Construyo plataformas de concienciaci\u00f3n desde hace m\u00e1s de quince a\u00f1os y dirijo el equipo de ingenier\u00eda de SMARTFENSE. Desde ese lugar veo un patr\u00f3n que se repite en casi todas las organizaciones con las que trabajamos: el CISO hace un trabajo serio, arma su informe, lo lleva al comit\u00e9 de direcci\u00f3n, y aun as\u00ed sale de la reuni\u00f3n sin haber movido una decisi\u00f3n.<\/p>\n
El problema no est\u00e1 en el CISO ni en el dato. Est\u00e1 en el camino que recorre ese dato hasta llegar a la mesa: cu\u00e1ndo se arma, con qu\u00e9 frescura llega y en qu\u00e9 formato. Eso es arquitectura, y por eso me toca a m\u00ed pensarlo.<\/p>\n
Te cuento lo que vemos del lado de quien construye la plataforma: por qu\u00e9 el reporte de awareness para el comit\u00e9 de direcci\u00f3n llega tarde, qu\u00e9 necesita realmente el comit\u00e9, y qu\u00e9 resolvimos para que la respuesta llegue en vivo. La parte humana sigue siendo del CISO. Nosotros nos ocupamos de la parte mec\u00e1nica.<\/p>\n
Lo aprendimos escuchando a los CISO que usan la plataforma. Cuando el comit\u00e9 pide el dato, no pide un dato. Pide una decisi\u00f3n que ya viene resuelta. Necesita contestar tres cosas que ya tiene en la cabeza, aunque no las verbalice as\u00ed:<\/p>\n
Si el informe deja al comit\u00e9 en condiciones de responder eso en treinta segundos, el CISO se gana el respaldo. Si entrega veinte l\u00e1minas con tasas de clic y barras de colores, el comit\u00e9 se queda con una intuici\u00f3n vaga y una respuesta tibia. No es por falta de comprensi\u00f3n: es que el formato del informe no deja material para decidir.<\/p>\n
La inversi\u00f3n que vale la pena al armar el informe es imaginar primero la respuesta que el comit\u00e9 necesita y despu\u00e9s construir el dato que la sostiene. Lo que se conoce como \u201cel informe trimestral\u201d no es un objeto \u00fanico. Es la \u00faltima capa de una pir\u00e1mide donde abajo hay veinte dashboards operativos y arriba tiene que haber una sola decisi\u00f3n clara.<\/p>\n
Hay tres respuestas que rara vez llegan completas a la sala. La primera es d\u00f3nde estamos hoy. No la tasa de clic de la \u00faltima simulaci\u00f3n de phishing ni el porcentaje de cursos completados, sino riesgo humano agregado<\/strong>, con un criterio expl\u00edcito de qu\u00e9 entra al c\u00e1lculo y c\u00f3mo evolucion\u00f3 respecto de hace tres y seis meses. Expresado como n\u00famero compuesto y con tendencia, el comit\u00e9 deja de discutir indicadores sueltos y empieza a pensar en pol\u00edtica.<\/p>\n La segunda es d\u00f3nde concentrar el esfuerzo. El comit\u00e9 no aprueba \u201cfortalecer awareness\u201d. Aprueba \u201cdestinar X presupuesto a las cinco \u00e1reas con m\u00e1s exposici\u00f3n durante los pr\u00f3ximos noventa d\u00edas\u201d. Con una lista priorizada de \u00e1reas, su exposici\u00f3n y el efecto esperado del refuerzo, el comit\u00e9 tiene una decisi\u00f3n binaria. Con un mapa de calor general, tiene otra reuni\u00f3n.<\/p>\n La tercera es el contrafactual. \u00bfQu\u00e9 pasa con el riesgo si no hacemos nada? Esa proyecci\u00f3n obliga a pensar la concienciaci\u00f3n como un activo que se deprecia, no como un gasto puntual. Es la pregunta que m\u00e1s cuesta hacerse, porque implica reconocer que la decisi\u00f3n de no decidir tambi\u00e9n tiene costo. Y es la que m\u00e1s mueve la aguja del presupuesto.<\/p>\n Si el informe no responde a esas tres, la conversaci\u00f3n board-level no avanza. No es un problema de dato. Es un problema de marco.<\/p>\n La capacidad la tienen. Lo que les falta es tiempo, y el dato les llega viejo.<\/p>\n Cuando miramos c\u00f3mo se arma hoy un informe para el comit\u00e9, encontramos siempre el mismo flujo artesanal. El viernes anterior a la reuni\u00f3n, alguien del equipo exporta el reporte de la plataforma de awareness, lo cruza con la lista activa de personal, limpia bajas, arma tablas din\u00e1micas, busca un dato externo cre\u00edble para contextualizar, lo pega en tres l\u00e1minas, anticipa dos preguntas y reza por la tercera. Entre cuatro y seis horas si todo est\u00e1 a mano. M\u00e1s, si la \u00faltima campa\u00f1a tuvo cambios de alcance.<\/p>\n El resultado, en el mejor caso, refleja la foto de hace dos semanas. Pero el comit\u00e9 opera al ritmo del negocio: si la semana de la reuni\u00f3n hubo un incidente o cambi\u00f3 el panorama, el informe ya no sirve. Y nadie va a rearmar los gr\u00e1ficos a las once de la noche del domingo.<\/p>\n Esto no es una cr\u00edtica al CISO. Es la descripci\u00f3n de un proceso manual que se justificaba cuando el comit\u00e9 aceptaba esperar el ciclo trimestral. Hoy la demanda se mueve al ritmo de la conversaci\u00f3n y deja atr\u00e1s al calendario. Esa distancia entre c\u00f3mo se construye el informe y c\u00f3mo lo necesita el negocio es un problema de arquitectura de datos, y es exactamente el tipo de problema que se resuelve en la plataforma, no en la planilla.<\/p>\n Cambia el centro de gravedad de la conversaci\u00f3n. El CISO deja de ser quien ejecuta el informe y pasa a ser quien decide qu\u00e9 pregunta val\u00eda la pena hacerse.<\/p>\n Imaginemos la escena, que ya ocurre con los primeros equipos que lo est\u00e1n probando. El comit\u00e9 est\u00e1 reunido. Alguien pregunta algo que no estaba en la agenda: \u201c\u00bfqu\u00e9 cinco \u00e1reas tienen el riesgo humano m\u00e1s alto y cu\u00e1nto bajar\u00eda si reforzamos la simulaci\u00f3n de phishing en ellas durante el pr\u00f3ximo trimestre?\u201d. El CISO formula esa misma pregunta a la plataforma en espa\u00f1ol plano y proyecta la respuesta dos minutos despu\u00e9s. \u00c1reas, exposici\u00f3n, efecto esperado, costo del refuerzo. La decisi\u00f3n se toma en la sala.<\/p>\n Lo importante no es la herramienta. Es la transferencia: el CISO recupera horas operativas, el comit\u00e9 recibe respuestas a la medida de sus preguntas, y la conversaci\u00f3n board-level deja de ser un acto de traducci\u00f3n para volverse un di\u00e1logo en tiempo real.<\/p>\n Esa capa la construimos en SMARTFENSE y la llamamos Insight Agent<\/a>. Es una de las capacidades que pensamos para programas maduros, y hoy est\u00e1 en su etapa de early adopters: la afinamos con los primeros equipos que la usan sobre sus propios datos. No reemplaza al CISO; le da la velocidad operativa que hoy no tiene. La pregunta sigue siendo de quien est\u00e1 sentado a la mesa. La diferencia es que ahora puede responderla ah\u00ed mismo.<\/p>\n Coincide con un mensaje que mantenemos en SMARTFENSE desde hace a\u00f1os, y que vale la pena leer en detalle: la IA no puede sustituir la gu\u00eda humana<\/a> en concienciaci\u00f3n. Acelera, amplifica, libera tiempo. Sustituir es otra cosa.<\/p>\n Si vas a apoyar el reporting en un agente, hay cuatro condiciones m\u00ednimas. Te las paso desde el lado del que dise\u00f1a el sistema, porque son decisiones de arquitectura antes que de interfaz.<\/p>\n Si la herramienta que est\u00e1s evaluando cumple esos cuatro puntos, la diferencia operativa aparece r\u00e1pido. Si cumple solo dos, vas a tener un chatbot prolijo y una planilla en paralelo.<\/p>\n La mayor\u00eda de las organizaciones est\u00e1 en uno de cuatro escalones. El primero es compliance: el comit\u00e9 solo escucha al CISO cuando hay auditor\u00eda. El segundo es KPIs operativos: el CISO presenta tasas trimestrales y el comit\u00e9 asiente. El tercero es narrativa de riesgo: el CISO arma una historia que conecta los datos con decisiones, pero el ciclo sigue siendo trimestral. El cuarto es conversaci\u00f3n accionable: el comit\u00e9 pregunta y el CISO responde con datos vivos en la misma reuni\u00f3n.<\/p>\n Pocas organizaciones est\u00e1n en el cuarto. La mayor\u00eda se mueve entre el segundo y el tercero. El salto al cuarto no se da por madurez de la persona del CISO. Se da cuando se acorta el ciclo entre la pregunta del comit\u00e9 y la respuesta del programa, y ese ciclo es, otra vez, una cuesti\u00f3n de plataforma.<\/p>\n Esa es la conversaci\u00f3n que SMARTFENSE quiere habilitar, y la raz\u00f3n por la que pensamos el Insight Agent en funci\u00f3n de ella. Si quieres verlo en acci\u00f3n sobre tus propios datos, escr\u00edbenos para sumarte al programa de early adopters<\/a>.<\/p>\n Para profundizar en el marco general, dos lecturas que recomiendo: tu programa de awareness, \u00bfest\u00e1 midiendo lo que importa?<\/a> y decisiones basadas en datos reales con el reporte de correlaci\u00f3n<\/a>. La primera ayuda a reformular las m\u00e9tricas; la segunda muestra el lado operativo de cruzar datos.<\/p>\n Si tu CISO sale del comit\u00e9 con la sensaci\u00f3n de no haber sido escuchado, mi sospecha como ingeniero es otra: lo escucharon bien, pero el informe lleg\u00f3 sin la frescura ni el formato para sostener una decisi\u00f3n. Esa parte del problema es de arquitectura, y esa s\u00ed la podemos arreglar.<\/p>\n","protected":false},"excerpt":{"rendered":" Como CTO te cuento por qu\u00e9 el reporte de awareness para el comit\u00e9 de direcci\u00f3n llega siempre tarde, y qu\u00e9 cambiamos en la plataforma para responder en vivo.<\/p>\n","protected":false},"author":4,"featured_media":41301,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,198],"tags":[222,189,991,1627,1903,1904],"class_list":["post-41303","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-awareness-es-ar","tag-ciso-es-ar","tag-dashboard-es-ar","tag-informes-personalizados-es-ar","tag-programa-de-concienciacion-es-ar","tag-reporting-en-tiempo-real-es-ar"],"acf":[],"yoast_head":" \n\u00bfPor qu\u00e9 los CISO no entregan ese reporte hoy?<\/h2>\n
\u00bfQu\u00e9 cambia cuando el CISO formula la pregunta en lenguaje natural?<\/h2>\n
\u00bfQu\u00e9 condiciones t\u00e9cnicas debe cumplir un agente de IA para servir al comit\u00e9?<\/h2>\n
\n
\u00bfQu\u00e9 madurez tiene hoy la conversaci\u00f3n entre el CISO y el comit\u00e9?<\/h2>\n
\n