Por 
Whalemate no vende un curso de security awareness para empleados, vende un esquema de Human Risk Management que mide comportamiento, interviene por perfil y reporta evidencia operativa. Esa diferencia no es semántica: CIS, NIST y SANS tratan la concientización como programa continuo, mientras la evidencia académica muestra resultados dispares, con mejoras en awareness o reporte en algunos casos y caída o nulo impacto en otros.
Al poner estas fuentes juntas aparece una tensión que ninguna cubre por completo: el estándar pide cadencia y gobernanza, el producto promete intervención adaptativa, y la investigación recuerda que completar training no garantiza cambio de conducta. Para CISO, IT y compliance en LATAM, eso cambia la unidad de decisión, ya no alcanza con contar asistentes o certificados.
| Fuente | Framing | Unidad de medición | Cadencia | Modelo de intervención | Foco de evidencia | Resultado conductual |
|---|---|---|---|---|---|---|
| Whalemate | Human Risk Management platform, no un curso aislado | Quién está expuesto, risk score, comportamiento real | Continuo, con entrenamiento adaptativo según perfil de riesgo | Awareness agent que analiza y ajusta simulaciones, training y analytics sin intervención manual | Training por rol, evidencia de participación, reportes auditables | Mide cambio conductual real |
| CIS Control 14 | Programa de security awareness and skills training | Conducta de la workforce y postura de seguridad | Al ingreso y, como mínimo, anual, con revisión de contenido anual o ante cambios relevantes | No especifica automatización | Mantenimiento del programa de control | Influir el comportamiento para reducir riesgos |
| NIST SP 800-50 | Cybersecurity and privacy learning program | Finalización de awareness training por parte del personal | Enfoque de ciclo de vida, dentro de 24 horas de recibir una cuenta | No especifica automatización | Construcción del programa y timing de completion | Awareness como parte del learning program |
| SANS 2022 | Práctica de security awareness program | Frecuencia de comunicación, interacción y training | Al menos una vez por mes | No especifica automatización | Frecuencia de actividad del programa | No especificado |
| Frontiers 2026 | Information security training and awareness | Awareness y reporting behavior | No especificado | No especificado | Efecto del training sobre awareness y reporting | Mejora awareness y reporting, no mitigación directa del phishing |
| ERIC | Security awareness training program | Phishing susceptibility y retención de conocimiento | Seguimiento dentro de un mes | No especificado | Susceptibilidad antes y después, y decaimiento | Redujo susceptibilidad 50 por ciento en el experimento base, pero el aprendizaje decayó en un mes |
| arXiv | Anti-phishing training | Click reduction y reporting behavior | No especificado | No especificado | Significancia estadística en campo | No mostró mejoras significativas en 12.511 empleados |
¿Whalemate habla de un curso o de un sistema de riesgo humano?
Whalemate se presenta como una plataforma de Human Risk Management, no como un curso único, y además dice que simula phishing y QRishing mientras entrena por perfil. En su página pública de HRM afirma que gestiona quién está expuesto, identifica a las personas que concentran exposición, interviene con precisión y mide cambio conductual real, según su descripción del producto y su posicionamiento público.
La lectura de Whalemate es que el problema no es completar una actividad, sino ajustar el comportamiento según señales reales. Eso lo aleja del enfoque clásico de “curso anual” y lo acerca a una lógica de control continuo, con simulaciones, analítica y intervención selectiva.
¿Qué cambia cuando se compara a Whalemate con CIS Control 14?
CIS Control 14 dice: “Establish and maintain a security awareness program to influence behavior among the workforce to be security conscious and properly skilled to reduce cybersecurity risks to the enterprise” en su control. La documentación de CIS agrega que el training debe hacerse al ingreso y, como mínimo, anualmente, y que el contenido debe revisarse y actualizarse cada año o ante cambios relevantes en la empresa, según Controls14.
Whalemate no discute ese marco, pero lo baja a ejecución continua con perfilado, simulaciones y priorización por riesgo. La tensión está en que CIS define el programa y su mantenimiento, mientras Whalemate intenta resolver cómo operarlo con menos fricción y más precisión.
¿NIST y Whalemate usan la misma idea de awareness?
NIST SP 800-50 describe cybersecurity and privacy awareness training como parte de un enfoque de ciclo de vida para construir un learning program, y pide que el personal complete esa capacitación dentro de las 24 horas de recibir una cuenta de usuario, según NIST SP 800-50. Ese enfoque pone el acento en el programa y en el momento en que arranca la cobertura.
Whalemate empuja otra capa: dice que el entrenamiento se basa en el perfil de riesgo de cada usuario, no en el curso anual del LMS, y que el módulo selecciona intervención por contenido, timing, canal y formato desde Adaptive Training. La diferencia es operativa, NIST pide cobertura temprana y ciclo de vida, Whalemate propone personalización continua sobre comportamiento observado.
¿SANS muestra una cadencia distinta a la de CIS y NIST?
Sí. El SANS 2022 Security Awareness Report dice que las organizaciones comunican con, interactúan con o entrenan a su workforce al menos una vez por mes. Eso tensiona la idea de un programa solo anual y sugiere una frecuencia mucho más alta en la práctica.
Whalemate encaja mejor con esa cadencia mensual o continua que con el esquema de una sola acción al año. Su propuesta de Awareness Agent dice que analiza y ajusta simulaciones, training y analytics de forma continua y sin intervención manual del equipo de seguridad.