Muchos programas de concienciación resumen el puntaje de riesgo humano de cada colaborador en una sola cifra, la cantidad de veces que cayó en una simulación de phishing. Es un dato útil, pero cuenta una parte de la historia. Alguien puede no haber fallado nunca una simulación y aun así reutilizar la misma contraseña en diez servicios, ignorar las alertas de su gestor de identidad o autorizar aplicaciones que nadie revisó. Ese riesgo existe. La simulación, por sí sola, no lo ve.
Como responsable de las integraciones de la plataforma, me toca conversar seguido con equipos de seguridad que ya tienen la telemetría para verlo. La información está ahí, repartida entre el gestor de identidad, el endpoint y el SIEM. Aun así, el puntaje de riesgo de las personas se calcula con una sola fuente, y el resto de las señales queda en otro tablero.
¿Qué es un puntaje de riesgo humano y qué lo hace fiable?
Un puntaje de riesgo humano es una estimación, por persona, de la probabilidad de que su comportamiento derive en un incidente de seguridad. Sirve para priorizar: a quién reforzar primero, qué áreas necesitan otro tipo de contenido, dónde conviene ajustar una política.
Su fiabilidad depende de tres cosas. La primera es la cantidad de fuentes que alimentan el cálculo, porque una sola dimensión deja puntos ciegos. La segunda es la frecuencia de actualización, ya que el comportamiento cambia y un puntaje de hace seis meses describe a una persona que quizás ya no existe. La tercera es la trazabilidad. El equipo tiene que poder explicar por qué alguien tiene el puntaje que tiene y no quedarse solo en el número.
Cuando el puntaje se construye únicamente con resultados de simulaciones, falla en la primera condición. Mide bien una conducta concreta y deja el resto sin observar.
¿Por qué las simulaciones solas no alcanzan?
Una simulación de phishing mide una capacidad específica en un momento controlado: reconocer un correo de phishing y no interactuar con él. Es una señal valiosa y accionable, y es la base de cualquier programa serio. Nosotros dedicamos buena parte de la plataforma a que esa medición sea limpia, como cuento en cómo se diseña una campaña que sí cambia comportamiento.
El límite aparece cuando esa señal se usa como si describiera todo el riesgo de una persona. Los ataques reales no se agotan en el correo de phishing. Según el Data Breach Investigations Report de Verizon, las causas más frecuentes de brechas siguen involucrando de forma marcada el elemento humano, e incluyen ingeniería social, credenciales robadas y phishing. Buena parte de eso ocurre fuera del alcance de una simulación: un inicio de sesión desde una ubicación imposible, un segundo factor rechazado varias veces, un dispositivo con una configuración de riesgo.
Un colaborador que aprueba todas las simulaciones puede, aun así, estar detrás de varias de esas señales. Si el puntaje no las incorpora, el programa ve una cara del riesgo y asume que es la única.
¿Qué señales aporta el SIEM o el security stack al riesgo por persona?
Un SIEM (Security Information and Event Management) centraliza y correlaciona eventos de seguridad de toda la organización. Junto con el gestor de identidad, el endpoint y las soluciones de XDR, forma lo que solemos llamar el security stack: el conjunto de sistemas que ya observan lo que pasa en el entorno real.
Ese stack produce señales que se conectan directo con el comportamiento de las personas. Del lado de la identidad, intentos de acceso anómalos, factores de autenticación rechazados de forma repetida o accesos desde ubicaciones incoherentes. Del lado del endpoint y el XDR, detecciones de software malicioso, configuraciones que se apartan de la política o conexiones hacia destinos sospechosos. Cada una de esas señales dice algo sobre el riesgo de una persona que ninguna simulación va a capturar.
La señal de concienciación y la del stack se suman. El resultado es un puntaje que refleja tanto la respuesta ante un ejercicio como la conducta cotidiana frente a los sistemas que la persona usa todos los días.
¿Cómo se combinan simulación y telemetría sin observar la máquina del colaborador?
Acá está la parte que más importa desde el diseño, y es una decisión de arquitectura, no un detalle técnico. Enriquecer el puntaje con señales del stack no significa instalar un agente en el equipo de cada persona ni mirar lo que hace en su pantalla. Significa integrarse con los sistemas que la organización ya opera y leer las señales que esos sistemas ya generan.
Lo resolvemos por API. SMARTFENSE se conecta con el gestor de identidad, con plataformas de XDR y con el SIEM, sin pedir nada en el endpoint del colaborador. Es la misma lógica que explico en por qué nos integramos por API y no instalando un agente y que sostiene también la integración de identidad y el aprovisionamiento por SSO. La superficie de integración vive del lado de los sistemas de seguridad, no del puesto de trabajo.
Esa distinción tiene consecuencias concretas. Se respeta la privacidad de la persona, porque se leen eventos de seguridad, no su actividad personal. Se reduce la fricción de despliegue, porque no hay que tocar miles de equipos. Y la señal viaja en las dos direcciones. El puntaje se enriquece con el stack, y a la vez el comportamiento humano puede alimentar la estrategia de detección, un ángulo complementario que trató Pablo Abratte en lo que tu SIEM no ve.
¿Qué cambia cuando el puntaje es multi-fuente?
Lo primero que cambia es la priorización. Cuando el puntaje combina la respuesta a las simulaciones con las señales del stack, la lista de personas a reforzar deja de estar ordenada solo por quién falló un correo y pasa a reflejar el riesgo real. En la práctica, las organizaciones que suman las señales del security stack descubren riesgo que la simulación sola no mostraba, y también matizan casos que parecían críticos y no lo eran.
Lo segundo es la calidad del refuerzo. Con un puntaje de una sola fuente, la única respuesta posible es más simulaciones. Con un puntaje multi-fuente se puede dirigir el contenido al problema concreto de cada grupo, sea el manejo de credenciales, la reacción ante alertas de identidad o el cuidado del dispositivo.
Lo tercero es la conversación con la dirección. Un puntaje que integra varias fuentes es más defendible frente a un comité, porque no depende de un único indicador que sube y baja con cada campaña. Sobre cómo llevar eso a un comité escribí en reporting para el board en dos minutos, y sobre cómo traducirlo a presupuesto en cuantificar el riesgo humano para el CFO.
Nada de esto exige empezar de cero. Si tu organización ya tiene un programa de concienciación y un security stack en funcionamiento, la mayor parte del trabajo es de integración: conectar lo que mide el comportamiento con lo que observa el entorno, y dejar que el puntaje refleje las dos cosas.
Preguntas frecuentes
¿Un puntaje de riesgo humano reemplaza a las simulaciones de phishing?
No. Las simulaciones siguen siendo una fuente central y la forma más directa de medir y entrenar la respuesta ante un correo de phishing. El puntaje multi-fuente las incorpora y les suma señales del stack para cubrir el riesgo que ellas no observan.
¿Hace falta instalar un agente en los equipos para leer las señales del SIEM?
No. La integración se hace por API con los sistemas de seguridad que la organización ya opera, como el gestor de identidad, el XDR y el SIEM. No se instala nada en el endpoint del colaborador ni se observa su actividad personal.
¿Qué señales del security stack aportan al riesgo por persona?
Accesos anómalos, segundos factores rechazados de forma repetida, inicios de sesión desde ubicaciones incoherentes, detecciones de software malicioso y configuraciones de dispositivo que se apartan de la política. Todas se correlacionan con el comportamiento de una persona.
¿Se respeta la privacidad del colaborador?
Sí. Se leen eventos de seguridad generados por los sistemas corporativos, no la actividad privada de la persona. La telemetría proviene del stack de seguridad, no de vigilar la pantalla de nadie.
¿Con qué frecuencia debería actualizarse el puntaje?
De forma continua. El comportamiento cambia, y un puntaje que se actualiza a medida que llegan nuevas señales describe a la persona que es hoy, no a la de la última campaña.
¿Quieres ver cómo se conecta esto con tu entorno? La sección de integraciones de la plataforma muestra con qué sistemas se conecta SMARTFENSE, y la de herramientas de simulación cómo empieza la medición del comportamiento.
Deja un comentario