Muchas organizaciones ejecutan una simulación de phishing al año porque es lo que pide la auditoría. Cumple, es defendible y tiene sentido presupuestario. Pero deja una pregunta abierta: ¿qué pasa los otros once meses?
Esta guía compara las tres frecuencias, explica qué logra cada una y da criterios para elegir según tu organización.
Lo que mide cada frecuencia
| Frecuencia | Qué logra | Qué no logra |
|---|---|---|
| Anual | Cumple el requisito, mide un punto en el tiempo | No detecta el deterioro entre ciclos |
| Semestral | Verifica si la capacitación se sostuvo | Ciclo aún largo para alta rotación |
| Trimestral | Construye hábito, mejora medible | Requiere renovar escenarios constantemente |
El problema del ejercicio anual
No es que esté mal: es que mide una foto y la trata como si fuera una película. En doce meses pasan tres cosas que la foto no captura:
- Entra personal nuevo. Alguien que se incorporó en marzo llega al ejercicio de noviembre sin haber recibido nunca la capacitación.
- El efecto se diluye. La atención que genera un ejercicio dura semanas, no meses. Al noveno mes, el aprendizaje se relajó.
- Las técnicas cambian. Los vectores de ataque que funcionan hoy no son los de hace un año.
El resultado típico: cada ejercicio anual arranca casi desde cero, y la mejora entre años es menor de lo que debería.
Qué gana la frecuencia trimestral
La diferencia no es tener cuatro mediciones en vez de una. Es un cambio cualitativo:
- El personal nuevo entra al ciclo rápido. Como máximo espera tres meses.
- Se sostiene la atención. Saber que puede llegar un ejercicio en cualquier momento genera un hábito de verificación.
- Se puede segmentar. Un trimestre para toda la organización, el siguiente enfocado en el área más expuesta.
- La mejora se vuelve visible. Cuatro puntos de datos muestran una tendencia; uno no muestra nada.
El costo es mayor, pero no proporcional: la infraestructura y la coordinación ya están montadas, así que cada ejercicio adicional cuesta menos que el primero.
Cómo elegir según tu organización
| Si tu organización… | Frecuencia sugerida |
|---|---|
| Es estable, poca rotación, primer ejercicio | Anual para empezar |
| Tuvo un incidente reciente | Trimestral el primer año |
| Tiene rotación de personal alta | Trimestral |
| Maneja datos sensibles o dinero | Trimestral |
| Opera en sector regulado | Semestral como mínimo |
| Obtuvo más de 30% de clic | Trimestral hasta bajar el indicador |
| Ya está por debajo del 10% de forma sostenida | Semestral basta para mantener |
Esa última fila es importante y poco intuitiva: una vez que la organización alcanzó un buen nivel, la frecuencia puede bajar. El programa no tiene que ser intenso para siempre.
El modelo que mejor funciona
En la práctica, muchas organizaciones terminan en un esquema escalonado que se ajusta al resultado en vez de fijar una frecuencia rígida:
- Primer ejercicio completo. Establece la línea base con varios escenarios y todas las áreas.
- Acción según el resultado. Capacitación general, dirigida o refuerzo puntual.
- Ejercicio de verificación a los tres meses. Confirma si la acción funcionó.
- Ajuste de la cadencia. Si mejoró, se espacia a semestral. Si no, se mantiene trimestral con foco en lo que falló.
- Ejercicio de personal nuevo. Un envío acotado a quienes se incorporaron desde el último ciclo.
Ese quinto punto resuelve el problema más común del esquema anual y cuesta muy poco, porque involucra a pocas personas.
Lo que hay que renovar cada vez
Repetir el mismo ejercicio pierde valor rápido. En cada ciclo conviene cambiar:
- Los escenarios. Correos distintos, remitentes distintos, pretextos distintos.
- El momento. Distinta hora, distinto día de la semana.
- La dificultad. Subir el nivel conforme el equipo mejora.
- El vector. Si un ciclo fue correo corporativo, el siguiente puede simular un proveedor externo.
Si los escenarios se repiten, lo que mides es memoria del ejercicio anterior, no capacidad de detección.
El error de convertirlo en rutina predecible
Hay un riesgo en la frecuencia alta: si el ejercicio siempre llega el primer lunes del trimestre, deja de medir. La gente lo anticipa.
Por eso la programación debe ser irregular dentro del periodo. La organización sabe que habrá un ejercicio ese trimestre; nadie sabe qué día ni con qué pretexto.
Preguntas frecuentes
¿Cuatro ejercicios al año cansan al personal?
Si se manejan bien, no. Cada persona interactúa con un correo y, si cae, recibe una página educativa de treinta segundos. El desgaste aparece cuando los resultados se usan de forma punitiva o cuando la comunicación posterior tiene tono de reproche. Con enfoque formativo, la mayoría lo toma con naturalidad.
¿Conviene avisar que habrá ejercicios durante el año?
Comunicar que la organización realiza ejercicios periódicos de concienciación es buena práctica y no invalida la medición, siempre que no se anuncie la fecha ni el contenido. De hecho ayuda: instala la idea de verificar antes de hacer clic, que es exactamente el hábito que se busca.
¿Cuánto más cuesta pasar de anual a trimestral?
Menos de lo que sugiere multiplicar por cuatro. El montaje inicial, la coordinación técnica y la definición del alcance se hacen una sola vez; los ejercicios siguientes aprovechan esa base. Lo que se suma en cada ciclo es el diseño de escenarios nuevos y el análisis de resultados.
¿Y si solo tengo presupuesto para uno al año?
Uno bien hecho vale más que ninguno, y cumple el requisito de auditoría. Para aprovecharlo mejor: úsalo como línea base, ejecuta una acción concreta con los resultados y agrega un envío acotado al personal que ingrese durante el año, que cuesta muy poco y cierra el hueco más grande del esquema anual.
Artículos relacionados
- Simulación de phishing para cumplir ISO 27001
- Cómo leer los resultados de una simulación de phishing
- Prueba ciega o anunciada: cuál mide de verdad
Ciberseguridad para empresas
¿Necesitas medir la exposición real de tu equipo?
Ejecutamos simulaciones controladas con autorización formal, escenarios por área e informes ejecutivo y técnico. Sin almacenar contraseñas reales y con evidencia lista para auditoría.
Solicitar propuesta
Ver servicios
proyectos@bluenova.com.ec · +593 96 949 8704 · Quito, Ecuador
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.