--- title: "Phishing awareness: ISO, NIST | Whalemate" description: "ISO pide un programa continuo para todos los empleados, NIST y SANS lo vuelven medible, y Verizon muestra que el riesgo ya ocurre en segundos." url: https://www.whalemate.com/recursos/blog/phishing-awareness-iso-nist/ lang: es updated: 2026-11-10 alternates: en: https://www.whalemate.com/en/resources/blog/iso-nist-sans-verizon-phishing/ pt-BR: https://www.whalemate.com/br/recursos/blog/iso-nist-verizon-medem-awareness/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # NIST y SANS en phishing awareness ISO, NIST y SANS hacen medible el phishing awareness, mientras Verizon muestra que el riesgo humano ocurre en segundos y ya no solo por email. 10 de nov de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 6 min de lectura [Concientización](https://www.whalemate.com/recursos/blog/tema/concientizacion/) ![NIST y SANS en phishing awareness](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-awareness-iso-nist.webp) En este artículo 1. [¿ISO pide un programa o un curso aislado?](#s1) 2. [¿Qué mide NIST cuando habla de phishing awareness?](#s2) 3. [¿Por qué SANS no se queda en el click rate?](#s3) 4. [¿Qué cambia cuando el riesgo ocurre en segundos?](#s4) 5. [¿El foco sigue siendo email o ya cambió de canal?](#s5) 6. [¿Qué decisión habilita este cruce para un CISO en LATAM?](#s6) 7. [¿Qué leer después?](#s7) Para CISO, IT y compliance en LATAM, un cybersecurity awareness training program no se valida por cantidad de cursos, sino por evidencia continua de conocimiento, simulación y reacción. ISO pide un programa formal y mantenido para todo el personal, NIST y SANS lo vuelven medible con ejercicios, y Verizon muestra que el [riesgo humano](https://www.whalemate.com/recursos/blog/cybersecurity-awareness-month-riesgo-humano/) se materializa en segundos y ya no sólo por email, sino también por voz y móvil. Puestos juntos, los marcos normativos y las mediciones operativas dicen algo que ninguna fuente, por separado, deja tan claro. La comparación muestra que la discusión no es si conviene capacitar, sino qué control concreto permite probar eficacia, priorizar riesgo y sostener auditoría. | Fuente | Marco | Alcance | Métrica núcleo | Vector principal | Cadencia / tiempo | Uso operativo | | --- | --- | --- | --- | --- | --- | --- | | [ISO/IEC 27001:2022 Annex A 6.3](https://ransomleak.com/compliance/iso-27001/) | ISO/IEC 27001:2022 | "for all employees" | No especificado | No especificado | "planned, established, implemented and maintained", "updated regularly" | Control formal de awareness, education and training | | [ISO 27001 Clause 7.3 Awareness](https://www.isms.online/iso-27001/requirements-2022/7-3-awareness-2022/) | ISO/IEC 27001:2022 | "all persons doing work under the organization's control", "everyone in scope" | No especificado | No especificado | Conocimiento continuo de policy, rol e implicaciones | Sostener la eficacia del ISMS y evidenciar comprensión | | [NIST SP 800-50r1](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-50r1.pdf) | NIST SP 800-50r1 | Programa "enterprise-wide" | No especificado | Social engineering, phishing, spear phishing, vishing, smishing | "phishing exercise" y ejercicios prácticos | Medir si los usuarios detectan el intento o hacen clic | | [SANS phishing benchmarking](https://www.sans.org/white-papers/effectively-benchmarking-phishing-awareness-program) | SANS Institute | Programa organizacional | "undesired action rate (click rate)" y "report rate" | No especificado | Simulaciones recurrentes | Evaluar vulnerabilidad y capacidad de reporte | | [Verizon DBIR 2024](https://www.verizon.com/business/resources/infographics/2024-dbir-infographic.pdf) | Verizon DBIR 2024 | Usuarios finales expuestos a phishing email | Tiempo de clic / reacción | Email phishing | "21 seconds", "less than 60 seconds" | Demuestra que el riesgo ocurre demasiado rápido | | [Verizon DBIR 2026](https://www.verizon.com/about/news/breach-industry-wide-dbir-finds) | Verizon DBIR 2026 | Breaches con elemento humano | "Human element was present in 62% of breaches", "Social Engineering" 16% | Mobile-centric social engineering, fake text messages and voice calls | 40% higher success rate que email phishing | Obliga a medir awareness multicanal | Al poner ISO, NIST, SANS y Verizon en la misma vista aparece la tensión central. ISO exige un [programa sostenido](https://www.whalemate.com/recursos/blog/campana-concientizacion-exige-mide/) y auditable, mientras que Verizon muestra que la decisión del usuario ocurre en una ventana de segundos. Eso cambia el problema de “capacitar” a “[medir conducta](https://www.whalemate.com/recursos/blog/nist-cis-pci-social-engineering/) bajo presión”. ## ¿ISO pide un programa o un curso aislado? ISO/IEC 27001:2022 no habla de una acción puntual. El control [Annex A 6.3](https://ransomleak.com/compliance/iso-27001/) exige que el programa de information security awareness, education and training sea "planned, established, implemented and maintained" y que se actualice regularmente. La misma lógica se refuerza con [Clause 7.3 Awareness](https://www.isms.online/iso-27001/requirements-2022/7-3-awareness-2022/), que aplica a "all persons doing work under the organization's control" y, en una guía práctica, a "everyone in scope". La lectura de Whalemate es que esto convierte al awareness en un control transversal del ISMS, no en una campaña de RR.HH. ni en un curso anual para cumplir expediente. Si el estándar pide evidencia de comprensión, contribución y consecuencias de no conformidad, el programa tiene que dejar trazabilidad auditable. Sin eso, hay capacitación, pero no hay control. ## ¿Qué mide NIST cuando habla de phishing awareness? NIST SP 800-50r1 recomienda un "phishing exercise to promote awareness of [social engineering](https://www.whalemate.com/recursos/blog/nist-cis-medir-social-engineering/) attacks" y ubica phishing, [spear phishing](https://www.whalemate.com/recursos/blog/phishing-vs-spear-phishing-cambia/), vishing y smishing dentro de los tópicos centrales de un programa enterprise-wide. El foco no está en la charla, sino en el ejercicio práctico y en observar si el usuario detecta el intento o hace clic. La lectura de Whalemate es que NIST baja el awareness a comportamiento observable. Eso importa porque permite pasar de una lógica de asistencia a una lógica de desempeño. Para un CISO, la pregunta deja de ser quién terminó el curso y pasa a ser quién reconoce, reporta o cae frente a un intento realista. ## ¿Por qué SANS no se queda en el click rate? SANS propone [dos métricas núcleo](https://www.sans.org/white-papers/effectively-benchmarking-phishing-awareness-program) para simulaciones de phishing, "undesired action rate (click rate)" y "report rate". Con eso, el programa no sólo mide exposición al engaño, también mide la capacidad de reporte y la reacción defensiva del usuario. La lectura de Whalemate es que ahí está la diferencia entre entrenar y gestionar riesgo humano. Si sólo mirás clics, sabés quién se equivocó. Si sumás reportes, sabés quién ayuda a contener. Para compliance y IT, esa segunda señal es la que mejor se traduce en evidencia de madurez operativa. Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Qué cambia cuando el riesgo ocurre en segundos? Verizon mostró en 2024 que el "median time to click on a malicious link after the email is opened is 21 seconds" y que el tiempo mediano para caer en phishing es "less than 60 seconds". En 2026, además, la firma reportó que el "Human element was present in 62% of breaches" y que "[Social Engineering](https://www.whalemate.com/recursos/blog/nist-pci-brasil-social-engineering/)" representó 16% de los breaches, con un foco creciente en "mobile-centric social engineering". [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.mp4) · Subtítulos: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.br.vtt) Cyber Security Awareness - Video Training Course | John Academy — John Academy. [Ver el original](https://www.youtube.com/watch?v=hYjhatYOSOE&t=191s) La lectura de Whalemate es que el programa no puede depender de conciencia general ni de una única campaña anual. Si la ventana de decisión es de segundos, la medición tiene que incluir [tiempo de reacción](https://www.whalemate.com/recursos/blog/nist-medir-awareness/), no sólo tasa de clic. Y si el vector se desplaza a texto y voz, el control tiene que ser multicanal. ## ¿El foco sigue siendo email o ya cambió de canal? La nota oficial de Verizon sobre DBIR 2026 dice que el éxito en [ataques de voz y texto](https://www.whalemate.com/recursos/blog/pci-cisa-nist-phishing-vs/) es "40% higher than traditional email phishing". Análisis complementarios de Push Security y Breacher.ai coinciden en que las simulaciones de voice y text phishing muestran [tasas de clic medianas de 2%](https://pushsecurity.com/blog/verizon-dbir-2026-review) frente a 1.4% en email. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.mp4) · Subtítulos: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.br.vtt) Pause, think and act - Cyber security awareness training video - Security Quotient — Security Quotient. [Ver el original](https://www.youtube.com/watch?v=o_58rBduAqQ&t=32s) La lectura de Whalemate es que un programa centrado sólo en email queda desalineado con el vector real de riesgo. Eso no invalida el canal tradicional, pero sí obliga a [segmentar por canal](https://www.whalemate.com/recursos/blog/tipos-phishing-medir-control-aplicar/), porque una medición única puede subestimar el problema. Para LATAM, donde el uso de mensajería y voz es intensivo, esa diferencia pesa en la priorización. ## ¿Qué decisión habilita este cruce para un CISO en LATAM? Habilita pasar de un curso anual a un control continuo de riesgo humano. ISO exige [programa sostenido](https://ransomleak.com/compliance/iso-27001/), NIST y SANS piden [medir conducta](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-50r1.pdf), y Verizon muestra que el daño puede venir por voz, texto y en [menos de un minuto](https://www.verizon.com/about/news/breach-industry-wide-dbir-finds). La respuesta práctica es segmentar por canal, medir click rate, report rate y tiempo de reacción, y priorizar intervenciones por riesgo relativo. Para un equipo de compliance, eso también cambia la evidencia. Ya no alcanza con una constancia de capacitación. Hace falta trazabilidad de simulaciones, resultados, remediación y actualización periódica, porque eso es lo que mejor encaja con un programa auditable y continuo. ## ¿Qué leer después? - [Concientización en la plataforma](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) Preguntas ## Preguntas frecuentes **¿Un programa de awareness cumple si sólo tiene cursos?** No alcanza con cursos aislados. ISO/IEC 27001:2022 pide un programa "planned, established, implemented and maintained" y actualizado regularmente. NIST y SANS agregan simulaciones y métricas. Si no hay evidencia de comportamiento, sólo hay formación, pero no un control demostrable de riesgo humano. **¿Qué métricas conviene mirar primero?** Las más operativas son click rate, report rate y tiempo de reacción. SANS usa click rate y report rate como núcleo. Verizon agrega una variable crítica, el tiempo hasta el clic, porque muestra que la exposición real ocurre en segundos. Para gestión, combinar esas señales da una foto más útil que mirar solo asistencia. **¿Por qué no sirve medir sólo phishing por email?** Porque Verizon reporta que el éxito de voice y text phishing es 40% mayor que el del email tradicional. Si el programa sólo mide correo, deja afuera parte del riesgo. En LATAM, donde la interacción móvil y por mensajería es cotidiana, esa omisión puede distorsionar prioridades y presupuesto. **¿Qué debería pedir un compliance officer a IT mañana?** Debería pedir evidencia de programa continuo, segmentación por canal, métricas de simulación y un plan de remediación. También conviene pedir trazabilidad para auditoría, porque ISO exige que el personal entienda su rol y las implicaciones de la no conformidad. Sin esa evidencia, el programa queda débil frente a auditoría y frente a incidentes. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CPhishing%20awareness%3A%20ISO%2C%20NIST%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CPhishing%20awareness%3A%20ISO%2C%20NIST%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [¿ISO pide un programa o un curso aislado?](#s1) 2. [¿Qué mide NIST cuando habla de phishing awareness?](#s2) 3. [¿Por qué SANS no se queda en el click rate?](#s3) 4. [¿Qué cambia cuando el riesgo ocurre en segundos?](#s4) 5. [¿El foco sigue siendo email o ya cambió de canal?](#s5) 6. [¿Qué decisión habilita este cruce para un CISO en LATAM?](#s6) 7. [¿Qué leer después?](#s7) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[CISA y NIST sobre simulaciones de ciberataque\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/cisa-nist-simulaciones-ciberataque.webp)](https://www.whalemate.com/recursos/blog/cisa-nist-simulaciones-ciberataque/) Concientización 10 de nov de 2026 Por Federico Hombre ### CISA y NIST sobre simulaciones de ciberataque CISA, NIST e ISO/IEC 27001 muestran qué medir en simulaciones: clics, reportes, aperturas, dificultad y capacidad de respuesta. Leer más [!\[Tipos de phishing: qué medir y qué control aplicar\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/tipos-phishing-medir-control-aplicar.webp)](https://www.whalemate.com/recursos/blog/tipos-phishing-medir-control-aplicar/) Concientización 9 de nov de 2026 Por Federico Hombre ### Tipos de phishing: qué medir y qué control aplicar Para CISO, IT y compliance, los tipos de phishing se gestionan por canal, objetivo, control y métrica, no como una lista de nombres. Leer más [!\[NIST, ISO y CISA elevan phishing\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nist-iso-cisa-elevan-phishing.webp)](https://www.whalemate.com/recursos/blog/nist-iso-cisa-elevan-phishing/) Concientización 6 de nov de 2026 Por Federico Hombre ### NIST, ISO y CISA elevan phishing El cruce entre NIST, ISO, CISA y Brasil muestra que no alcanza con medir clics ni con una campaña anual para defender riesgo Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)