--- title: "PCI, ISO y NIST: awareness no es curso anual | Whalemate" description: "ISO, NIST, PCI DSS, CISA y ENISA convergen en un programa continuo y por rol. Medir solo finalización o clics no demuestra efectividad." url: https://www.whalemate.com/recursos/blog/pci-iso-nist-awareness-curso/ lang: es updated: 2026-11-13 alternates: en: https://www.whalemate.com/en/resources/blog/pci-iso-nist-awareness-not/ pt-BR: https://www.whalemate.com/br/recursos/blog/pci-iso-nist-awareness-nao/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # PCI, ISO y NIST: awareness no es curso anual ISO, NIST, PCI DSS, CISA y ENISA convergen en un programa continuo y por rol. Medir solo finalización o clics no demuestra efectividad. 13 de nov de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 13 min de lectura [Concientización](https://www.whalemate.com/recursos/blog/tema/concientizacion/) ![PCI, ISO y NIST: awareness no es curso anual](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-iso-nist-awareness-curso.webp) En este artículo 1. [Qué cambia cuando se comparan los marcos juntos](#s1) 2. [¿Por qué el curso anual ya no alcanza?](#s2) 3. [¿Qué agrega ISO que un curso no resuelve?](#s3) 4. [¿Awareness y training son lo mismo?](#s4) 5. [¿Qué se está midiendo hoy y qué critica NIST?](#s5) 6. [¿La tasa de clic sirve como KPI principal?](#s6) 7. [¿Qué muestran las simulaciones cuando se las contextualiza?](#s7) 8. [¿Las simulaciones están sobrerrepresentadas?](#s8) 9. [¿La evidencia de mejora es sólida o discutida?](#s9) 10. [¿Qué métricas resisten mejor una auditoría y una decisión de riesgo?](#s10) 11. [¿Qué contenido mínimo debería cubrir el programa?](#s11) 12. [¿Qué implica esto para LATAM, compliance y protección de datos?](#s12) 13. [Consecuencia operativa para CISO, IT y compliance en LATAM](#s13) 14. [¿Qué leer después?](#s14) Cyber security awareness training, visto desde ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, PCI DSS v4.0, CISA, NCSC y ENISA, no se puede gestionar como un curso anual con tasa de finalización. El cruce entre marcos normativos y evidencia operativa muestra otra cosa: debe tratarse como un [programa continuo](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-50r1.pdf), adaptado al rol, con múltiples canales y medido también por conducta y reporte. A la vez, varias fuentes cuestionan que la [tasa de clic](https://www.whalemate.com/recursos/blog/nist-medir-awareness/) sea el [KPI principal](https://www.whalemate.com/recursos/blog/pci-dss-phishing-vs-spam/) o aislado para decidir riesgo o efectividad. ## Qué cambia cuando se comparan los marcos juntos Ninguna fuente del material consolida en una sola vista qué exige o recomienda cada marco sobre frecuencia, adaptación al rol, canales, contenido y evidencia. Puestos lado a lado, se ve que el problema no es elegir entre curso, simulación o campaña, sino diseñar un control continuo y auditable con métricas de comportamiento. | Norma | Naturaleza del programa | Frecuencia mínima | Adaptación por rol | Canales o métodos | Contenido mínimo | Qué medir o evidenciar | Fuente | | --- | --- | --- | --- | --- | --- | --- | --- | | NIST | Distingue awareness de training, awareness busca enfocar la atención en la seguridad y permitir reconocer problemas y responder, training es más formal y procura desarrollar conocimiento y habilidades para el desempeño laboral. SP 800-50 Rev. 1 lo define como programa fundacional de ciberseguridad y privacidad para todo el personal | no especificado | destinado a que los participantes entiendan su papel en la protección de activos de información, ciberseguridad y privacidad | cursos dirigidos por instructor o en línea, ejercicios u otros métodos | usos aceptables y riesgos de los sistemas de la organización | porcentaje de participantes que cambiaron una conducta laboral, por ejemplo reportar un correo sospechoso de phishing, la NIST Phish Scale contempla tasas de clic, tasas de reporte, repetición de clics y usuarios protectores, NIST advierte que la tasa de clic como métrica única no alcanza | NIST | | ISO/IEC 27001:2022 | exige awareness dentro del sistema de gestión de seguridad de la información | no especificado | las personas que trabajan bajo el control de la organización deben conocer su contribución a la eficacia del sistema de gestión de seguridad de la información | no especificado | la política de seguridad de la información, su contribución a la eficacia del sistema y las consecuencias de no cumplir los requisitos del sistema | que las personas conozcan la política, su contribución y las consecuencias de incumplir | ISO/IEC 27001:2022 | | ISO/IEC 27002:2022 control 6.3 | el personal y las partes interesadas relevantes deben recibir información, educación y capacitación apropiadas, además de actualizaciones periódicas sobre políticas y procedimientos según su función | actualizaciones periódicas | según su función | canales físicos o virtuales, como campañas, folletos, carteles, newsletters, sitios web, sesiones informativas, briefings, módulos de e-learning y correos electrónicos | compromiso de la dirección, obligaciones aplicables, responsabilidad personal, procedimientos básicos de seguridad y puntos de contacto para pedir asesoramiento | no especificado | ISO/IEC 27002:2022 control 6.3 | | PCI DSS v4.0 | la educación sobre concientización de seguridad es una actividad continua y exige implementar un programa formal de concientización | revisión del programa al menos una vez cada 12 meses, capacitación al momento de la contratación y al menos una vez cada 12 meses, reconocimiento al menos una vez cada 12 meses | todo el personal debe conocer su función en la protección de los datos del titular de tarjeta | usar múltiples métodos de comunicación | política y procedimientos de seguridad de la entidad, amenazas y vulnerabilidades que puedan afectar la seguridad del CDE, incluyendo phishing y ataques relacionados, y social engineering | obtener el reconocimiento de que leyó y entendió las políticas y procedimientos de seguridad, PCI SSC recomienda registrar quién realiza la capacitación, si la completa satisfactoriamente, comprensión mediante evaluaciones y feedback, y reportes de correos maliciosos | PCI DSS v4.0 | | CISA | recomienda capacitación básica de ciberseguridad y capacitación antiphishing como parte de un programa estándar | al menos anual, nuevos empleados dentro de los 10 días posteriores al onboarding, revisión anual del material de phishing | para todos los empleados y contratistas | Phishing Campaign Assessment de seis semanas que mide la propensión a hacer clic en señuelos de phishing y cuyos resultados pueden orientar la capacitación antiphishing | phishing, business email compromise, seguridad operacional y contraseñas, educar sobre ingeniería social y phishing, comunicar la importancia de reportar correos, enlaces, adjuntos u otros señuelos sospechosos | propensión de la fuerza laboral a hacer clic en señuelos de phishing | CISA | | NCSC | advierte que las simulaciones de phishing suelen estar sobrerrepresentadas en las defensas | no especificado | no especificado | paquete de capacitación para personal sobre contraseñas fuertes, protección de dispositivos, defensa frente al phishing y reporte de incidentes | defensa frente al phishing y reporte de incidentes | además de cuántas personas hicieron clic, medir cuántas reportaron, no reprender a quienes tienen dificultades para reconocer phishing porque el temor a represalias puede hacer que no reporten | NCSC | | ENISA | recomienda medir el comportamiento de ciberseguridad, realizar evaluaciones regulares de tendencias y desafíos y planificar campañas de concientización como partes de un programa de concientización | las campañas se repitan al menos seis veces | mensajes dirigidos a audiencias específicas mediante los canales y dispositivos que prefieren | campañas, simulaciones regulares de phishing, evaluación inicial antes de intervenir | no especificado | definir métricas antes de diseñar actividades, porcentaje de disminución de incidentes, cantidad de incidentes reportados, cantidad de resultados positivos en pruebas y nivel de conocimiento incrementado | ENISA | | Chile según Fensivo | para proveedores de servicios esenciales y operadores de importancia vital describe una obligación de capacitación y concientización continua | continua | no especificado | debe planificarse, ejecutarse y documentarse dentro de un sistema de gestión de seguridad de la información mantenido continuamente | no especificado | la falta de registros de acciones y programas de capacitación cuenta como incumplimiento | Fensivo | ## ¿Por qué el curso anual ya no alcanza? PCI DSS v4.0 baja el requisito a obligaciones concretas. Según PCI DSS v4.0, el programa debe revisarse al menos una vez cada 12 meses, la capacitación debe darse al contratar y al menos una vez cada 12 meses, y además debe obtenerse al menos una vez cada 12 meses el reconocimiento de que la persona leyó y entendió las políticas y procedimientos de seguridad. Pero la propia guía del PCI Security Standards Council dice algo más exigente en la práctica: la concientización debe ser un programa continuo y no una actividad anual aislada, para mantener el nivel de concientización diariamente. La lectura de Whalemate es que el mínimo anual sirve para cumplimiento documental, pero no para demostrar gestión sostenida del riesgo humano. ## ¿Qué agrega ISO que un curso no resuelve? ISO/IEC 27001:2022, en la [cláusula 7.3 Awareness](https://www.whalemate.com/recursos/blog/iso-27001-2022-exige-awareness/), exige que las personas conozcan la política de seguridad de la información, su contribución a la eficacia del sistema y las consecuencias de no cumplir los requisitos, según el texto público de la norma. Eso corre el foco desde asistir a una capacitación hacia probar que la organización logró comprensión relevante para el sistema de gestión. ISO/IEC 27002:2022 control 6.3 agrega que el personal y las partes interesadas relevantes deben recibir información, educación y capacitación apropiadas, con [actualizaciones periódicas](https://service.securitm.ru/docs/iso-iec-27002-2022-en-c6-7/6-3-information-security-awareness-education-and-training) según su función, según la copia pública del control. También enumera canales físicos y virtuales, desde campañas y carteles hasta newsletters, briefings, e-learning y correos electrónicos. La lectura de Whalemate es que ISO empuja un programa segmentado y multimodal, no un módulo uniforme para toda la organización. ## ¿Awareness y training son lo mismo? NIST dice que no. Según el glosario de NIST, awareness busca enfocar la atención en la seguridad y permitir reconocer problemas y responder, mientras que training es más formal y procura desarrollar conocimiento y habilidades para el desempeño laboral. La diferencia importa para presupuesto, diseño y evidencia. Según NIST SP 800-50 Rev. 1, awareness and training es un programa fundacional para todo el personal, y la capacitación puede incluir cursos dirigidos por instructor o en línea, ejercicios u otros métodos. La lectura de Whalemate es que mezclar ambos conceptos en un solo curso suele producir programas que ni cambian conducta ni desarrollan capacidades específicas por función. ## ¿Qué se está midiendo hoy y qué critica NIST? En una encuesta de organizaciones federales citada por NIST, la finalización de capacitación fue la medida de efectividad más usada, con 84%, y la tasa de clic en simulaciones de phishing fue la segunda, con 72%. Eso muestra cómo muchas organizaciones siguen evaluando el programa con dos métricas fáciles de auditar. Pero NIST advierte que los programas de phishing suelen usar la tasa de clic como métrica única, y sostiene que los ejercicios deben considerar el elemento humano y el contexto para evaluar efectividad y progreso. Según la NIST Phish Scale, además de clics deben contemplarse tasas de reporte, repetición de clics y usuarios protectores. La lectura de Whalemate es que un tablero basado solo en completion rate y click rate simplifica la auditoría, pero empobrece la decisión de riesgo. ## ¿La tasa de clic sirve como KPI principal? Sirve, pero mal usada puede confundir más de lo que aclara. Proofpoint sostiene que la tasa de clic de las pruebas de phishing por sí sola no debe representar el impacto ni el éxito de un programa de concientización, aun cuando reportó una tasa promedio de fallo de 4,93% en todas las organizaciones y campañas analizadas. NCSC va en la misma dirección. Según el NCSC, además de medir cuántas personas hicieron clic, hay que medir cuántas reportaron, y medir únicamente la ausencia de reportes puede incentivar que los empleados oculten problemas. La lectura de Whalemate es que la tasa de clic puede ser una señal útil, pero no un KPI rector ni una base disciplinaria. ## ¿Qué muestran las simulaciones cuando se las contextualiza? UNICC ofrece un dato clave para no comparar campañas como si fueran equivalentes. Según UNICC, usando la dificultad NIST en su informe, la tasa de clic fue de 5,74% para mensajes de dificultad baja, 12,10% para dificultad media y 36,15% para dificultad alta. Ese contraste vuelve riesgoso usar benchmarks sin normalizar dificultad o población. La comparación con la tasa promedio de fallo de 4,93% reportada por Proofpoint no puede leerse como si ambas cifras midieran exactamente lo mismo, porque la propia fuente de Proofpoint aclara que la cifra depende de las campañas y de la población del estudio. La lectura de Whalemate es que un benchmark sin contexto de dificultad puede llevar a premiar campañas fáciles y castigar campañas mejor diseñadas. Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Las simulaciones están sobrerrepresentadas? CISA las usa como instrumento operativo. Según la guía de CISA sobre counter-phishing, una Phishing Campaign Assessment de [seis semanas](https://www.cisa.gov/sites/default/files/publications/Capacity_Enhancement_Guide-Counter-Phishing_Recommendations_for_Federal_Agencies_1_0.pdf) mide la propensión de la fuerza laboral a hacer clic en señuelos de phishing y sus resultados pueden orientar la capacitación antiphishing. NCSC pone un freno a esa centralidad. Según el NCSC, las simulaciones de phishing suelen estar sobrerrepresentadas en las defensas, detectar todo phishing es difícil y los spear-phishing son aún más difíciles de identificar. La lectura de Whalemate es que la simulación es útil para detectar exposición y segmentar intervenciones, pero pierde valor cuando reemplaza al programa entero. ## ¿La evidencia de mejora es sólida o discutida? Hay evidencia de mejora, pero no es lineal ni suficiente por sí sola. Según KnowBe4, en datos del proveedor sobre 67.718.305 simulaciones, 14.508.441 usuarios y 62.460 organizaciones, el promedio global de Phish-prone Percentage bajó de 32,9% antes de la capacitación a 4,8% después de 12 meses de capacitación sostenida. La propia naturaleza de la fuente importa, porque no es un estudio independiente. Del otro lado, el estudio de arXiv titulado "Anti-Phishing Training Does Not Work" cuestiona que la capacitación anti-phishing produzca necesariamente el resultado esperado y señala que una [tasa de clic aislada](https://www.arxiv.org/pdf/2506.19899) no alcanza para inferir aprendizaje o reducción de riesgo. La lectura de Whalemate es que la discusión ya no pasa por si entrenar o no, sino por qué tipo de entrenamiento, para quién, con qué medición y contra qué comportamiento esperado. ## ¿Qué métricas resisten mejor una auditoría y una decisión de riesgo? ENISA recomienda definir métricas antes de diseñar actividades de concientización para poder evaluar su efectividad y alcance en el corto y largo plazo. También propone medir el porcentaje de disminución de incidentes, la cantidad de incidentes reportados, la cantidad de resultados positivos en pruebas y el nivel de conocimiento incrementado, según su material práctico. NIST SP 800-50 Rev. 1 propone medir cambio de conducta por participante, por ejemplo el porcentaje de participantes que cambiaron una conducta laboral como reportar un correo sospechoso. PCI SSC recomienda registrar quién realiza la capacitación, si la completa satisfactoriamente, comprensión mediante evaluaciones y feedback, y reportes de correos maliciosos. La lectura de Whalemate es que el set mínimo útil combina evidencia de cumplimiento, comprensión y comportamiento observable. ## ¿Qué contenido mínimo debería cubrir el programa? El contenido depende del marco aplicable, pero hay un núcleo común. Según ISO/IEC 27001:2022, las personas deben conocer la política, su contribución al sistema y las consecuencias del incumplimiento. Según ISO/IEC 27002:2022 control 6.3, la concientización debería cubrir compromiso de la dirección, obligaciones aplicables, responsabilidad personal, procedimientos básicos de seguridad y puntos de contacto para pedir asesoramiento. Si la organización está bajo PCI DSS v4.0, el piso es más específico. Según el requisito 12.6.3.1, la capacitación debe incluir amenazas y vulnerabilidades que puedan afectar la seguridad del CDE, incluyendo phishing y ataques relacionados, y social engineering. CISA recomienda además cubrir phishing, business email compromise, seguridad operacional y contraseñas. La lectura de Whalemate es que el contenido debe salir del mapa de riesgo y del marco aplicable, no de un catálogo genérico del proveedor. ## ¿Qué implica esto para LATAM, compliance y protección de datos? En Brasil, la LGPD, Ley 13.709, exige que los agentes de tratamiento u otras personas involucradas en cualquier fase del tratamiento garanticen la seguridad de la información prevista por la ley respecto de los datos personales, incluso después de finalizar el tratamiento, según la ANPD de Brasil. Además, la ANPD publicó directrices de seguridad de la información para pequeños agentes de tratamiento que incluyen, según DLA Piper, sugerencias como programas de concientización y capacitación. Para Chile, una fuente de Fensivo describe para proveedores de servicios esenciales y operadores de importancia vital una obligación de capacitación y concientización continua, y agrega que la falta de registros de acciones y programas de capacitación cuenta como incumplimiento. Como el propio material aclara, eso debe leerse como interpretación regulatoria de esa fuente y no generalizarse a toda LATAM. La lectura de Whalemate es que, aun fuera de PCI, la exigencia regional apunta a programas documentados, continuos y trazables. ## Consecuencia operativa para CISO, IT y compliance en LATAM Si mañana hubiera que rediseñar el programa, la decisión útil no es perseguir solo quién completó el curso. El cruce entre NIST, ISO/IEC 27001:2022, ISO/IEC 27002:2022, PCI DSS v4.0, CISA, NCSC y ENISA sugiere tratar cyber security awareness training como un control continuo y auditable, segmentado por función, con onboarding, revisión periódica, múltiples canales y contenido específico sobre phishing y social engineering cuando aplique. El tablero también cambia. Según ENISA, NIST, NCSC y PCI SSC, conviene combinar finalización y reconocimiento de políticas con métricas de conducta y riesgo, como reportes de phishing, cambio de conducta, incidentes reportados, resultados antes y después y contexto de dificultad de simulaciones. Para equipos de IT, CISO y compliance en LATAM, un enfoque de [Human Risk Management](https://www.whalemate.com/recursos/blog/human-risk-management-mide-habilita/) permite usar esas señales para priorizar intervenciones y evidenciar efectividad sin reducir el programa a clics o asistencia. ## ¿Qué leer después? - [Concientización en la plataforma](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) - [Plataformas de awareness en español para LATAM](https://www.whalemate.com/recursos/blog/latam-evaluar-plataformas-awareness/) - [Ingeniería social: NIST, CISA](https://www.whalemate.com/recursos/blog/nist-cisa-explain-social-engineering/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) Preguntas ## Preguntas frecuentes **¿Cyber security awareness training es lo mismo que un curso anual?** No. Según NIST, awareness y training no son lo mismo, y según PCI SSC la concientización debe ser un programa continuo, no una actividad anual aislada. ISO/IEC 27002:2022 control 6.3 también orienta a usar actualizaciones periódicas y múltiples canales. Un curso anual puede ser una pieza del programa, no el programa completo. **¿Qué debería medir un CISO además de la tasa de finalización?** Según NIST SP 800-50 Rev. 1, conviene medir cambio de conducta, por ejemplo si aumenta el reporte de correos sospechosos. Según ENISA, también sirven la disminución de incidentes, la cantidad de incidentes reportados, los resultados positivos en pruebas y el conocimiento incrementado. NCSC suma otra capa, medir reportes además de clics. **¿La tasa de clic en phishing simulado alcanza para demostrar efectividad?** No por sí sola. NIST advierte que la tasa de clic como métrica única no alcanza, y la NIST Phish Scale propone sumar contexto y otras señales como reportes, repetición de clics y usuarios protectores. NCSC y Proofpoint también cuestionan usarla como indicador aislado del éxito del programa. **¿Qué exige PCI DSS v4.0 en awareness?** Según PCI DSS v4.0, la concientización es una actividad continua. El requisito 12.6 pide un programa formal, el 12.6.2 exige revisión al menos cada 12 meses, el 12.6.3 exige capacitación al contratar y al menos cada 12 meses, múltiples métodos de comunicación y reconocimiento anual de políticas, y el 12.6.3.1 exige contenido sobre phishing y social engineering. **¿Qué decisión habilita este enfoque para compliance e IT?** Habilita pasar de una decisión administrativa, quién completó, a una decisión de riesgo, qué personas, funciones o áreas necesitan intervención prioritaria. Con métricas combinadas de cursos, simulaciones, reportes y conducta, el equipo puede segmentar campañas, ajustar contenido, documentar evidencia para auditoría y demostrar que el programa reduce exposición, no solo que fue impartido. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CPCI%2C%20ISO%20y%20NIST%3A%20awareness%20no%20es%20curso%20anual%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CPCI%2C%20ISO%20y%20NIST%3A%20awareness%20no%20es%20curso%20anual%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [Qué cambia cuando se comparan los marcos juntos](#s1) 2. [¿Por qué el curso anual ya no alcanza?](#s2) 3. [¿Qué agrega ISO que un curso no resuelve?](#s3) 4. [¿Awareness y training son lo mismo?](#s4) 5. [¿Qué se está midiendo hoy y qué critica NIST?](#s5) 6. [¿La tasa de clic sirve como KPI principal?](#s6) 7. [¿Qué muestran las simulaciones cuando se las contextualiza?](#s7) 8. [¿Las simulaciones están sobrerrepresentadas?](#s8) 9. [¿La evidencia de mejora es sólida o discutida?](#s9) 10. [¿Qué métricas resisten mejor una auditoría y una decisión de riesgo?](#s10) 11. [¿Qué contenido mínimo debería cubrir el programa?](#s11) 12. [¿Qué implica esto para LATAM, compliance y protección de datos?](#s12) 13. [Consecuencia operativa para CISO, IT y compliance en LATAM](#s13) 14. [¿Qué leer después?](#s14) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[NITAM exige pasar de awareness a programa medible\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nitam-exige-pasar-awareness-programa.webp)](https://www.whalemate.com/recursos/blog/nitam-exige-pasar-awareness-programa/) Concientización 12 de nov de 2026 Por Federico Hombre ### NITAM exige pasar de awareness a programa medible NITAM solo habilita una decisión útil si septiembre se convierte en un programa medible de reporte, detección y respuesta, no en cursos aislados. Leer más [!\[CISA y NIST sobre simulaciones de ciberataque\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/cisa-nist-simulaciones-ciberataque.webp)](https://www.whalemate.com/recursos/blog/cisa-nist-simulaciones-ciberataque/) Concientización 10 de nov de 2026 Por Federico Hombre ### CISA y NIST sobre simulaciones de ciberataque CISA, NIST e ISO/IEC 27001 muestran qué medir en simulaciones: clics, reportes, aperturas, dificultad y capacidad de respuesta. Leer más [!\[Tipos de phishing: qué medir y qué control aplicar\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/tipos-phishing-medir-control-aplicar.webp)](https://www.whalemate.com/recursos/blog/tipos-phishing-medir-control-aplicar/) Concientización 9 de nov de 2026 Por Federico Hombre ### Tipos de phishing: qué medir y qué control aplicar Para CISO, IT y compliance, los tipos de phishing se gestionan por canal, objetivo, control y métrica, no como una lista de nombres. Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)