El informe del ejercicio de acceso humano

Publicar listas nominales de colaboradores que hicieron clic o introdujeron credenciales (el llamado «muro de la vergüenza») es una práctica destructiva y contraproducente.

El informe debe presentar estadísticas agregadas por departamentos, niveles jerárquicos o franjas horarias. Humillar a los usuarios fomenta el miedo, provoca que oculten errores y desincentiva que notifiquen incidentes reales en el futuro por temor a represalias laborales.

La conclusión principal de una evaluación humana nunca debe ser simplemente «hace falta más capacitación para los usuarios». El ser humano siempre cometerá errores bajo fatiga o estrés.

El informe debe enfatizar la implementación de salvaguardas técnicas que neutralicen el impacto del fallo humano: principalmente la adopción de autenticación resistente al phishing basada en estándares FIDO2/WebAuthn (llaves de seguridad de hardware) y políticas de acceso condicional que verifiquen el estado de cumplimiento del dispositivo.

Cuando un usuario introduce sus datos en una página de prueba aprobada, la mejor respuesta no es mantenerlo en la incertidumbre ni aplicar sanciones administrativas.

El flujo debe redirigir a una pantalla formativa breve que felicite al colaborador por su disposición, le explique con capturas de pantalla cuáles eran las discrepancias del mensaje (dirección del remitente, URL del enlace) y le refuerce cómo utilizar el botón de reporte al SOC en el futuro.