Simulacros de phishing con ética y consentimiento

Un simulacro de phishing mide qué haría una persona frente a un engaño y, sobre todo, enseña en el momento en que el error cuesta poco. Para que funcione hay una condición: la gente tiene que seguir confiando en el área de seguridad. Un simulacro que juega con el miedo a perder el empleo, que castiga o que expone a quien cae, enseña otra cosa: que seguridad es una amenaza y que lo mejor es no hablar con ella. Dejan de reportar y la medición queda inservible.

Por eso un programa serio fija sus reglas por escrito antes de la primera campaña, las aprueba el comité y las aplica a todas por igual. Las del programa de Costanera están en SELECT * FROM reglas_del_programa.

El señuelo es el pretexto del correo. Los atacantes reales usan sin escrúpulo la presión económica y el miedo, y un simulacro que los imita se parece a un abuso: quien recibe una falsa promesa de dinero o una falsa amenaza de despido la vive como real durante unos minutos, y lo recuerda. Las reglas de Costanera lo prohíben expresamente para ciertos temas. Lee el borrador en SELECT * FROM campana_propuesta y compáralo con las reglas.

La única consecuencia razonable de un clic en un simulacro es aprender algo en ese mismo momento, con una explicación corta. Una sanción, una carta en la hoja de vida o repetir un curso completo convierte la prueba en un examen disciplinario y premia justo lo contrario de lo que el programa busca: ocultar, no reportar, no preguntar.

Una campaña cumple todas las reglas o no sale. Para decidir qué devolver al equipo, primero se cuenta cuántas incumple y cuáles, no solo las dos que saltan a la vista. Recorre el borrador completo: cada fila de campana_propuesta toca, o no toca, una de las ocho reglas.

Los resultados con nombre unen a una persona con una conducta, y eso es un dato personal. En Colombia la Ley 1581 de 2012 sobre protección de datos personales pide, entre sus principios (artículo 4), que el tratamiento obedezca a una finalidad legítima que se informe a la persona, y que su circulación sea restringida. Si un simulacro con resultados individuales es lícito en tu empresa y con qué aviso, no lo decide el equipo de seguridad: se consulta con el área jurídica y con Talento Humano antes de la primera campaña. Esto es formación, no asesoría legal.