEA, el 29% de las brechas se originó dentro de las organizaciones, 19% se atribuyó a errores no intencionales, 8% a misuse y phishing apareció en 19% de las brechas regionales | Peso real del factor humano e interno en brechas | no especificado | Si el elemento humano se mantiene alrededor del 60% y el origen interno en EMEA es 29%, awareness sin detección y reporte medidos no parece suficiente | Verizon | | UK Cyber Security Breaches Survey 2025/2026 | Práctica de mercado | El 19% de las empresas había proporcionado alguna forma de capacitación al personal durante los últimos 12 meses; 54% en empresas medianas y 84% en empresas grandes. El 38% de las empresas había experimentado phishing durante el año relevado | Cobertura de capacitación frente a exposición a phishing | no especificado | La exposición a phishing sigue siendo alta mientras la capacitación en empresas es minoritaria en términos agregados | Government of the United Kingdom | | CERT/SEI sabotaje interno | Patrones de casos reales | En 49 casos, el 62% había sido planificado con anticipación, el 80% de los insiders había mostrado comportamiento inusual en el lugar de trabajo antes de actuar y el 57% había explotado vulnerabilidades sistémicas en aplicaciones, procesos o procedimientos | Indicadores previos y fallas sistémicas | no especificado | Los casos muestran que hay señales conductuales y debilidades de proceso antes del incidente, por lo que awareness sin monitoreo, procesos de reporte y controles de acceso deja señales sin aprovechar | Software Engineering Institute, Carnegie Mellon University | ## ¿Por qué completar cursos y medir clics sigue siendo la señal dominante si no alcanza? Según el estudio de NIST sobre efectividad de awareness, el [84% de los participantes](https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=934952) utilizaba finalización de capacitación como medida de efectividad y el 72% utilizaba la tasa de clic en simulaciones de phishing. Según la metodología de ejercicios de ENISA, para evaluar detección y reporte conviene medir [time to detect](https://www.whalemate.com/recursos/blog/nist-medir-awareness/) y reporting accuracy. La lectura de Whalemate es que muchas organizaciones siguen midiendo lo más fácil de registrar, no lo más útil para decidir respuesta. El problema no es que la finalización o el click rate no sirvan. El problema es usarlos como sustituto de capacidad operativa. Según NIST, también se usan reportes iniciados por usuarios, incidentes vinculados a temas de capacitación y auditorías, pero esas señales quedan menos estandarizadas que el curso completado o el clic en una simulación. ## ¿Qué exige realmente NITAM, una campaña o un programa? Según DCSA, NITAM se estructura en Promote Awareness, Establish an Insider Threat Program, Train the Workforce y Support through Reporting. Según NIST, PM-12 exige implementar un insider threat program que incluya un equipo cross-discipline de incident handling, e IR-4(6) exige una capacidad de incident handling para incidentes que involucren insider threats. La lectura de Whalemate es que septiembre no alcanza como campaña de comunicación si no desemboca en una decisión de gobierno y operación. También CISA ordena la mitigación en cuatro pasos, Define, Detect and Identify, Assess y Manage, según su Insider Threat Mitigation Guide. Eso corre la conversación desde la pieza de awareness hacia un sistema con detección, evaluación y respuesta, apoyado por seguimiento de activos críticos y métricas sobre datos y comportamientos que investigará el equipo de insider threat, según CISA. ## ¿Awareness documentado equivale a reducción de exposición? Según ISO Annex SL 7.2 y 7.3, la organización debe asegurar competencia, evaluar la efectividad de las acciones y conservar evidencia documentada, además de asegurar awareness sobre la política y las implicancias de no conformidad. Según Verizon 2025 DBIR, la participación del elemento humano en brechas se mantuvo alrededor del 60%, y en el recorte EMEA el [29% de las brechas](https://www.verizon.com/about/news/2025-data-breach-investigations-report-emea) se originó dentro de las organizaciones. La lectura de Whalemate es que cumplir con [evidencia documental](https://www.whalemate.com/recursos/blog/iso-27001-2022-exige-awareness/) no prueba por sí mismo reducción material del riesgo. La tensión no es normativa, es operativa. ISO pide evaluar efectividad, pero no impone la métrica específica. Si la organización elige como evidencia principal asistencia o aprobación de cursos, puede quedar formalmente ordenada y, al mismo tiempo, ciega respecto de la calidad del reporte, la velocidad de detección o la exposición por rol. ## ¿Qué se mide cuando el objetivo es reconocer y reportar indicadores? Según NIST SP 800-53 AT-2(2), la exigencia es proporcionar capacitación para [reconocer y reportar](https://csrc.nist.gov/CSRC/media/Projects/risk-management/800-53%20Downloads/800-53r5/SP_800-53_v5_1_XML.xml) indicadores potenciales de insider threat. Según NIST, esos indicadores pueden incluir insatisfacción laboral intensa y prolongada, intentos de acceder a información no necesaria para el trabajo, acceso inexplicado a recursos financieros, bullying o acoso, violencia laboral y otras violaciones graves de políticas o reglas. La lectura de Whalemate es que medir solo phishing deja afuera buena parte del problema que el propio control pide cubrir. Según el FBI, señales posibles incluyen tomar información propietaria sin necesidad o autorización, buscar información fuera de las funciones laborales, copiar material innecesariamente, acceder remotamente en horarios inusuales y desobedecer políticas sobre software, hardware o descargas confidenciales. Eso obliga a combinar señales técnicas y no técnicas, no a reducir insider threat a una campaña de correos simulados. ## ¿Qué falla cuando el programa se apoya en un curso anual aislado? Según el material del comité ISO/IEC JTC 1/SC 27 sobre ISO/IEC 27002:2022 6.1.3, la práctica esperada incluye capacitación regular y específica por rol, simulaciones de phishing, seguimiento de participación y adaptación de materiales según feedback e incidentes. Según NITTF, muchos programas piden feedback regularmente y miden reportes recibidos poco después de completar la capacitación. La lectura de Whalemate es que el curso anual aislado falla porque no genera un ciclo continuo de prueba, aprendizaje, ajuste y reentrenamiento. PCI DSS 12.6, según el material provisto, exige un programa de concientización en seguridad, no un curso suelto. Aplicado a insider threat, la campaña de septiembre solo tiene valor si abre un tramo de medición y seguimiento posterior, con intervenciones focalizadas según resultados. Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Qué métricas sirven para tomar decisiones mañana? Según NIST, las organizaciones ya usan cantidad y tipo de incidentes vinculados a temas de capacitación, reportes iniciados por usuarios, tasas de clic, engagement con materiales y auditorías o evaluaciones del programa. Según ENISA, para phishing simulado conviene medir time to detect y reporting accuracy. Según la revisión académica en ar5iv / arXiv, los programas también pueden calcular click rate, re-click rate y report rate. La lectura de Whalemate es que un set mínimo útil combina participación, click rate, report rate, re-click rate, time to detect, reporting accuracy, incidentes vinculados a la capacitación y auditorías. Ese tablero no reemplaza el juicio del equipo, pero sí habilita priorización basada en evidencia, especialmente por área, rol o tipo de exposición. ## ¿Qué muestran los casos reales sobre señales previas desaprovechadas? Según el análisis CERT/SEI de 49 casos de sabotaje interno en infraestructura crítica, el 62% de los incidentes había sido planificado con anticipación, el 80% de los insiders había mostrado comportamiento inusual en el lugar de trabajo antes de actuar y el 57% había explotado vulnerabilidades sistémicas en aplicaciones, procesos o procedimientos. Según el estudio del sector bancario y financiero del United States Secret Service y CERT Coordination Center, el 87% de los casos involucró comandos legítimos y simples, el 78% involucró usuarios autorizados con acceso activo y el 81% fue planificado por adelantado. La lectura de Whalemate es que insider threat suele verse tarde no porque no existan señales, sino porque las señales quedan separadas entre accesos, conducta, procesos y reportes. Si el actor usa comandos legítimos y acceso autorizado, el valor está menos en detectar malware exótico y más en correlacionar desvíos técnicos y conductuales. ## ¿Por qué el canal de reporte importa tanto como la capacitación? Según DCSA, una de las cuatro líneas oficiales de NITAM es Support through Reporting. Según el FBI, conviene ofrecer a los empleados formas de reporte convenientes y no amenazantes para comunicar sospechas. La lectura de Whalemate es que awareness sin canal usable produce subreporte, y subreporte implica métricas pobres y respuesta tardía. El ejemplo británico lo vuelve visible. Según el National Cyber Security Centre del Reino Unido, el Suspicious Email Reporting Service recibió 160.000 correos sospechosos en sus primeras dos semanas y esos reportes condujeron a retirar 395 sitios de phishing. El dato no es trasladable como benchmark a LATAM, pero sí muestra que cuando el canal existe y es claro, el reporte genera resultados operativos. ## ¿Dónde entra la integración entre seguridad, RR. HH., legal y compliance? Según NIST PM-12, el programa debe incluir un equipo cross-discipline de incident handling. Según la descripción de NIST para programas de insider threat, hay que integrar y analizar centralizadamente información técnica y no técnica, recibir información de oficinas relevantes y realizar autoevaluaciones de la postura del programa. Según CISA, los procedimientos deben permitir acceder, recopilar, integrar y reportar información relevante y creíble entre recursos humanos, seguridad, assurance de información y legal review. La lectura de Whalemate es que esta integración no es un agregado de madurez, sino parte del requisito operativo. Muchos indicadores que NIST enumera, como violencia laboral, acoso o insatisfacción prolongada, no viven en el SOC. Si la información no cruza dominios, el programa pierde contexto antes de que empiece la investigación. ## ¿Qué peso tiene hoy la exposición humana e interna? Según Verizon 2025 DBIR, la participación del elemento humano en brechas se mantuvo alrededor del 60%. Según el recorte EMEA de Verizon, el 29% de las brechas se originó dentro de las organizaciones, el 19% se atribuyó a errores no intencionales, el 8% a misuse y phishing apareció en el 19% de las brechas regionales. Según IBM, los ataques maliciosos de insiders tuvieron un costo promedio de USD 4,92 millones por brecha por segundo año consecutivo, mientras phishing fue el vector inicial más frecuente, con 16% de los casos y un costo promedio de USD 4,8 millones. No hay evidencia primaria específica de benchmarks o casos de implementación en Latinoamérica dentro del material, así que estas cifras deben leerse como globales, europeas, británicas o estadounidenses, según la fuente. Aun con esa cautela, la señal es consistente: el problema humano e interno sigue teniendo peso suficiente como para no tratar septiembre como una acción cosmética. ## ¿Qué decisión concreta habilita septiembre para LATAM? Para un CISO, IT o compliance en LATAM, septiembre funciona mejor como gatillo presupuestario y de gobierno que como mes de comunicación. Si DCSA y CISA orientan la campaña a awareness, programa, entrenamiento y reporte, y si NIST agrega reconocimiento de indicadores, incident handling y equipo multidisciplinario, la decisión útil es rediseñar el programa para medir y operar, no solo capacitar. Eso implica definir métricas de participación, click rate, report rate, re-click rate, time to detect, reporting accuracy, incidentes vinculados a la capacitación y auditorías, según NIST, ENISA y la revisión académica citada. También implica revisar accesos, incorporar escenarios simulados, focalizar capacitación según resultados, sostener canales de reporte, y coordinar seguridad, RR. HH., legal, compliance y gestión de incidentes, según NIST, CISA, FBI y CERT/SEI. En ese esquema, el [risk score de HRM](https://www.whalemate.com/recursos/blog/human-risk-management-mide-habilita/) sirve para priorizar intervenciones donde la evidencia muestra mayor exposición, no para premiar o castigar por hacer clic. ## ¿Qué leer después? - [Concientización en la plataforma](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) - [Plataformas de awareness en español para LATAM](https://www.whalemate.com/recursos/blog/latam-evaluar-plataformas-awareness/) - [Ingeniería social: NIST, CISA](https://www.whalemate.com/recursos/blog/nist-cisa-explain-social-engineering/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) Preguntas ## Preguntas frecuentes **¿Qué es lo más útil que deja Insider Threat Awareness Month para una empresa en LATAM?** Lo más útil no es la campaña en sí, sino la decisión que habilita. Según DCSA, NITAM incluye awareness, programa, entrenamiento y soporte al reporte. Si septiembre se usa solo para completar cursos, queda corto. Si se usa para formalizar métricas, canales de reporte, respuesta e integración entre áreas, pasa a ser una palanca operativa. **¿Qué métricas conviene mirar además del click rate?** Según NIST, además de tasas de clic conviene medir reportes iniciados por usuarios, incidentes vinculados a temas de capacitación y auditorías del programa. Según ENISA, también conviene medir time to detect y reporting accuracy. La revisión académica citada agrega report rate y re-click rate para entender conducta sostenida, no solo reacción puntual. **¿Un curso anual de awareness cumple con lo que piden los marcos?** No por sí solo. Según NIST SP 800-53 AT-2(2), hay que capacitar para reconocer y reportar indicadores de insider threat. Según IR-4(6), también debe existir capacidad de incident handling, y según PM-12 debe haber un programa con equipo multidisciplinario. Según el material provisto, PCI DSS 12.6 exige un programa de concientización en seguridad, no un curso aislado. **¿Por qué insider threat no debería reducirse a phishing?** Porque los marcos y casos reales muestran un alcance mayor. Según NIST AT-2(2), los indicadores incluyen intentos de acceso innecesario, acoso, violencia laboral y violaciones graves de políticas. Según el FBI y CERT/CERT Division, también hay conductas como copia innecesaria, accesos inusuales y violaciones repetidas de políticas. Phishing sirve como ejercicio, pero no cubre todo el riesgo. **¿Hay benchmarks específicos de Latinoamérica en este material?** No. El propio material indica que no se encontró evidencia primaria específica de benchmarks o casos de implementación en Latinoamérica. Las cifras disponibles provienen de fuentes globales, europeas, británicas o estadounidenses, como Verizon, IBM, el gobierno británico, CISA, NIST y CERT/SEI. Para usar esos datos en LATAM conviene etiquetar siempre su alcance geográfico. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CNITAM%20exige%20pasar%20de%20awareness%20a%20programa%20medible%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CNITAM%20exige%20pasar%20de%20awareness%20a%20programa%20medible%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [Qué aparece cuando se ponen juntas campaña, requisitos, métricas y resultados](#s1) 2. [¿Por qué completar cursos y medir clics sigue siendo la señal dominante si no alcanza?](#s2) 3. [¿Qué exige realmente NITAM, una campaña o un programa?](#s3) 4. [¿Awareness documentado equivale a reducción de exposición?](#s4) 5. [¿Qué se mide cuando el objetivo es reconocer y reportar indicadores?](#s5) 6. [¿Qué falla cuando el programa se apoya en un curso anual aislado?](#s6) 7. [¿Qué métricas sirven para tomar decisiones mañana?](#s7) 8. [¿Qué muestran los casos reales sobre señales previas desaprovechadas?](#s8) 9. [¿Por qué el canal de reporte importa tanto como la capacitación?](#s9) 10. [¿Dónde entra la integración entre seguridad, RR. HH., legal y compliance?](#s10) 11. [¿Qué peso tiene hoy la exposición humana e interna?](#s11) 12. [¿Qué decisión concreta habilita septiembre para LATAM?](#s12) 13. [¿Qué leer después?](#s13) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[PCI, ISO y NIST: awareness no es curso anual\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-iso-nist-awareness-curso.webp)](https://www.whalemate.com/recursos/blog/pci-iso-nist-awareness-curso/) Concientización 13 de nov de 2026 Por Federico Hombre ### PCI, ISO y NIST: awareness no es curso anual ISO, NIST, PCI DSS, CISA y ENISA convergen en un programa continuo y por rol. Medir solo finalización o clics no demuestra efectividad. Leer más [!\[CISA y NIST sobre simulaciones de ciberataque\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/cisa-nist-simulaciones-ciberataque.webp)](https://www.whalemate.com/recursos/blog/cisa-nist-simulaciones-ciberataque/) Concientización 10 de nov de 2026 Por Federico Hombre ### CISA y NIST sobre simulaciones de ciberataque CISA, NIST e ISO/IEC 27001 muestran qué medir en simulaciones: clics, reportes, aperturas, dificultad y capacidad de respuesta. Leer más [!\[Tipos de phishing: qué medir y qué control aplicar\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/tipos-phishing-medir-control-aplicar.webp)](https://www.whalemate.com/recursos/blog/tipos-phishing-medir-control-aplicar/) Concientización 9 de nov de 2026 Por Federico Hombre ### Tipos de phishing: qué medir y qué control aplicar Para CISO, IT y compliance, los tipos de phishing se gestionan por canal, objetivo, control y métrica, no como una lista de nombres. Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)