El programa de concientización típico empieza por el final. Se contrata una plataforma, se asignan cursos a toda la organización, se persigue la finalización durante tres meses y se reporta un porcentaje de cumplimiento a la Dirección.
Al año siguiente se repite. Nadie sabe si sirvió, porque nunca se midió otra cosa que la asistencia.
El problema no es la capacitación. Es el orden.
Qué mide un ejercicio de phishing controlado
Un ejercicio simulado no mide conocimiento: mide comportamiento bajo condiciones reales de trabajo. Que es lo único que importa, porque el incidente no ocurre durante el curso.
Las métricas que interesan son cuatro, y sólo la primera es la que todo el mundo mira:
Tasa de apertura. Cuántas personas abrieron el mensaje. Es la menos informativa: abrir un correo es, en buena medida, hacer el trabajo.
Tasa de clic. Cuántas siguieron el enlace. Aquí empieza la exposición real.
Tasa de entrega de credenciales. Cuántas llegaron a completar el formulario. Es la métrica que mejor correlaciona con el riesgo de un incidente efectivo, y suele ser bastante menor que la de clic.
Tasa de reporte. Cuántas personas avisaron al canal interno de que algo raro estaba pasando. Esta es, para nosotros, la métrica más importante del ejercicio, y la que casi nunca se mide.
Por qué el reporte importa más que el clic
Una organización donde nadie hace clic es una fantasía estadística. Con volumen suficiente y un señuelo bien construido, alguien siempre va a hacer clic. La pregunta operativa no es cómo llegar a cero, sino cuánto tarda el equipo de seguridad en enterarse.
Si el primer reporte llega a los siete minutos del envío, la organización tiene una capacidad de detección temprana que ninguna herramienta reemplaza: puede bloquear el dominio, buscar quién más lo recibió y forzar el cambio de credenciales antes de que se usen.
Si nadie reporta nunca, la organización se entera cuando ya hay consecuencias.
Por eso el objetivo del programa no debería ser “reducir el clic” sino “aumentar el reporte y reducir el tiempo hasta el primer aviso”. Es un objetivo distinto y produce un diseño distinto: hay que dar un canal fácil de usar, comunicarlo, y —sobre todo— agradecer cada reporte, incluidos los falsos positivos. Si a quien reporta un correo legítimo se lo hace sentir tonto, deja de reportar.
El diagnóstico cambia el contenido
Cuando se mide antes de capacitar, la formación deja de ser genérica y se vuelve específica.
Los resultados casi nunca están distribuidos de manera uniforme. Aparecen áreas con exposición muy distinta, y las razones son estructurales, no de “falta de cuidado”:
- Compras y finanzas son sensibles a los señuelos de facturas, cambios de cuenta bancaria y urgencias de pago. Es literalmente su trabajo abrir esos correos.
- Recursos humanos abre currículums y documentos de remitentes desconocidos todo el día.
- Comercial abre mensajes de contactos nuevos por definición.
- Dirección es blanco de señuelos personalizados con información pública, y suele tener menos tiempo para detenerse a verificar.
Un curso único para toda la organización desperdicia atención en unos y se queda corto con otros. Con el diagnóstico en la mano, el programa asigna itinerarios por rol y concentra el esfuerzo donde el riesgo está.
Cómo hacerlo sin romper la confianza
Un ejercicio de phishing simulado mal ejecutado deja daño duradero: la gente se siente engañada por su propia empresa y el área de seguridad pasa a ser percibida como adversaria. Recuperar eso lleva años.
Cinco reglas que aplicamos siempre:
1. Acordar el marco antes. Dirección, Recursos Humanos y —donde corresponda— la representación del personal deben conocer y aprobar el ejercicio, su finalidad y qué se hará con los datos, antes de que empiece.
2. Anunciar que va a haber ejercicios, sin decir cuándo. Comunicar el programa no invalida la medición: nadie mantiene la guardia alta durante meses. Y elimina la sensación de trampa.
3. Nunca usar señuelos que exploten vínculos sensibles. Aguinaldos, despidos, resultados médicos, temas familiares. Suben la tasa de clic y destruyen la confianza. La métrica que se gana no compensa lo que se pierde.
4. Métricas agregadas, no listas de nombres. El resultado se reporta por área y por tendencia. La identificación individual sólo tiene sentido para asignar formación, y debe quedar en el ámbito acordado. Un ranking de “los que cayeron” circulando por la organización garantiza que nadie vuelva a reportar nada.
5. Cerrar con información útil, no con reproche. Quien hace clic debería ver, en ese mismo momento, qué señales tenía el mensaje para haber sospechado. El ejercicio es formativo o no es nada.
La curva que hay que esperar
En los programas sostenidos, la evolución sigue un patrón bastante estable: la tasa de clic baja de forma marcada entre el primer y el segundo ejercicio, después se aplana, y a partir de ahí la mejora sostenida viene del lado del reporte, que sube de manera más lenta pero más duradera.
Ese aplanamiento no es un fracaso: es el piso realista. A partir de ahí, la organización deja de perseguir un cero imposible y empieza a construir lo que sí escala —detección temprana— mientras la tecnología se ocupa de reducir cuántos mensajes llegan a la bandeja.
El cierre auditable
Para quien tiene o está implantando un SGSI, hay un beneficio adicional que conviene aprovechar. ISO/IEC 27001 exige competencia y toma de conciencia, y un control específico sobre concientización, educación y capacitación en seguridad de la información.
Un programa con evaluaciones, certificación nominal, métricas por usuario y área, y ejercicios simulados con su informe de evolución produce exactamente la evidencia que el auditor pide, sin trabajo adicional. La alternativa —una planilla de asistencia a una charla— cumple formalmente y no demuestra eficacia.
El nivel Complete incorpora SORT SecurityAcademy, phishing controlado y campañas de sensibilización en ingeniería social.