Por 
Cyber security awareness training, visto desde ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, PCI DSS v4.0, CISA, NCSC y ENISA, no se puede gestionar como un curso anual con tasa de finalización. El cruce entre marcos normativos y evidencia operativa muestra otra cosa: debe tratarse como un programa continuo, adaptado al rol, con múltiples canales y medido también por conducta y reporte. A la vez, varias fuentes cuestionan que la tasa de clic sea el KPI principal o aislado para decidir riesgo o efectividad.
Qué cambia cuando se comparan los marcos juntos
Ninguna fuente del material consolida en una sola vista qué exige o recomienda cada marco sobre frecuencia, adaptación al rol, canales, contenido y evidencia. Puestos lado a lado, se ve que el problema no es elegir entre curso, simulación o campaña, sino diseñar un control continuo y auditable con métricas de comportamiento.
| Norma | Naturaleza del programa | Frecuencia mínima | Adaptación por rol | Canales o métodos | Contenido mínimo | Qué medir o evidenciar | Fuente |
|---|---|---|---|---|---|---|---|
| NIST | Distingue awareness de training, awareness busca enfocar la atención en la seguridad y permitir reconocer problemas y responder, training es más formal y procura desarrollar conocimiento y habilidades para el desempeño laboral. SP 800-50 Rev. 1 lo define como programa fundacional de ciberseguridad y privacidad para todo el personal | no especificado | destinado a que los participantes entiendan su papel en la protección de activos de información, ciberseguridad y privacidad | cursos dirigidos por instructor o en línea, ejercicios u otros métodos | usos aceptables y riesgos de los sistemas de la organización | porcentaje de participantes que cambiaron una conducta laboral, por ejemplo reportar un correo sospechoso de phishing, la NIST Phish Scale contempla tasas de clic, tasas de reporte, repetición de clics y usuarios protectores, NIST advierte que la tasa de clic como métrica única no alcanza | NIST |
| ISO/IEC 27001:2022 | exige awareness dentro del sistema de gestión de seguridad de la información | no especificado | las personas que trabajan bajo el control de la organización deben conocer su contribución a la eficacia del sistema de gestión de seguridad de la información | no especificado | la política de seguridad de la información, su contribución a la eficacia del sistema y las consecuencias de no cumplir los requisitos del sistema | que las personas conozcan la política, su contribución y las consecuencias de incumplir | ISO/IEC 27001:2022 |
| ISO/IEC 27002:2022 control 6.3 | el personal y las partes interesadas relevantes deben recibir información, educación y capacitación apropiadas, además de actualizaciones periódicas sobre políticas y procedimientos según su función | actualizaciones periódicas | según su función | canales físicos o virtuales, como campañas, folletos, carteles, newsletters, sitios web, sesiones informativas, briefings, módulos de e-learning y correos electrónicos | compromiso de la dirección, obligaciones aplicables, responsabilidad personal, procedimientos básicos de seguridad y puntos de contacto para pedir asesoramiento | no especificado | ISO/IEC 27002:2022 control 6.3 |
| PCI DSS v4.0 | la educación sobre concientización de seguridad es una actividad continua y exige implementar un programa formal de concientización | revisión del programa al menos una vez cada 12 meses, capacitación al momento de la contratación y al menos una vez cada 12 meses, reconocimiento al menos una vez cada 12 meses | todo el personal debe conocer su función en la protección de los datos del titular de tarjeta | usar múltiples métodos de comunicación | política y procedimientos de seguridad de la entidad, amenazas y vulnerabilidades que puedan afectar la seguridad del CDE, incluyendo phishing y ataques relacionados, y social engineering | obtener el reconocimiento de que leyó y entendió las políticas y procedimientos de seguridad, PCI SSC recomienda registrar quién realiza la capacitación, si la completa satisfactoriamente, comprensión mediante evaluaciones y feedback, y reportes de correos maliciosos | PCI DSS v4.0 |
| CISA | recomienda capacitación básica de ciberseguridad y capacitación antiphishing como parte de un programa estándar | al menos anual, nuevos empleados dentro de los 10 días posteriores al onboarding, revisión anual del material de phishing | para todos los empleados y contratistas | Phishing Campaign Assessment de seis semanas que mide la propensión a hacer clic en señuelos de phishing y cuyos resultados pueden orientar la capacitación antiphishing | phishing, business email compromise, seguridad operacional y contraseñas, educar sobre ingeniería social y phishing, comunicar la importancia de reportar correos, enlaces, adjuntos u otros señuelos sospechosos | propensión de la fuerza laboral a hacer clic en señuelos de phishing | CISA |
| NCSC | advierte que las simulaciones de phishing suelen estar sobrerrepresentadas en las defensas | no especificado | no especificado | paquete de capacitación para personal sobre contraseñas fuertes, protección de dispositivos, defensa frente al phishing y reporte de incidentes | defensa frente al phishing y reporte de incidentes | además de cuántas personas hicieron clic, medir cuántas reportaron, no reprender a quienes tienen dificultades para reconocer phishing porque el temor a represalias puede hacer que no reporten | NCSC |
| ENISA | recomienda medir el comportamiento de ciberseguridad, realizar evaluaciones regulares de tendencias y desafíos y planificar campañas de concientización como partes de un programa de concientización | las campañas se repitan al menos seis veces | mensajes dirigidos a audiencias específicas mediante los canales y dispositivos que prefieren | campañas, simulaciones regulares de phishing, evaluación inicial antes de intervenir | no especificado | definir métricas antes de diseñar actividades, porcentaje de disminución de incidentes, cantidad de incidentes reportados, cantidad de resultados positivos en pruebas y nivel de conocimiento incrementado | ENISA |
| Chile según Fensivo | para proveedores de servicios esenciales y operadores de importancia vital describe una obligación de capacitación y concientización continua | continua | no especificado | debe planificarse, ejecutarse y documentarse dentro de un sistema de gestión de seguridad de la información mantenido continuamente | no especificado | la falta de registros de acciones y programas de capacitación cuenta como incumplimiento | Fensivo |
¿Por qué el curso anual ya no alcanza?
PCI DSS v4.0 baja el requisito a obligaciones concretas. Según PCI DSS v4.0, el programa debe revisarse al menos una vez cada 12 meses, la capacitación debe darse al contratar y al menos una vez cada 12 meses, y además debe obtenerse al menos una vez cada 12 meses el reconocimiento de que la persona leyó y entendió las políticas y procedimientos de seguridad.
Pero la propia guía del PCI Security Standards Council dice algo más exigente en la práctica: la concientización debe ser un programa continuo y no una actividad anual aislada, para mantener el nivel de concientización diariamente. La lectura de Whalemate es que el mínimo anual sirve para cumplimiento documental, pero no para demostrar gestión sostenida del riesgo humano.
¿Qué agrega ISO que un curso no resuelve?
ISO/IEC 27001:2022, en la cláusula 7.3 Awareness, exige que las personas conozcan la política de seguridad de la información, su contribución a la eficacia del sistema y las consecuencias de no cumplir los requisitos, según el texto público de la norma. Eso corre el foco desde asistir a una capacitación hacia probar que la organización logró comprensión relevante para el sistema de gestión.
ISO/IEC 27002:2022 control 6.3 agrega que el personal y las partes interesadas relevantes deben recibir información, educación y capacitación apropiadas, con actualizaciones periódicas según su función, según la copia pública del control. También enumera canales físicos y virtuales, desde campañas y carteles hasta newsletters, briefings, e-learning y correos electrónicos. La lectura de Whalemate es que ISO empuja un programa segmentado y multimodal, no un módulo uniforme para toda la organización.
¿Awareness y training son lo mismo?
NIST dice que no. Según el glosario de NIST, awareness busca enfocar la atención en la seguridad y permitir reconocer problemas y responder, mientras que training es más formal y procura desarrollar conocimiento y habilidades para el desempeño laboral.
La diferencia importa para presupuesto, diseño y evidencia. Según NIST SP 800-50 Rev. 1, awareness and training es un programa fundacional para todo el personal, y la capacitación puede incluir cursos dirigidos por instructor o en línea, ejercicios u otros métodos. La lectura de Whalemate es que mezclar ambos conceptos en un solo curso suele producir programas que ni cambian conducta ni desarrollan capacidades específicas por función.
¿Qué se está midiendo hoy y qué critica NIST?
En una encuesta de organizaciones federales citada por NIST, la finalización de capacitación fue la medida de efectividad más usada, con 84%, y la tasa de clic en simulaciones de phishing fue la segunda, con 72%. Eso muestra cómo muchas organizaciones siguen evaluando el programa con dos métricas fáciles de auditar.
Pero NIST advierte que los programas de phishing suelen usar la tasa de clic como métrica única, y sostiene que los ejercicios deben considerar el elemento humano y el contexto para evaluar efectividad y progreso. Según la NIST Phish Scale, además de clics deben contemplarse tasas de reporte, repetición de clics y usuarios protectores. La lectura de Whalemate es que un tablero basado solo en completion rate y click rate simplifica la auditoría, pero empobrece la decisión de riesgo.
¿La tasa de clic sirve como KPI principal?
Sirve, pero mal usada puede confundir más de lo que aclara. Proofpoint sostiene que la tasa de clic de las pruebas de phishing por sí sola no debe representar el impacto ni el éxito de un programa de concientización, aun cuando reportó una tasa promedio de fallo de 4,93% en todas las organizaciones y campañas analizadas.
NCSC va en la misma dirección. Según el NCSC, además de medir cuántas personas hicieron clic, hay que medir cuántas reportaron, y medir únicamente la ausencia de reportes puede incentivar que los empleados oculten problemas. La lectura de Whalemate es que la tasa de clic puede ser una señal útil, pero no un KPI rector ni una base disciplinaria.
¿Qué muestran las simulaciones cuando se las contextualiza?
UNICC ofrece un dato clave para no comparar campañas como si fueran equivalentes. Según UNICC, usando la dificultad NIST en su informe, la tasa de clic fue de 5,74% para mensajes de dificultad baja, 12,10% para dificultad media y 36,15% para dificultad alta.
Ese contraste vuelve riesgoso usar benchmarks sin normalizar dificultad o población. La comparación con la tasa promedio de fallo de 4,93% reportada por Proofpoint no puede leerse como si ambas cifras midieran exactamente lo mismo, porque la propia fuente de Proofpoint aclara que la cifra depende de las campañas y de la población del estudio. La lectura de Whalemate es que un benchmark sin contexto de dificultad puede llevar a premiar campañas fáciles y castigar campañas mejor diseñadas.
