“Human risk management” apareció como etiqueta en casi todas las conversaciones sobre seguridad y personas de los últimos dos años. Su traducción, gestión del riesgo humano, se usa con la misma soltura y muchas veces para describir exactamente lo que antes se llamaba concienciación. El nombre nuevo por sí solo no cambia gran cosa. Lo que cambia es si el programa se comporta como una gestión de riesgo o como un curso anual con lista de asistencia.
Vale la pena separar las dos cosas, porque de esa distinción depende qué herramientas necesitas y qué vas a poder demostrar cuando alguien te pregunte cómo está tu organización.
¿Qué es la gestión del riesgo humano?
La gestión del riesgo humano es la práctica de medir, reducir y demostrar de forma continua el riesgo que las personas introducen en la seguridad de una organización. Las tres cosas tienen que estar, y de forma continua. Un programa que solo forma no mide. Uno que solo simula no reduce. Y uno que no deja registro no demuestra nada frente a una auditoría.
Tratarlo como riesgo tiene una consecuencia práctica. Un riesgo se mide en una escala, se compara consigo mismo en el tiempo y se le asigna una acción. No se completa. Sobre qué es exactamente el riesgo humano y dónde empieza escribimos antes en este blog.
¿Por qué una herramienta suelta se queda corta?
Porque cada pieza responde bien a una pregunta y ninguna responde a la siguiente.
Una herramienta de simulación te dice quién hizo clic. No te dice qué darle a esa persona después, ni si aprendió algo. Una plataforma de formación entrega contenido y registra el avance, pero no tiene forma de saber quién está expuesto de verdad. Un tablero de reportes muestra números que nadie puede accionar desde ahí mismo.
El problema no aparece dentro de cada herramienta. Aparece en el espacio entre ellas, y ese espacio lo termina cubriendo una persona del equipo de seguridad con exportaciones, planillas y cruces a mano.
Hay un caso muy concreto. Si las simulaciones y las métricas viven separadas, los gateways y sandboxes que “abren” los correos automáticamente ensucian las estadísticas y nadie se entera. Lo tratamos en detalle en el origen de los falsos positivos en simulaciones.
¿Qué era SMARTFENSE cuando arrancó?
Era bastante menos de lo que es hoy, y ya tenía el mismo núcleo.
La primera versión pública, en 2017, traía simulaciones de phishing y ransomware, módulos interactivos y newsletters con validación de lectura. Ese mismo año llegó la sincronización automática de usuarios con Microsoft Azure AD y Google, así que la plataforma nunca funcionó como una isla con su propia lista de personas cargada a mano. En 2018 se sumaron los exámenes y los Momentos Educativos, que refuerzan en el instante exacto en que alguien interactúa con una simulación, y los primeros grupos armados a partir del comportamiento frente a las campañas.
Ese último punto es el que más cuenta hacia atrás. La idea de segmentar por conducta en lugar de por departamento estaba ahí desde el segundo año, y es el precursor directo de los Grupos Inteligentes actuales. La decisión de integrarse con los sistemas de la organización en lugar de instalar software en cada equipo también viene de esa época, y la explicamos en por qué nos integramos por API y no con un agente.
¿Qué capas se sumaron desde entonces?
Cada capa nació de un límite concreto del programa anterior, no de una hoja de ruta escrita de una sola vez.
- Métricas en las que se puede confiar (2020). Detección de las interacciones automáticas de gateways y sandboxes, para que dejaran de contaminar las estadísticas. En el mismo año, anonimización de usuarios y autenticación sin credenciales, alineadas con los requisitos del RGPD.
- Engagement y medición del riesgo (2021). Gamificación nativa con insignias, videojuegos educativos y tablas de posiciones. Y el Scoring de Riesgo, el primer algoritmo de la plataforma que traduce el comportamiento de una persona y de una organización en una medida comparable de exposición.
- Entrega directa y nuevos vectores (2022-2023). Direct Message Injection para Google Workspace y Microsoft 365, que deposita las simulaciones en el buzón por API sin pedirle a nadie que configure listas de excepciones. Junto con eso, códigos QR, memorias USB y SMS se sumaron al phishing y al ransomware como vectores simulables.
- Comportamiento e inteligencia aplicada (2024-2026). Intervenciones automáticas que se disparan cuando ocurre un evento de riesgo, nudges que refuerzan conductas en el momento justo, botón de reporte de phishing dentro de Outlook, Gmail y Thunderbird, y caminos de aprendizaje que se ajustan al riesgo de cada persona. Sobre esa capa escribimos en nudges de ciberseguridad en el momento justo.
¿Por qué importa que todo viva en la misma plataforma?
Porque el valor está en el cruce, y el cruce solo existe si los datos comparten un mismo lugar.
Cuando la simulación, la formación y la medición corren sobre la misma base, el resultado de una alimenta a la siguiente sin que nadie exporte nada. Quien hizo clic recibe el refuerzo adecuado ese día. El Scoring de Riesgo de esa persona se mueve. El grupo al que pertenece se recalcula solo. Lo desarrollamos en la importancia de la correlación de datos en concienciación, y es la razón por la que preferimos hablar de ecosistema antes que de conjunto de módulos.
Ese ecosistema también mira hacia afuera. La señal del comportamiento humano sale hacia las herramientas donde el equipo de seguridad ya trabaja, algo que tratamos en el puntaje de riesgo humano como señal para el SIEM, y en sentido inverso el contexto de cada persona llega desde el proveedor de identidad, las herramientas de colaboración y las plataformas de cumplimiento a través de las integraciones disponibles.
SMARTFENSE lleva cuatro generaciones de plataforma construidas sobre esa idea, con la versión 4.37 publicada el 1 de agosto de 2026 y la cualificación del CCN para el manejo de información sensible en el ENS. Nada de eso es una decisión de este año.
La respuesta corta
¿Qué significa gestionar el riesgo humano? Medir la exposición que introducen las personas, reducirla con acciones concretas y poder demostrar las dos cosas, de forma continua y sin que nadie tenga que unir las piezas a mano.
Una herramienta suelta cubre un tramo de eso. El resto queda del lado del equipo de seguridad, en forma de trabajo manual que no escala. Si quieres ver cómo se compone hoy cada capa, están todas en la plataforma.
Deja una respuesta