Concientización que se mide: dejar de contar clics y empezar a reducir riesgo

Las campañas de simulación de phishing se miden tradicionalmente por el porcentaje de personas que hacen clic en el enlace. Ese número es fácil de obtener y engañoso como objetivo: castiga a la plantilla sin mejorar la capacidad de detección.

Indicadores que sí reflejan madurez

• Tasa de reporte. Qué proporción de destinatarios reporta el mensaje por el canal correcto.
• Tiempo hasta el primer reporte. Es el indicador que más correlaciona con la contención real de una campaña.
• Ratio reporte contra clic. Un ratio creciente indica que la organización está aprendiendo.
• Reincidencia. Si las mismas personas fallan de forma repetida, el problema puede ser de proceso, no de conocimiento.

Diseño de la campaña

Los escenarios deben reflejar procesos reales de la organización: confirmación de pagos, cambios de datos bancarios, solicitudes de recursos humanos, notificaciones de sistemas. Un escenario abstracto enseña a detectar un formato; un escenario propio enseña a desconfiar de una situación.

El refuerzo importa más que el ejercicio

Un simulacro sin retroalimentación inmediata solo genera incomodidad. La persona que hizo clic debe recibir, en el momento, una explicación breve de qué señal pasó por alto y cómo reportar la próxima vez. El ejercicio es el inicio de la conversación, no el final del proceso.