El valor oculto detrás de los indicadores

Por: Mariano Quintana – Cybersecurity Training and Awareness Leader

En resumen: La tasa de clics es una métrica útil, pero insuficiente para representar la cultura de ciberseguridad de una organización. Su valor está en mostrar una reacción puntual frente a una simulación determinada. El problema aparece cuando se transforma en el principal indicador de madurez. Para un responsable de ciberseguridad, la conversación debería ir más allá del clic y enfocarse en cómo las personas detectan, reportan y responden frente a situaciones de riesgo que pueden afectar al negocio.

Una métrica simple para un problema complejo

La tasa de clics se convirtió, con el tiempo, en una de las métricas más utilizadas para evaluar campañas de phishing. La razón es bastante simple: es fácil de entender, fácil de medir y fácil de mostrar. Se ejecuta una simulación, se obtiene un porcentaje y ese resultado suele utilizarse para explicar si la organización mejoró o empeoró respecto de campañas anteriores.

El problema no está en la métrica. El problema está en todo lo que pretendemos explicar a partir de ella. Una persona puede no hacer clic porque identificó correctamente un ataque. Pero también puede no hacerlo porque no abrió el correo, porque no le interesó el mensaje o porque reconoció que se trataba de una simulación.

Desde el punto de vista estadístico, todos esos comportamientos terminan dentro del mismo resultado. Desde el punto de vista del riesgo, representan situaciones completamente diferentes. Ahí empieza la discusión, en donde aparecen los siguientes interrogantes:

No hacer clic no es lo mismo que estar preparado

Cuando una organización obtiene una tasa de clics baja, la lectura inmediata suele ser positiva. Sin embargo, ese número por sí solo no permite afirmar que exista una mejora real en la cultura de ciberseguridad.

Una persona que detecta un mensaje sospechoso y lo reporta está generando valor para la organización. Está aportando información que puede permitir identificar una campaña, bloquear infraestructura maliciosa o advertir a otros usuarios antes de que el ataque avance. Otra persona puede simplemente eliminar el mensaje y continuar trabajando.

Las dos evitaron el clic. Pero solamente una de ellas generó una acción que puede reducir el impacto sobre el resto de la organización.

Esta diferencia es especialmente relevante cuando pensamos el problema desde la perspectiva de un CISO.

El objetivo de un programa de Awareness no debería ser únicamente reducir interacciones con mensajes maliciosos. También debería contribuir a mejorar la capacidad de detección temprana y respuesta frente a amenazas que dependen del comportamiento humano.

El riesgo aparece cuando el indicador se convierte en objetivo

Las métricas tienen una característica particular: aquello que medimos suele terminar condicionando aquello que intentamos mejorar. Si el principal indicador del programa es la tasa de clics, gran parte de los esfuerzos comenzarán naturalmente a orientarse a reducir ese número. Esto puede producir buenos resultados en el tablero sin necesariamente representar una mejora equivalente en la capacidad real de la organización.

Las personas pueden aprender a reconocer patrones de las simulaciones internas, identificar determinados formatos de correo o familiarizarse con los tipos de mensajes utilizados durante las campañas.

El porcentaje mejora. Pero un ataque real no necesariamente utilizará esas mismas señales. Entonces ahí el desafío pasa a ser tomar una buena decisión frente a una situación que parece completamente normal. La tasa de clics puede mostrar exposición frente a un escenario determinado, pero necesita contexto.

La cultura no debería medirse con una única reacción

La cultura de ciberseguridad es una construcción mucho más amplia. Incluye conocimiento, percepción del riesgo, confianza para reportar, comportamiento frente a situaciones inesperadas y capacidad para actuar cuando las prioridades del negocio entran en tensión con las recomendaciones de seguridad.

Reducir todo eso a una tasa de clics simplifica demasiado el problema.

Y esa simplificación puede llevar a conclusiones equivocadas.

Una organización puede mejorar sus resultados en simulaciones y, al mismo tiempo, mantener dificultades para reportar incidentes, validar solicitudes sensibles o escalar situaciones que requieren intervención del equipo de seguridad.

Por eso, el clic debería entenderse como una señal más dentro de un sistema de medición. No como el sistema completo.