Una simulación de phishing mide conductas ante un escenario autorizado; la formación en ciberseguridad desarrolla conocimientos y hábitos; un programa de riesgo humano conecta ambas actividades con procesos, perfiles y seguimiento. Contratar solo correos simulados o solo cursos puede producir métricas sin mejora. La empresa necesita definir qué conducta quiere cambiar y cómo comprobará el resultado.
Simulación de phishing vs formación: qué necesita la empresa
La simulación sirve para observar decisiones: abrir, verificar, reportar, escalar o ignorar un mensaje. La formación explica amenazas, procedimientos y respuestas esperadas. El programa de riesgo humano utiliza resultados agregados para adaptar contenidos, procesos y controles. No son sustitutos; resuelven preguntas diferentes.
Si el problema es que las personas desconocen el canal de reporte, enviar una campaña difícil no corrige el proceso. Si existe formación anual pero nunca se observa la conducta, la empresa no sabe si puede aplicarse bajo presión. Un ciclo maduro define comportamiento, prepara el entorno, simula, enseña, corrige y vuelve a medir.
| Actividad | Pregunta | Resultado |
|---|---|---|
| Formación | ¿La persona comprende el riesgo y el procedimiento? | Conocimiento y práctica guiada |
| Simulación | ¿Qué hace ante un escenario controlado? | Conductas observadas |
| Ingeniería social | ¿Qué exposición tienen personas y procesos ante técnicas acordadas? | Evidencia y recomendaciones |
| Programa de riesgo humano | ¿Cómo cambia el comportamiento en el tiempo? | Ciclo segmentado de mejora |
Defina la conducta antes de diseñar el correo
“Reducir clics” es insuficiente. La conducta esperada puede ser verificar un cambio bancario por otro canal, reportar un adjunto, rechazar una solicitud de credenciales, elevar una llamada sospechosa o proteger información en herramientas de IA. Cada conducta pertenece a un proceso y necesita un responsable.
Una empresa de logística puede evaluar cambios de cuenta de proveedores; una fintech, accesos y códigos; una institución educativa, recuperación de contraseñas. La simulación debe reflejar el contexto sin explotar asuntos sensibles, humillar personas ni utilizar datos innecesarios. El realismo no justifica daño psicológico.
El servicio de Ingeniería Social de Insylux diseña escenarios autorizados para evaluar personas y procesos. El alcance debe indicar canales, grupos, exclusiones, datos, ventana, criterios de parada y respuesta si alguien reporta un incidente real durante el ejercicio.
Qué métricas importan además del clic
El clic puede ser una señal, pero su interpretación depende de dificultad, contexto, controles y entrega. Una campaña bloqueada por el filtro no demuestra comportamiento seguro; una imagen cargada automáticamente puede distorsionar aperturas. Las métricas deben incluir reporte, tiempo de reporte, verificación, entrega, reincidencia y respuesta del proceso.
También conviene medir si el canal de reporte funciona: recepción, clasificación, escalamiento y retroalimentación. Si cien empleados reportan y nadie responde, el problema ya no es individual. El indicador debe permitir asignar una mejora a seguridad, soporte, comunicaciones o dirección.
| Métrica | Qué puede indicar | Limitación |
|---|---|---|
| Entrega | Cobertura técnica | No demuestra lectura |
| Interacción | Respuesta al estímulo | Depende del diseño |
| Reporte | Conducta defensiva | Necesita canal funcional |
| Tiempo de reporte | Velocidad colectiva | Requiere marcas temporales fiables |
| Verificación | Uso del procedimiento alterno | Puede requerir observación adicional |
| Tendencia | Cambio entre campañas comparables | No sirve si cambia toda la dificultad |
Segmentar por riesgo sin señalar personas
No todos los perfiles enfrentan los mismos engaños. Finanzas recibe solicitudes de pago; recursos humanos, hojas de vida; soporte, restablecimientos; dirección, urgencias y confidencialidad; desarrollo, tokens y repositorios. Segmentar hace relevante el aprendizaje, pero debe evitar rankings públicos o etiquetas permanentes.
Los resultados individuales necesitan acceso restringido, finalidad clara y retención proporcional. Para dirección suelen ser más útiles las tendencias agregadas por proceso. Cuando existe repetición, la respuesta debe investigar comprensión, carga de trabajo, diseño del canal y condiciones del puesto antes de atribuir culpa.
Cómo conectar formación y simulación
La formación previa establece el comportamiento esperado y los canales. La retroalimentación posterior explica la señal y permite practicar. El siguiente ejercicio comprueba si la conducta cambia. Esta secuencia es más útil que un curso anual desconectado o una campaña sorpresa utilizada como castigo.
El programa HumanShield de Insylux combina formación, simulaciones y seguimiento según perfiles. Para captación y formación estructurada también puede evaluarse Insylux Academy. La plataforma o el programa elegido debe corresponder al número de usuarios, objetivos, idiomas, reportes y capacidad de administración.
Privacidad, autorización y seguridad del ejercicio
Antes de ejecutar, la empresa debe coordinar seguridad, recursos humanos, legal, comunicaciones y soporte según su contexto. Se documentan finalidad, base aplicable, datos tratados, destinatarios, retención y respuesta a incidentes. Este artículo no determina la base jurídica para todos los países o relaciones laborales.
Las campañas no deberían pedir contraseñas reales ni recolectar datos innecesarios. Las páginas simuladas deben estar controladas, los dominios protegidos y los registros limitados. Un proveedor necesita medidas para prevenir abuso de la infraestructura y para eliminar la información al terminar.
Más allá del correo: smishing, vishing y colaboración
El riesgo humano no vive solo en el email. Las empresas usan mensajería, SMS, llamadas, plataformas colaborativas y videoconferencia. Un programa puede ampliar canales cuando exista autorización, madurez y una necesidad observada. No se añaden técnicas solo para hacer la campaña más impactante.
Un escenario de vishing requiere guiones y límites distintos; uno de smishing necesita gestionar números y dispositivos personales; una prueba en mensajería corporativa debe considerar integraciones. Empiece por el proceso de mayor consecuencia y añada complejidad cuando la organización pueda aprender de ella.
Qué pedir a un proveedor
- Objetivo conductual y escenarios propuestos.
- Proceso de autorización y manejo de datos.
- Grupos, exclusiones y nivel de dificultad.
- Control técnico de dominios, mensajes y páginas.
- Métricas, limitaciones y comparación entre campañas.
- Retroalimentación y contenido de refuerzo.
- Respuesta ante un incidente real durante el ejercicio.
- Eliminación de datos y cierre de accesos.
Evite comprar únicamente por cantidad de plantillas. El valor está en la conexión entre comportamiento, proceso y mejora. Pregunte quién interpreta resultados y qué acción podrá tomar cada responsable.
Cómo calibrar la dificultad sin fabricar una trampa
La dificultad depende de señales visibles, familiaridad del remitente, urgencia, canal, calidad gráfica y contexto. Una campaña inicial puede utilizar indicios reconocibles y medir si las personas aplican el procedimiento. Aumentar gradualmente permite observar aprendizaje. Empezar con una suplantación extremadamente personalizada puede producir una tasa llamativa sin ofrecer una línea base útil.
Documente las señales incluidas en cada plantilla: dominio, enlace, petición, tono, adjunto y alternativa de verificación. Esta ficha permite comparar campañas y explicar por qué una variación en clics no representa necesariamente mejora o deterioro. También evita que el proveedor cambie simultáneamente todas las condiciones.
Las simulaciones dirigidas a ejecutivos o funciones críticas requieren autorización y cuidado adicional. No deben imitar emergencias médicas, despidos, tragedias o comunicaciones íntimas para aumentar el impacto. El objetivo es practicar decisiones laborales de riesgo, no aprovechar vulnerabilidades personales.
Diseñe aprendizaje para el momento posterior
Cuando una persona interactúa, la retroalimentación debe ser inmediata, breve y específica: qué señales existían, qué debía hacer y dónde reportar. Una página que solo anuncia “cayó en una prueba” genera vergüenza y poca transferencia. Después puede asignarse un módulo corto relacionado con el comportamiento.
Quienes reportaron también necesitan confirmación. Reforzar la conducta defensiva ayuda a mantenerla y demuestra que el canal funciona. El equipo de seguridad puede compartir aprendizajes agregados: tipos de señuelo, tiempos y cambios del proceso, sin revelar nombres.
El aprendizaje debe llegar a responsables de controles. Si el ejercicio demuestra que un cambio bancario se acepta sin llamada, finanzas debe corregir el procedimiento. Si el filtro elimina todas las campañas pero no ataques reales, seguridad debe revisar la validez del ejercicio. El programa no termina en recursos humanos.
Etapas de madurez del programa
En una etapa inicial se establecen políticas, canal y formación básica. Después se añaden simulaciones comparables y segmentación. Una etapa avanzada integra indicadores de proceso, escenarios multicanal y ejercicios con respuesta. La madurez no se mide por cantidad de correos enviados, sino por capacidad de aprender y corregir.
La frecuencia depende de riesgo y carga. Campañas demasiado seguidas pueden generar fatiga y aprendizaje de la plantilla, no del comportamiento. Campañas anuales ofrecen pocos datos. El calendario debe alternar formación, práctica y descanso, y adaptarse cuando exista un incidente real.
Ciclo práctico de noventa días
- Semanas 1–2: definir conducta, alcance, privacidad y canal de reporte.
- Semanas 3–4: comunicar expectativas y ofrecer formación breve.
- Semanas 5–6: ejecutar una simulación calibrada y controlar incidencias.
- Semanas 7–8: analizar conducta y proceso, no solo clics.
- Semanas 9–10: reforzar grupos y corregir canales o procedimientos.
- Semanas 11–13: repetir un escenario comparable y reportar tendencia.
El calendario es ilustrativo. Cambia según tamaño, turnos, idiomas, temporadas y riesgos. La organización debe evitar campañas durante eventos sensibles si pueden confundirse con comunicaciones críticas.
Colombia, México y equipos distribuidos
La regionalización debe utilizar lenguaje y procesos reales sin caer en estereotipos. Facturas, nómina, entregas, impuestos y soporte cambian entre Colombia y México. Un mensaje copiado de otro mercado puede medir confusión lingüística, no resistencia al fraude.
Insylux Cybersecurity opera desde Medellín y brinda cobertura regional. Para equipos distribuidos, la propuesta debe especificar husos horarios, idiomas, canales y coordinación local. Cobertura no implica una sede física en cada país.
Preguntas frecuentes
¿Se debe avisar a los empleados?
La empresa debe definir transparencia y autorización con sus áreas responsables. Puede comunicar que existe un programa sin revelar cada fecha.
¿Cuál es una buena tasa de clic?
No hay una cifra universal. Depende de escenario, dificultad, controles y población. La tendencia comparable y el reporte suelen aportar más contexto.
¿Una campaña basta para reducir el riesgo?
No. Es una medición puntual; necesita formación, proceso, controles y repetición.
¿La simulación puede capturar contraseñas?
No debería recolectar credenciales reales. Se puede registrar una interacción controlada sin conservar secretos.
Mida una conducta que pueda mejorar
Fuentes y alcance
- NIST: Phishing, orientación para organizaciones.
- CISA: Recognize and Report Phishing, guía oficial.
- NIST Cybersecurity Framework 2.0, marco de gestión de riesgo.
La campaña, el tratamiento de datos y la comunicación deben validarse conforme a la empresa y la normativa aplicable.
