¿Qué es la gestión del riesgo humano? Guía práctica para equipos de seguridad

Los cortafuegos, las soluciones EDR y las pasarelas de correo mejoran cada año. Los atacantes han respondido rodeándolos. El Verizon 2026 Data Breach Investigations Report indica que en el 62 % de las brechas hay un elemento humano: alguien hizo clic, alguien fue engañado, alguien reutilizó la misma contraseña. Eso no lo resuelve solo la tecnología, y tampoco un vídeo de cumplimiento que se ve una vez al año.

La gestión del riesgo humano (en inglés, human risk management o HRM) es la disciplina que aplica a las personas el enfoque que los equipos de seguridad ya aplican a la infraestructura: trata a la plantilla como una superficie de ataque que se puede medir, puntuar y reforzar, con datos y de forma continua.

El problema del enfoque tradicional de concienciación

La mayoría de las organizaciones sigue gestionando la concienciación en ciberseguridad como hace diez años: un módulo de formación al año, una prueba de phishing cada trimestre y un informe de finalización para el auditor. Tres problemas estructurales hacen ineficaz ese modelo:

1. Mide la actividad, no el resultado. La tasa de finalización dice quién vio un vídeo; no dice quién enviará mañana una transferencia a un estafador.
2. Prueba un solo canal. Los atacantes pasaron hace años a la voz, el SMS, los códigos QR y la voz con deepfake. Según el Global Threat Report de CrowdStrike, los ataques de vishing crecieron un 442 % entre el primer y el segundo semestre de 2024. Un programa que solo prueba el correo no ve gran parte de la superficie de ataque actual.
3. No produce una señal de riesgo. Una tasa de clics medida como aprobado o suspenso no se puede comparar entre departamentos, no se puede seguir en el tiempo y no se puede presentar al consejo junto a los demás indicadores de riesgo.

Además hay un problema de contenido: la investigación muestra que la formación anual de cumplimiento, por sí sola, no cambia el comportamiento. Un estudio de ocho meses con más de 19.500 empleados de UC San Diego Health, publicado en el IEEE Symposium on Security & Privacy de 2025 (Ho et al.), no encontró una relación significativa entre haber completado recientemente la formación anual y fallar una simulación de phishing. Tratamos con qué frecuencia conviene formar en otro artículo.

Qué significa en la práctica la gestión del riesgo humano

La gestión del riesgo humano cierra esa brecha con un ciclo continuo. Es el mismo ciclo que ya usa su programa de gestión de vulnerabilidades, aplicado a las personas:

1. Simular ataques reales en todos los canales

En lugar de enviar a todo el mundo el mismo correo de plantilla, se ejecutan simulaciones realistas, en momentos aleatorios, por los canales que usan de verdad los atacantes: phishing por correo, smishing, vishing, llamadas con voz deepfake, señuelos por WhatsApp, códigos QR, cebos con memorias USB y fraude de devolución de llamada. Los informes de ENISA sobre el panorama de amenazas sitúan la ingeniería social entre las principales amenazas en Europa, porque cambia de canal más deprisa de lo que se adapta la defensa.

2. Medir cómo se comporta realmente la gente

Cada simulación genera datos de comportamiento: quién interactuó, quién lo ignoró, quién lo notificó. La métrica que más importa es la notificación. Los empleados que notifican rápido un contacto sospechoso dejan de ser una vulnerabilidad y se convierten en una red de detección.

3. Convertir el riesgo en una sola cifra

Los datos se reúnen en un Human Risk Score por empleado, departamento y organización. Esa cifra única es lo que hace gestionable el riesgo humano: se puede seguir en el tiempo, comparar y presentar a la dirección junto al cumplimiento de parches y la cobertura de endpoints. NOUSEC publica la metodología de esa puntuación: siete componentes, el peso de cada uno y la notificación como el único componente que la reduce.

4. Formar solo donde los datos lo indican

La microformación adaptativa llega a quien la necesita, en el canal en el que falla y en el momento del error, no a toda la empresa según un calendario arbitrario. Así se mantienen bajos los minutos dedicados a formación y alto el cambio de comportamiento.

El cambio, en una frase: los programas de concienciación cuentan quién terminó la formación; la gestión del riesgo humano mide quién caerá en el próximo ataque real, y lo corrige.

Para saber si un programa funciona conviene mirar tasas publicadas. El informe Phishing by Industry Benchmarking 2026 de KnowBe4 (42 millones de simulaciones enviadas a 14,8 millones de usuarios en 64.000 organizaciones) indica que las organizaciones sin formación parten de una tasa de propensión al phishing del 33,2 %, que baja al 20,1 % tras 90 días de formación y simulación combinadas y al 4,2 % tras doce meses. Son datos de los propios clientes de un proveedor, pero plantean la pregunta correcta: no puede saber si mejora algo que no mide.

Formación en concienciación y gestión del riesgo humano, lado a lado

No compiten entre sí: la gestión del riesgo humano coloca la formación en concienciación dentro de un ciclo de datos. La diferencia se ve mejor en la pregunta que responde cada una:

La fila más importante es la de la pregunta central. La tasa de finalización puede ser del cien por cien y la organización seguir sin estar preparada para la próxima llamada de vishing. La gestión del riesgo humano hace medible esa distancia: muestra qué departamento falla en qué canal, si el hábito de notificar se ha asentado y si la formación ha cambiado de verdad el comportamiento.

Esa medición también hace honesta la propia formación. Cuando puede ver si un módulo reduce la tasa de clics, puede abandonar el contenido que no funciona y dedicar recursos al que sí. En un programa que solo puede decir «se impartió la formación», esa distinción es imposible.

Por qué importa más en 2026

La IA generativa ha eliminado el último rozamiento de la ingeniería social. El informe de Verizon de 2026 señala que el actor de amenazas mediano usa ya la IA en 15 técnicas de ataque documentadas. Deloitte prevé que las pérdidas por fraude con deepfake alcancen los 40.000 millones de dólares en 2027; es una proyección, no una medición. Señuelos impecables en cualquier idioma, voces de directivos clonadas y campañas multicanal automatizadas significan que la época de «buscar la falta de ortografía» ha terminado. Un correo de phishing en un español perfecto ya no es una rareza.

Los reguladores también suben el listón. ISO/IEC 27001 trata la concienciación y la formación (cláusula 7.3 y control 6.3 del anexo A) como parte del sistema de gestión. En la UE, el artículo 21(2)(g) de NIS2 incluye la ciberhigiene y la formación en ciberseguridad entre las medidas mínimas obligatorias, y el artículo 13(6) de DORA convierte la concienciación en un módulo obligatorio para las entidades financieras; lo explicamos en riesgo humano en servicios financieros. Todos esperan una formación demostrable y basada en el riesgo, y «basada en el riesgo» es justamente lo que un certificado de finalización no puede demostrar. Marcos como NIST SP 800-50r1 orientan también a las organizaciones hacia resultados de programa medibles.

Una advertencia sobre datos personales: los datos de simulación y de puntuación son datos de los empleados. Al diseñar el programa, valore con su DPD la información previa a la plantilla, la proporcionalidad y la limitación del acceso a esos datos.

Cómo poner en marcha un programa de gestión del riesgo humano

No hace falta hacerlo todo a la vez. Un comienzo práctico es este:

1. Mida una línea de base en silencio. Para obtener una puntuación inicial honesta, lance la primera oleada de simulación multicanal sin anunciarla.
2. Puntúe y agrupe. Identifique los departamentos y funciones de mayor riesgo. Los equipos financieros y los asistentes de dirección suelen encabezar la lista en pretextos e intentos con deepfake.
3. Arregle primero la notificación. Convierta «notificar» en un clic y reconozca de forma visible a quien notifica. La tasa de notificación mejora antes que la de clics y rinde en los incidentes reales. Nuestro artículo sobre cultura de notificación desarrolla este paso.
4. Automatice el ciclo. Deje atrás las campañas puntuales y pase a un muestreo continuo, de modo que el Human Risk Score se convierta en una métrica mensual estable.
5. Informe hacia arriba. Ponga la puntuación en el mismo panel que sus otros indicadores de riesgo. Cuando el consejo ve bajar el riesgo humano, el programa defiende solo su presupuesto.

Dónde encaja NOUSEC

NOUSEC se construyó exactamente para este ciclo: ejecuta simulaciones de phishing en 8 canales, voz con deepfake incluida, mide el comportamiento real de la plantilla, asigna formación adaptativa en concienciación a quien falla y reúne los resultados en un único Human Risk Score que su consejo puede leer. Si quiere ver cómo sería la puntuación de su organización, solicite una demo.