Un proveedor te propone ejecutar una simulación de phishing y te pide una autorización firmada por la gerencia antes de enviar el primer correo. Puede parecer trámite innecesario, sobre todo cuando el área de TI ya dio el visto bueno.
No lo es. Una simulación de phishing sin autorización formal expone a la empresa, al proveedor y a quien la encargó. Esta guía explica por qué y qué debe contener ese documento.
Qué es realmente una simulación de phishing
Es un ejercicio en el que se envía correo engañoso a los colaboradores de una organización, se registra su comportamiento y, en muchos casos, se les presenta un formulario que imita una pantalla de acceso legítima.
Descrito así, sin contexto, se parece bastante a un ataque. La diferencia entre un ejercicio legítimo y una conducta cuestionable es exactamente una cosa: la autorización previa de quien tiene facultad para darla.
Las cuatro razones
1. Protege a la empresa frente a su propio personal
Durante el ejercicio se registra el comportamiento individual de trabajadores. Si después alguien cuestiona que fue objeto de una prueba encubierta, la organización necesita poder demostrar que existió una decisión formal, con finalidad legítima y alcance definido.
Sin ese documento, la conversación se vuelve incómoda y difícil de sostener.
2. Es la base de licitud del tratamiento de datos
El ejercicio procesa datos personales: quién abrió, quién hizo clic, quién completó el formulario. Bajo la LOPDP, ese tratamiento necesita una base que lo sustente y una finalidad declarada.
La autorización formal es el documento donde consta que la organización, como responsable del tratamiento, definió esa finalidad y ese alcance. Lo tratamos con más detalle en dónde quedan los datos de una simulación.
3. Protege al proveedor
Quien ejecuta el ejercicio está enviando correo engañoso a personas que no lo esperan. Sin un mandato escrito de la organización, esa actividad es difícil de justificar ante cualquier revisión.
Un proveedor serio no ejecuta sin ese documento, y esa exigencia debería leerse como señal de profesionalismo, no como obstáculo.
4. Es evidencia de gobierno para la auditoría
Si el ejercicio se hace para cumplir un estándar de gestión, el auditor va a pedir evidencia de que fue una actividad planificada y aprobada, no una iniciativa suelta del área técnica.
La autorización firmada es esa evidencia. Lo desarrollamos en simulación de phishing para cumplir ISO 27001.
Quién debe firmarla
No basta con el área de TI. Quien firma debe tener facultad para comprometer a la organización en una decisión que afecta a su personal:
| Perfil | ¿Puede autorizar? |
|---|---|
| Gerencia general o dirección | Sí, es lo más sólido |
| Gerencia del área que financia el ejercicio | Sí, con alcance definido |
| Representante legal | Sí |
| Jefatura de TI | Coordina, pero no suele bastar por sí sola |
| Técnico o analista | No |
Cuando existe un comité de seguridad de la información o un responsable de protección de datos, conviene que también estén informados.
Qué debe contener el documento
Este documento se conoce habitualmente como reglas de acuerdo o reglas de engagement. Sus elementos mínimos:
- Identificación de las partes. Organización que autoriza y proveedor que ejecuta.
- Finalidad. Concienciación en seguridad de la información. Explícitamente no evaluación del desempeño.
- Alcance. Cuántas personas, qué áreas, qué canales. Si es solo correo, decirlo.
- Ventana de ejecución. Fechas de inicio y fin.
- Qué se va a medir. Apertura, clic, entrega de credenciales, reporte.
- Qué NO se hace. No se almacenan contraseñas reales, no se accede a sistemas, no se extrae información de la organización.
- Temas excluidos. Asuntos que no se usarán como señuelo, por ejemplo nómina o desvinculaciones si así se decide.
- Tratamiento de datos. Dónde se alojan, cuánto se conservan, quién accede.
- Uso de los resultados. Formativo, no disciplinario.
- Confidencialidad. Compromiso de ambas partes.
- Punto de contacto. A quién avisar si algo se sale de lo previsto.
- Firmas y fecha.
La cláusula que más se olvida
El uso de los resultados. Si el documento no dice explícitamente que el ejercicio es formativo y no disciplinario, queda abierta la puerta a que los datos se usen para sancionar.
Y ahí se destruye el programa: en el ejercicio siguiente nadie va a interactuar con nada, no porque hayan aprendido a detectar phishing sino porque aprendieron a temerle a la prueba. La medición pierde todo valor.
Qué temas conviene excluir
Algunas organizaciones definen asuntos que no se usarán como señuelo, y es una decisión razonable:
| Tema | Por qué excluirlo |
|---|---|
| Desvinculaciones o reducción de personal | Genera angustia real y daña la confianza |
| Bonos, aumentos o nómina | Alta tasa de clic pero deja resentimiento |
| Emergencias médicas o familiares | Cruzan una línea ética |
| Suplantación de personas concretas del equipo | Puede afectar relaciones internas |
Excluirlos no debilita el ejercicio. Los vectores realmente representativos son los sistemas que el equipo usa a diario, no los golpes emocionales.
El círculo de quienes saben
Para que la prueba mida comportamiento real, debe ser ciega para la mayoría. El grupo que conoce el ejercicio debería limitarse a quien autoriza, el interlocutor designado y quien hace la configuración técnica.
Ese compromiso de discreción conviene dejarlo escrito en el mismo documento de autorización.
Preguntas frecuentes
¿Puedo autorizarlo yo si soy el jefe de TI?
Puedes coordinarlo técnicamente, pero la autorización de un ejercicio que involucra al personal de toda la organización suele requerir una firma con mayor alcance: gerencia, dirección o representante legal. Conviene revisarlo según cómo estén definidas las facultades en tu organización.
¿Hay que avisar al personal de que existe el documento?
No antes del ejercicio, porque dejaría de ser una prueba ciega. Después sí es buena práctica comunicar que la actividad fue autorizada formalmente, con qué finalidad y bajo qué compromisos. Esa transparencia posterior es lo que convierte el ejercicio en una actividad de mejora y no en una trampa.
¿El proveedor debe firmar también?
Sí. El documento compromete a ambas partes: la organización autoriza y define el alcance, el proveedor se compromete a no exceder ese alcance, a no almacenar contraseñas reales y a tratar la información de forma confidencial. Un documento firmado por una sola parte protege a la mitad.
¿Sirve una autorización por correo electrónico?
Es mejor que nada, pero para efectos de auditoría y de respaldo conviene un documento formal firmado, con el alcance detallado. Un correo que dice “adelante con la prueba” no define qué se autorizó exactamente, y ese detalle es justo lo que protege a todos si alguien cuestiona el ejercicio.
Artículos relacionados
- Dónde quedan los datos de una simulación de phishing
- Prueba ciega o anunciada: cuál mide de verdad
- Simulación de phishing para cumplir ISO 27001
Ciberseguridad para empresas
¿Necesitas medir la exposición real de tu equipo?
Ejecutamos simulaciones controladas con autorización formal, escenarios por área e informes ejecutivo y técnico. Sin almacenar contraseñas reales y con evidencia lista para auditoría.
Solicitar propuesta
Ver servicios
proyectos@bluenova.com.ec · +593 96 949 8704 · Quito, Ecuador
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.