04 Las conclusiones
La base está
construida.
Ocho de cada diez decisiones fueron correctas. Los adolescentes de
Tucumán reconocen el enlace falso, la aplicación que pide de más y el
archivo que no es lo que dice: la base de conciencia digital está
construida. El margen para crecer está en qué hacer una vez que el ataque
ya ocurrió —las dos escenas más bajas—, y ahí es donde apunta el contenido
para las aulas.
Hay una segunda conclusión, para quien mide programas de concientización:
este estudio deja lo que casi nunca existe. La norma ISO/IEC
27001 espera tres evidencias de concientización.
Evidencia 01
Plan
Qué se va a enseñar, a quiénes y con qué frecuencia.
Se documenta
Evidencia 02
Registros
Quiénes asistieron, cuándo y a qué instancia.
Se documenta
Evidencia 03
Evaluación
Qué decidió cada persona cuando el ataque apareció.
100 mediciones
Las dos primeras se resuelven con papeles. La tercera es la que casi
nunca aparece: un programa de concienciación suele poder demostrar que
la capacitación se dictó, pero no que funcionó.
Cada partida de Carrera Hacker deja una medición individual de conducta
frente a cinco escenarios de amenaza. No es una lista de asistencia ni
una encuesta de satisfacción: es evidencia objetiva de decisión, del
tipo que se busca en una auditoría.
A.8.19Software en sistemas operativos
La red
Instalación de aplicaciones desde fuentes no confiables y permisos excesivos.
A.8.23+ A.6.3 · Filtrado web
Los datos
Suplantación de sitios legítimos y entrega de datos personales.
A.5.25+ A.5.26 · Respuesta a incidentes
La cuenta intervenida
Evaluación y respuesta ante un incidente ya en curso.
A.8.7+ A.8.19 · Código malicioso
El archivo
Código malicioso distribuido como contenido legítimo.
A.5.17Información de autenticación
El código
Protección de las credenciales frente a ingeniería social.
Cada escena, contra el control del Anexo A que entrena
Alcance de este documento. Es un informe de impacto, no un informe
de auditoría: no evalúa un sistema de gestión de seguridad de la
información ni certifica conformidad con la norma. La referencia a los
controles del Anexo A indica qué conducta entrena cada escena y con qué
control se corresponde, para organizaciones que quieran incorporar la
actividad a su programa de concienciación.
AESIT
