Existen herramientas gratuitas para montar una simulación de phishing. Tu equipo de TI es capaz de instalarlas. Entonces la pregunta es legítima: ¿para qué pagar por un ejercicio que podrías hacer internamente?
La respuesta no es que no puedan. Es que el valor del ejercicio no está en enviar los correos. Esta guía explica dónde está realmente, y en qué casos sí conviene hacerlo interno.
Lo que la herramienta resuelve, y lo que no
Montar la plataforma es la parte fácil y la que menos determina el resultado:
| Componente | ¿Lo resuelve la herramienta? |
|---|---|
| Enviar correos y registrar clics | Sí |
| Diseñar escenarios creíbles por área | No |
| Configurar la entrega para que no caigan en spam | No |
| Definir el marco de autorización | No |
| Manejar los datos conforme a la LOPDP | No |
| Interpretar resultados y recomendar acciones | No |
| Producir evidencia auditable | Parcialmente |
| Mantener independencia del ejercicio | No |
De ocho componentes, la herramienta cubre uno. Los otros siete dependen de método y experiencia.
Los cinco problemas del ejercicio interno
1. El problema del juez y parte
Es el más importante y el menos evidente. Si el área de TI diseña, ejecuta y reporta el ejercicio, está evaluando la eficacia de las medidas que ella misma implementó.
No hay mala fe: es un conflicto estructural. Y para efectos de auditoría, un resultado producido por el área evaluada tiene menos peso que uno de un tercero independiente.
2. El sesgo del diseño
Quien conoce a fondo cómo funciona la organización tiende a construir escenarios demasiado obvios o demasiado rebuscados. Un ejercicio interno suele producir un resultado que confirma lo que el equipo ya suponía, en vez de revelar lo que no sabía.
3. La complejidad técnica de la entrega
Enviar el correo es fácil. Lograr que llegue a la bandeja de entrada y no al filtro de spam requiere configurar autenticación de dominio, permisos de entrega controlados y reputación de envío.
Un ejercicio donde la mitad de los correos terminó filtrada no mide nada, y peor: produce una tasa de clic artificialmente baja que da falsa tranquilidad.
4. El manejo de datos personales
El ejercicio procesa datos de comportamiento de los colaboradores. Eso exige definir finalidad, base de licitud, plazo de conservación y control de acceso. Montado a la ligera en un servidor interno, sin esas definiciones, se crea un riesgo de cumplimiento donde antes no lo había.
Lo tratamos en dónde quedan los datos de una simulación.
5. El costo oculto del tiempo
El montaje, el diseño de escenarios, la configuración de entrega, la ejecución por oleadas, el análisis y la redacción de dos informes suman más horas de las que se estiman al inicio. Y son horas de perfiles técnicos que tienen otras prioridades.
Dónde está el valor de un tercero
- Independencia. El resultado no lo produce el área evaluada. Es lo que le da peso ante auditoría y ante gerencia.
- Escenarios probados. Un proveedor que ejecuta ejercicios en varias organizaciones sabe qué vectores funcionan y con qué nivel de sofisticación.
- Entrega resuelta. Autenticación de dominio y coordinación de permisos son trabajo rutinario para quien lo hace seguido.
- Marco de cumplimiento. Autorización formal, contrato de encargo de tratamiento, compromiso de no almacenar contraseñas.
- Interpretación. Traducir los números a acciones concretas por área, que es donde el ejercicio genera valor real.
- Comparabilidad. Una metodología consistente permite comparar entre ciclos.
Cuándo sí conviene hacerlo interno
Para ser justos, hay escenarios donde tiene sentido:
| Escenario | Por qué funciona |
|---|---|
| Tienes un equipo de seguridad dedicado, separado de TI | Existe independencia interna real |
| Ejercicios de refuerzo entre ciclos formales | Complementan, no reemplazan la medición oficial |
| Organización muy pequeña con presupuesto acotado | Algo es mejor que nada |
| Práctica formativa anunciada | El objetivo es enseñar, no medir |
El modelo mixto suele ser el más eficiente: el ejercicio formal anual o semestral con un tercero, que produce la evidencia auditable, y ejercicios internos de refuerzo entre medio.
Si decides hacerlo internamente
Cuatro condiciones mínimas para que el resultado sirva:
- Autorización formal de la dirección, igual que con un tercero. No es opcional por ser interno.
- Separación de roles. Que quien diseña y reporta no sea quien administra los controles evaluados.
- Definición del tratamiento de datos antes de empezar: dónde se alojan, cuánto se conservan, quién accede, sin contraseñas reales.
- Prueba de entrega previa. Verificar con un grupo pequeño que los correos llegan a la bandeja de entrada antes de lanzar el ejercicio completo.
Sin la cuarta, el riesgo de invalidar todo el ejercicio es alto.
La pregunta que ordena la decisión
No es “¿podemos hacerlo?”. Es “¿para qué necesitamos el resultado?”.
Si es para practicar internamente y crear conciencia, un ejercicio propio bien hecho cumple. Si es para presentar evidencia ante una auditoría, justificar una inversión ante gerencia o tener una medición que puedas defender, la independencia del ejercicio deja de ser un lujo.
Preguntas frecuentes
¿Las herramientas gratuitas son menos capaces?
No necesariamente. Existen plataformas de código abierto con capacidad técnica equivalente a soluciones comerciales, y de hecho son estándar en la industria. La diferencia no está en la herramienta sino en el método: diseño de escenarios, configuración de entrega, marco de cumplimiento e interpretación de resultados.
¿Un auditor acepta un ejercicio hecho internamente?
Puede aceptarlo como evidencia de actividad, sobre todo si existe separación de funciones y documentación completa. Lo que suele cuestionar es la independencia cuando el mismo equipo que administra los controles diseña y reporta la evaluación. Conviene consultar el criterio específico de tu organismo certificador.
¿Cuánto tiempo toma montar un ejercicio interno?
El montaje técnico puede resolverse en días, pero el diseño de escenarios verosímiles, la configuración de entrega, la ejecución por oleadas y la elaboración de informes suman bastante más. La mayoría de equipos subestima especialmente la parte de análisis y redacción, que es donde está el valor.
¿Puedo empezar interno y después contratar?
Sí, y es una progresión razonable. Un ejercicio interno inicial ayuda a entender la dinámica y a preparar a la organización. Cuando llega el momento de tener evidencia auditable o de medir con independencia, se contrata el ejercicio formal. La experiencia previa hace que la coordinación sea más rápida.
Artículos relacionados
- Simulación de phishing para cumplir ISO 27001
- Qué necesita tu equipo de TI para ejecutar una simulación de phishing
- Prueba ciega o anunciada: cuál mide de verdad
Ciberseguridad para empresas
¿Necesitas medir la exposición real de tu equipo?
Ejecutamos simulaciones controladas con autorización formal, escenarios por área e informes ejecutivo y técnico. Sin almacenar contraseñas reales y con evidencia lista para auditoría.
Solicitar propuesta
Ver servicios
proyectos@bluenova.com.ec · +593 96 949 8704 · Quito, Ecuador
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.