Medir el Security Awareness: indicadores que realmente dicen algo

Las simulaciones de phishing están en marcha y las formaciones, desplegadas. Pero, ¿funciona todo eso? A más tardar cuando llega el siguiente presupuesto, la dirección exige pruebas. La buena noticia: el Security Awareness se puede medir. La menos buena: una cifra aislada no dice casi nada. Este artículo muestra qué indicadores son fiables y en qué condiciones debería recogerlos.

Por qué una sola cifra engaña

La tasa de clics de una simulación de phishing concreta es la cifra más citada y, al mismo tiempo, la más malinterpretada en el reporting de concienciación. Depende en gran medida de lo difícil que fuera la plantilla utilizada, del momento en que se realizó la simulación y de los departamentos a los que se envió. Una tasa de clics baja con una plantilla fácil de reconocer dice menos que una más alta con un escenario bien elaborado y dirigido.

A ello se suma un segundo problema: quien no hace clic no ha aprendido automáticamente algo. Quizá simplemente no vio el correo o lo eliminó sin leerlo. Y quien convierte una sola cifra en el único objetivo invita a optimizar el número en lugar del comportamiento, por ejemplo cuando las simulaciones se "avisan" internamente para que el resultado luzca bien.

La validez surge solo al combinar varios indicadores durante un periodo más largo.

Cuatro indicadores que dicen algo

• Tasa de clics a lo largo del tiempo: No cuenta el resultado de una simulación aislada, sino la tendencia a lo largo de varias simulaciones de dificultad comparable. Si la tasa de clics baja a lo largo de los trimestres con un nivel de dificultad constante, es una señal sólida.
• Tasa de notificación: La proporción de destinatarios que notifican activamente un correo sospechoso. Es quizá el indicador más infravalorado: mide un comportamiento deseado, no solo la ausencia de errores. Una tasa de notificación creciente significa que su empresa detecta antes los ataques reales.
• Tiempo hasta la primera notificación: ¿Con qué rapidez llega la primera notificación a su equipo de seguridad? En un ataque real, esa ventana de tiempo decide cuánto daño se puede evitar.
• Tasas de finalización de las formaciones: Muestran si su programa llega siquiera a la plantilla. Por sí solas no dicen nada sobre el comportamiento. Aun así, siguen siendo imprescindibles como dato de contexto, porque sin alcance no hay efecto.

Leer los indicadores en conjunto

Lo interesante empieza cuando combina los valores. Una tasa de clics a la baja con una tasa de notificación al alza es el patrón que desea ver: las personas empleadas reconocen los ataques y actúan correctamente. En cambio, tasas de finalización altas con una tasa de notificación estancada indican que los contenidos se consumen, pero no llegan al día a día. Entonces conviene replantearse el formato o la frecuencia de las formaciones.

Es importante, además, comparar las simulaciones por nivel de dificultad en lugar de meter todos los resultados en el mismo saco. Las simulaciones de phishing bien planteadas varían sus escenarios de forma deliberada. El reporting debe reflejar esa variación, o de lo contrario compara peras con manzanas.

También desde el punto de vista regulatorio el tema tiene peso: NIS2 está en vigor, y las empresas afectadas deben poder aplicar y demostrar medidas eficaces de gestión de riesgos, formaciones incluidas. Un reporting de concienciación trazable es la base para ello.

Anonimizar el reporting, implicar al comité de empresa

¿Quién ha hecho clic? Esta pregunta resulta obvia y, sin embargo, lleva en la dirección equivocada. Las evaluaciones de simulaciones con datos personales afectan a la protección de datos y, por regla general, están sujetas a codecisión: sin una implicación temprana del comité de empresa y un acuerdo limpio no es posible. Pero, sobre todo, perjudican al propio objetivo: quien teme sanciones deja de notificar incidentes. Y precisamente la tasa de notificación es su indicador más valioso.

Para todos los indicadores mencionados bastan evaluaciones anonimizadas y agregadas, por ejemplo a nivel de departamento o sede, con tamaños mínimos de grupo que impidan identificar a personas concretas. Se mide el programa, no a la persona. Implique pronto al comité de empresa y a los responsables de protección de datos: eso genera confianza y, en última instancia, también mejora la calidad de sus datos.

De medir a dirigir

El awareness medido con honestidad no es un instrumento de control, sino de dirección: muestra dónde funciona su programa, dónde hay que ajustar y cómo evoluciona el nivel de seguridad de su empresa con el tiempo. Protectly ofrece justo esa base: tasas de clics, de notificación y de finalización a lo largo del tiempo, anonimizadas y preparadas conforme a los requisitos del comité de empresa. Cómo se ve, se lo muestra nuestra página Análisis e informes. O puede verlo directamente en una demo personal.