Puntuación de riesgo humano: cómo medir el riesgo de seguridad que generan las personas
Guía práctica para construir una puntuación de riesgo humano: qué señales usar, cómo ponderarlas y cómo convertir el riesgo de la plantilla en una métrica que el consejo pueda leer.
Los equipos de seguridad pueden recitar de memoria el tiempo de aplicación de parches, la cobertura del EDR y la puntuación CVSS de cada vulnerabilidad pendiente. Pero si les pregunta cuánto riesgo hay sentado en el cuarto puesto de la fila de finanzas, la mayoría no tiene un número. Y eso que el Data Breach Investigations Report 2026 de Verizon (DBIR) sitúa el elemento humano en el 62 % de las brechas.
La puntuación de riesgo humano existe precisamente para corregir ese desequilibrio: un único número, actualizado de forma continua, que hace por las personas lo que el CVSS hace por el software. Vuelve el riesgo comparable, rastreable y accionable. En esta guía vemos qué debe entrar en la puntuación, cómo se construye una que resista el contacto con la realidad y qué errores convierten una métrica útil en un adorno.
Por qué poner un número al riesgo humano
Hay tres motivos, por orden de importancia.
Priorización. Ningún equipo de seguridad puede acompañar a todo el mundo uno a uno. El estudio publicado en IEEE S&P 2025, con 19.500 empleados, mostró que la formación anual impartida a todos a la vez apenas cambia el comportamiento. Lo que funciona es la intervención dirigida y a tiempo. Y para dirigirla tiene que saber a quién; eso es lo que le dice la puntuación.
Comunicación. El consejo no lee informes de clics de phishing; lee líneas de tendencia. Una puntuación que baja de 68 a 41 en dos trimestres es una historia que el CISO puede contar en una sola diapositiva, y convierte la concienciación de una partida de gasto en un programa de reducción de riesgo medido. Es también el argumento central de nuestro análisis sobre el retorno de la inversión en concienciación.
Estrategia. Gartner prevé que, para 2027, la mitad de los CISO de grandes empresas habrán adoptado prácticas de diseño de seguridad centradas en las personas. El NIST SP 800-50r1 define la concienciación no como un evento anual, sino como un programa continuo y medido. Ambas tendencias presuponen la medición. Un programa centrado en las personas no se gestiona a ojo.
Una puntuación de riesgo humano no es una nota que pone a su plantilla. Es un sistema de priorización que entrega a su equipo de seguridad.
Qué debe contener la puntuación
Una puntuación defendible combina dos dimensiones: el comportamiento (lo que la gente hace realmente) y la exposición (lo que pasa si se equivoca). Un empleado que pulsa cualquier señuelo pero no tiene acceso a nada sensible es un problema menor que un administrador de dominio que hace clic de vez en cuando.
| Tipo de señal | Entradas de ejemplo | Por qué importa |
|---|---|---|
| Comportamiento en simulaciones | Tasa de fallo y de notificación en simulaciones de phishing, tiempo hasta la notificación | Comportamiento observado directamente en condiciones realistas |
| Comportamiento real | Phishing real notificado, incidentes de malware, infracciones de políticas | La realidad confirma lo que la simulación predice |
| Higiene de credenciales | Reutilización de contraseñas, aparición en filtraciones, uso de MFA | Las credenciales son la puerta favorita del atacante |
| Participación en la formación | Finalización, antigüedad, resultados de pruebas de conocimiento | Débil por sí sola, significativa junto a las demás |
| Exposición y privilegios | Derechos de administrador, facultad de autorizar pagos, acceso a datos, perfil público | Convierte la probabilidad en impacto posible |
| Ser objetivo | Número y sofisticación de los ataques reales que llegan a la persona | Los atacantes ya ejecutan sus propios modelos de selección de objetivos |
Dos notas de diseño sobre esta tabla. Primera: la dificultad importa. Hacer clic en un señuelo burdo no es la misma señal que hacerlo en un correo de phishing dirigido impecable. La NIST Phish Scale se desarrolló precisamente para graduar lo difícil que es detectar cada correo de phishing; pondere los fallos (y las notificaciones) con ese grado. Segunda: notificar es una señal positiva y debe reducir el riesgo de forma visible. Un equipo que hace clic de vez en cuando pero notifica en pocos minutos es operativamente más seguro que uno que nunca hace clic pero nunca notifica, porque la notificación es lo que da a su equipo de seguridad la oportunidad de detener los mensajes que superan el filtro.
Cómo construir una puntuación en cinco pasos
1. Defina la unidad y la escala. Puntúe a las personas, pero actúe a nivel agregado: equipo, departamento, sede. Una escala de 0 a 100 con bandas con nombre es mucho más fácil de explicar que unas probabilidades en bruto. Decida desde el principio si una puntuación alta significa más riesgo y no lo cambie nunca.
2. Empiece con las señales que ya tiene. La mayoría de las organizaciones puede calcular una primera versión solo con los resultados de la simulación de phishing, los registros de formación, el registro de MFA y la vigilancia de filtraciones. No espere a tener una telemetría perfecta. Una puntuación honesta con cuatro señales vale más que una diapositiva de hoja de ruta que promete catorce.
3. Pondere el comportamiento por encima de la actitud, y lo reciente por encima de lo antiguo. Las acciones observadas (hizo clic, notificó, reutilizó la contraseña) deben pesar más que las respuestas a encuestas. Aplique un peso que decaiga con el tiempo: el efecto de la formación se debilita en pocos meses, así que un error de la semana pasada debe pesar mucho más que uno del año pasado. Las mejoras también deben verse lo bastante rápido para que la plantilla sienta que su esfuerzo cuenta.
4. Calibre contra la realidad. La puntuación es una predicción; pruébela como tal. ¿Los usuarios con puntuación alta se corresponden de verdad con más incidentes, más detecciones de malware y más intentos reales de phishing contra ellos? Si al cabo de unos trimestres el tramo superior de la puntuación no explica una parte desproporcionada de los incidentes reales, revise los pesos. Eso es lo que separa un modelo de riesgo de una métrica de escaparate.
5. Vincule la puntuación a la intervención, no a la sanción. El resultado de la puntuación debe ser una acción: los usuarios cuyo riesgo sube pasan automáticamente a simulaciones más frecuentes y difíciles y a formaciones breves y dirigidas; para los usuarios en nivel crítico con accesos privilegiados se endurecen las políticas de acceso condicional. Lo que nunca debe activar es un procedimiento disciplinario. En cuanto la puntuación se usa para castigar, la plantilla deja de notificar, la calidad de sus datos se hunde y la puntuación empieza a mentirle.
Un método publicado como ejemplo: los pesos de NOUSEC
Explicar el método es fácil; publicar los pesos requiere valor. Por eso publicamos abiertamente cómo se calcula nuestra propia puntuación. El NOUSEC Human Risk Score va de 0 a 100 y se compone de siete componentes:
| Componente | Peso | Fuente |
|---|---|---|
| Comportamiento ante el phishing | 30 % | Respuestas a simulaciones en 8 canales |
| Disciplina formativa | 25 % | Finalización y participación en microformación |
| Endpoint y análisis de amenazas | 15 % | Señales de las herramientas de seguridad integradas |
| Higiene de identidad | 10 % | Integración con el directorio (MFA, contraseñas, cuentas) |
| Protección de datos | 10 % | Señales de las herramientas DLP |
| Exposición en la dark web | 10 % | Bases de datos de filtraciones y rastreo de la dark web |
| Contribución por notificar | −10 % | Notificaciones de mensajes sospechosos; el único componente que reduce la puntuación |
Las bandas son: Campeón 0–25, Aprendiz 26–50, En riesgo 51–74 y Crítico 75–100.
Errores que hunden los programas de puntuación
La trampa de la señal única: una puntuación basada solo en la tasa de clics puede moverse 30 puntos por una única plantilla con buena o mala suerte. La trampa de la caja negra: una puntuación que nadie sabe explicar se derrumba con la primera objeción; toda puntuación que se muestre a un empleado debe poder desglosarse en sus componentes cuando lo pida. La trampa de la clasificación: publicar un ranking de «los empleados más peligrosos» convierte una herramienta de seguridad en un problema de clima laboral. Comparta las tendencias por equipo de forma amplia y el detalle individual con un círculo reducido.
La privacidad tiene que ser parte del diseño, no una nota añadida al final. En la Unión Europea eso significa, en el marco del RGPD, informar a la plantilla de qué se mide y con qué finalidad, limitar los datos a esa finalidad, implicar desde el principio a la asesoría jurídica y al delegado de protección de datos, y no hacer de la puntuación la única base de decisiones automatizadas. La postura más defendible coincide con la regla anterior: la puntuación se vincula a la intervención, no a la sanción.
Cómo presentar la puntuación al consejo
El consejo hace las mismas tres preguntas en cada reunión, y una puntuación bien construida las responde las tres en una sola página.
«¿Dónde estamos hoy?» Una única puntuación actual para toda la organización y un desglose por departamento que muestre dónde se concentra el riesgo. En la mayoría de las organizaciones la concentración aparece donde cabría esperar: equipos de finanzas con facultad de pago, asistentes de dirección, nuevas incorporaciones. No basta con mostrar el número; muestre también qué componente lo hace subir.
«¿Estamos mejorando?» Una línea de tendencia mes a mes. Aquí lo importante es informar del resultado, no de la actividad. «Este trimestre se han completado 4.000 formaciones» es una frase de actividad; «la puntuación de finanzas ha bajado de la banda En riesgo a la banda Aprendiz» es una frase de resultado. El consejo pregunta por la segunda.
«¿Cómo estamos frente a los demás?» La comparación sectorial. Use aquí solo datos de referencia con fuente, edición y año conocidos; una «media del sector» sin fuente que la respalde le costará la credibilidad a la primera pregunta.
Una última recomendación: asocie cada cambio de la puntuación a una acción. «La puntuación subió, a ese equipo se le asignaron esta simulación y esta formación, y dos meses después estaba aquí» presenta el riesgo humano como una partida de riesgo gestionable.
De la puntuación al programa
La puntuación de riesgo humano es el tejido conectivo de un programa de gestión del riesgo humano: los datos de las simulaciones y de la vida real alimentan la puntuación, la puntuación dirige la formación adaptativa y los controles, y el cambio de comportamiento resultante vuelve a reflejarse en la puntuación. Cuando ese ciclo funciona de forma continua, obtiene lo que los programas de concienciación estáticos nunca pudieron dar: una respuesta que se puede presentar al consejo y contrastar con los hechos a la pregunta «¿está bajando nuestro riesgo humano?».
Si quiere ver el comportamiento en las simulaciones, la higiene de credenciales y las señales de formación en una sola puntuación calculada de forma continua, el NOUSEC Human Risk Score está diseñado exactamente para eso.
Preguntas frecuentes
¿Qué es una puntuación de riesgo humano?
Una puntuación de riesgo humano es una métrica única, actualizada de forma continua, que expresa la probabilidad de que una persona, un equipo o una organización provoque un incidente de seguridad. Combina señales de comportamiento, como los resultados de las simulaciones de phishing, la tasa de notificación, la higiene de credenciales y la participación en la formación, con factores de exposición como los privilegios de acceso y la frecuencia con la que alguien es objetivo de ataques. Así el equipo de seguridad puede priorizar el riesgo humano igual que prioriza las vulnerabilidades.
¿Qué señales deben alimentar la puntuación?
Empiece por señales objetivas que pueda medir una y otra vez: tasas de fallo y de notificación en las simulaciones, notificaciones de phishing real, credenciales aparecidas en filtraciones, uso de MFA y finalización y antigüedad de la formación. Después añada la exposición: accesos privilegiados, funciones de cara al exterior y la frecuencia real con la que la persona es atacada. Las respuestas a encuestas son la entrada más débil y nunca deberían dominar la puntuación.
¿Es compatible con el RGPD puntuar a los empleados?
Normalmente sí, si se diseña bien, pero debe diseñarse junto con su asesoría jurídica y su delegado de protección de datos. En una puntuación con fines de seguridad hay que informar con claridad a la plantilla de qué se mide, limitar los datos a esa finalidad y evitar que la puntuación sea la única base de decisiones automatizadas en contra del empleado. Úsela para apoyar y formar, no para sancionar: es más defendible jurídicamente y protege la cultura de notificación que necesita.
¿Con qué frecuencia debe actualizarse la puntuación de riesgo humano?
De forma continua, en la medida en que sus datos lo permitan. La investigación muestra que el efecto de la formación se debilita en pocos meses, y a quién atacan los adversarios cambia de una semana a otra. Una puntuación que se actualiza cada trimestre es un boletín de notas; una puntuación continua es una métrica operativa con la que activar formación adaptativa en cuanto el riesgo sube.
NOUSEC simula ataques en 8 canales y convierte los resultados en una cifra que su consejo puede leer.
Solicitar una demo