Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
El marco definitivo para elegir un proveedor de riesgo humano con servicios administrados
El marco definitivo para elegir un proveedor de riesgo humano con servicios administrados
Escrito por: Nadine Rozell
Publicado: 23/12/25
Última actualización: 21/9/2026
Las organizaciones enfrentan un desafío enorme: los empleados siguen siendo la forma más fácil para que un hacker entre. Sin embargo, gestionar este "riesgo humano" requiere experiencia y tiempo que la mayoría de los equipos de TI simplemente no tiene. Los proveedores de gestión del riesgo humano que ofrecen servicios administrados pueden ayudar a cerrar esa brecha. Combinan herramientas de capacitación y phishing diseñadas específicamente con un equipo de especialistas que se encarga del trabajo pesado: diseñar el programa, ejecutar simulaciones de phishing, asignar capacitación de seguimiento e interpretar los resultados.
Este marco guía a los líderes de TI y seguridad en la selección del socio adecuado, evaluando los modelos de precios, cómo se integra la plataforma con tu stack existente y cuánta gestión realmente ofrece el proveedor.
Puntos clave
- Los servicios de riesgo humano administrados combinan tecnología de security awareness training con soporte experto para el diseño del programa, simulaciones de phishing, capacitación dirigida, informes y mejora continua.
- El proveedor adecuado debe reducir la carga de trabajo, no solo brindar otro panel más para que tu equipo de TI o seguridad gestione.
- Compara cuidadosamente los modelos de precios, incluyendo por usuario, por licencia de usuario, por niveles, basado en uso y suscripciones administradas todo incluido.
- Los informes a nivel de departamento y de rol ayudan a los equipos de seguridad a encontrar focos de riesgo que los promedios de toda la organización pueden ocultar.
- Las asignaciones de capacitación basadas en políticas conectan un comportamiento riesgoso, como fallar una simulación de phishing, con una lección de seguimiento relevante o un flujo de coaching.
- Las integraciones con Microsoft 365, Google Workspace, Detección y respuesta para endpoints (EDR), identidad y herramientas de automatización de servicios profesionales (PSA) pueden reducir el trabajo manual y mejorar el contexto del riesgo.
Entendiendo el riesgo humano y los servicios administrados
"Riesgo humano" es solo una manera elegante de decir que las personas cometen errores. Un solo clic en un enlace de phishing o una contraseña débil puede comprometer toda una red. De hecho, el Informe de Investigaciones de Violación de Datos (DBIR) 2025 de Verizon encontró que un asombroso 60% de las violaciones involucra un elemento humano.
Cuando gran parte de la exposición proviene del comportamiento diario de los usuarios, tiene sentido que las organizaciones deleguen el trabajo pesado a un socio que ejecute security awareness training y gestión del riesgo humano como un servicio continuo y reduzca activamente el riesgo humano con el tiempo. Los proveedores de riesgo humano con servicios administrados externalizan el trabajo pesado. En lugar de que tu equipo interno de TI pase horas creando un currículo y persiguiendo usuarios, un experto externo se encarga del diseño del programa, lo ejecuta regularmente y proporciona informes y recomendaciones.
Esto importa porque las tácticas de los atacantes y las expectativas de cumplimiento normativo cambian más rápido de lo que un programa de concientización improvisado y de medio tiempo puede seguir el ritmo. Con campañas de phishing sofisticadas dirigidas a trabajadores remotos y marcos de cumplimiento normativo como HIPAA que exigen pruebas de capacitación, necesitas un socio, no solo una herramienta.
Define las necesidades de tu organización
Antes de mirar siquiera a un proveedor, necesitas saber en qué punto estás. Realiza una evaluación de riesgos interna para encontrar tus brechas en concientización de seguridad y obligaciones normativas.
- Factores de cumplimiento normativo: Si trabajas en el sector salud, necesitas capacitación que cumpla con HIPAA. Si manejas tarjetas de crédito, necesitas alinearte con PCI DSS.
- Tamaño y estructura del equipo: Una práctica dental de 50 personas tiene necesidades distintas a una firma financiera de 500. ¿Necesitas gestión multiinquilino (si eres un MSP)? ¿Necesitas opciones de marca blanca?
- Cultura actual: ¿Cómo maneja tu equipo los correos sospechosos ahora? ¿Los reportan o los ignoran?
Documenta tus "elementos imprescindibles". Esta lista se convierte en tu tabla de puntuación para evitar que te distraigas con funciones llamativas e innecesarias durante la demostración de ventas.
Cómo elegir los marcos de gestión de riesgos adecuados
Marcos como NIST e ISO no son solo para controles técnicos; también guían cómo gestionas el riesgo humano. NIST 800-53 proporciona la base para los controles de seguridad y privacidad, incluyendo el requisito de capacitar a los usuarios sobre los riesgos. El estándar ISO 27001 exige evidencia clara de concientización en seguridad de la información.
Al elegir un proveedor de riesgo humano, debes buscar un socio que alinee su contenido con estos marcos. Huntress Security Awareness Training, por ejemplo, está diseñado para ayudarte a cumplir con estos requisitos de control específicos, asegurando que tu capacitación no sea solo "buen consejo", sino que esté lista para auditorías.
Estableciendo categorías de riesgo para tus usuarios
No todos los usuarios son iguales. Un proceso inteligente de selección de proveedores implica buscar plataformas que te ayuden a categorizar el riesgo del usuario, no solo el riesgo organizacional genérico. Necesitas una plataforma agéntica que pueda segmentar a tus usuarios:
- Alto riesgo (VAP): Estas son tus "personas muy atacadas". Piensa en ejecutivos de alto nivel, directores financieros con autoridad para transferencias bancarias y administradores de TI con acceso de dominio. Necesitan capacitación más frecuente y dirigida.
- Usuarios generales: Personal estándar que necesita higiene cibernética básica.
- Infractores reincidentes: Usuarios que fallan consistentemente las simulaciones de phishing.
Explorando modelos de precios
Los precios en el mercado de la gestión del riesgo humano están por todas partes. Aquí te explicamos cómo analizarlos para que no te estafen.
Modelo de precios | Lo bueno | Lo malo | Ideal para |
Todo incluido y administrado | El mejor valor. Incluye la plataforma, el contenido y la gestión experta en una sola tarifa fija. Sin cargos ocultos. | Costo inicial más alto que una herramienta básica. | Proveedores de servicios administrados y equipos que quieren resultados sin la carga de trabajo. |
Por usuario / por mes | Simple y predecible. Los costos escalan de forma lineal a medida que contratas a más personas. | Puede volverse costoso para grandes empresas (más de 10 mil usuarios). | Negocios en crecimiento con una nómina estable. |
Según el uso | Solo pagas por lo que usas (por ejemplo, por cada correo de phishing enviado). | Evita esto. Te penaliza económicamente por capacitar a tu equipo. | Nadie. En serio, no lo hagas. |
Por niveles | Precio de entrada bajo para funciones básicas. | Las funciones esenciales (como los informes) suelen estar bloqueadas detrás de actualizaciones costosas. | Equipos que solo necesitan "cumplir con un requisito" de cumplimiento normativo. |
La conclusión: busca transparencia. No quieres que te sorprendan con cargos por "contenido premium" o "costos de configuración".
Capacidades de integración
Tu plataforma de SAT no puede ser una isla. Necesita comunicarse con el resto de tu stack. Una integración eficaz elimina la entrada manual de datos y te ayuda a automatizar tu respuesta al riesgo. Busca estas conexiones específicas:
- Proveedores de identidad (Microsoft 365 / Google): Esto no es negociable. La plataforma debe sincronizar usuarios automáticamente. Cuando RR. HH. contrata a alguien, esa persona debería aparecer automáticamente en tu portal de capacitación.
- Detección de endpoints: ¿Puede la plataforma comunicarse con tu solución de detección y respuesta para endpoints (EDR)? Si el equipo de un usuario se infecta, ¿puede el sistema asignarle automáticamente capacitación correctiva?
- PSA / tickets: Si eres uno de los proveedores de servicios administrados (MSP), ¿la plataforma envía los datos de los informes directamente a tu sistema de tickets para que puedas mostrar valor a tus clientes?
Soporte para asignaciones de capacitación basadas en políticas
La forma antigua de capacitar era "asignarle a todos el mismo video una vez al año". La nueva forma es la automatización basada en políticas.
Esto significa que el sistema activa la capacitación según el comportamiento.
- Activador: un usuario hace clic en un enlace dentro de una simulación de phishing.
- Política: se asigna automáticamente la micro-lección "Cómo identificar enlaces de phishing".
Esto reduce el trabajo manual de tu equipo de TI y aumenta la responsabilidad. Crea un vínculo directo entre una acción riesgosa y la solución. Busca proveedores que te permitan crear estos flujos de trabajo de tipo "si-entonces" con facilidad. Huntress administra este plan de estudios por ti, creando una ruta de aprendizaje que evoluciona según el panorama de amenazas actual.
Automatización de evaluaciones de riesgo y monitoreo continuo
Necesitas pasar de evaluaciones puntuales a un monitoreo continuo. Una buena plataforma administrada no solo evalúa a los usuarios una vez por trimestre; rastrea su comportamiento de forma constante. Debe actuar como un radar, escaneando permanentemente en busca de:
- Participación: ¿quién está ignorando su capacitación?
- Vulnerabilidad: ¿quién está cayendo en las plantillas de phishing más recientes?
- Reportes: ¿quién está reportando activamente correos sospechosos a TI?
Esto genera un "puntaje de riesgo del usuario". En lugar de una sensación vaga de que "Dave de Contabilidad no es cuidadoso", tienes un dato concreto: "Dave tiene un puntaje de riesgo de 90/100".
Cómo evaluar las funciones de reportes de los proveedores
Si no puedes demostrarlo, es como si no hubiera pasado. Los reportes son la única forma de salir bien parado de una auditoría o una reunión de directorio. Los reportes de tu proveedor deben ser dos cosas: visuales y exportables.
- Paneles visuales: necesitas ver de un vistazo la postura de riesgo de tu organización. ¿Están bajando las tasas de clics? ¿Está aumentando la cantidad de reportes?
- Exportaciones de cumplimiento normativo: necesitas reportes que satisfagan a los auditores para SOC 2, HIPAA o renovaciones de seguros.
Busca plataformas que te permitan programar estos reportes. Deberías poder recibir un resumen ejecutivo mensual directo en tu bandeja de entrada de forma automática, que muestre el retorno de inversión de tu programa de seguridad.
Cómo construir relaciones colaborativas
Por último, deja de pensar en esto como la compra de un software. Estás contratando a un socio. No deberías tener que enviar un ticket para iniciar cada campaña de phishing. El proveedor debe ser proactivo y ofrecer contenido nuevo que se ajuste a las noticias más recientes (como la estafa de una nueva temporada de impuestos) sin que tengas que pedirlo.
Huntress actúa como un verdadero socio, seleccionando el contenido y administrando la plataforma para que puedas enfocarte en dirigir tu negocio.
Preguntas frecuentes sobre proveedores de gestión del riesgo humano
Un servicio administrado de gestión del riesgo humano combina una plataforma de security awareness training o de riesgo humano con el apoyo continuo de especialistas en ciberseguridad. Según el proveedor, el servicio puede incluir el diseño del programa, simulaciones de phishing, asignación de capacitaciones, programación de campañas, comunicaciones a los usuarios, reportes y recomendaciones para reducir el riesgo.
La diferencia clave con el security awareness training basado solo en software es quién hace el trabajo. Con un servicio administrado, el proveedor ayuda a ejecutar y mejorar el programa, en lugar de dejar que tu equipo de TI o seguridad tenga que crear cada campaña, interpretar cada resultado y dar seguimiento a cada usuario.
Los proveedores de servicios administrados suelen ayudar con:
- Evaluar las prioridades de riesgo humano y los requisitos de cumplimiento normativo de tu organización
- Crear un programa de security awareness training y simulación de phishing
- Asignar capacitación según el rol, el departamento, el comportamiento o el nivel de riesgo
- Revisar los resultados de las campañas e identificar usuarios o grupos de alto riesgo
- Actualizar el contenido a medida que cambian las tácticas de los atacantes
- Generar reportes para líderes de TI, ejecutivos, auditores o clientes
- Recomendar los próximos pasos para mejorar el comportamiento de seguridad con el tiempo
El alcance del servicio varía. Pregunta si el proveedor ejecuta el programa por ti o si solo brinda soporte técnico para una plataforma autogestionada.
Busca proveedores que ofrezcan algo más que acceso a una biblioteca de capacitación o un simulador de phishing. Un verdadero servicio administrado debe incluir la operación de campañas, el seguimiento de usuarios, reportes y mejora continua.
Huntress Managed Security Awareness Training es una experiencia guiada por un socio que combina contenido de security awareness training y simulaciones de phishing con gestión experta, donde su equipo de investigadores de seguridad crea programas de capacitación para ti según las amenazas actuales, para que tú no tengas que hacerlo. Antes de elegir a cualquier proveedor, pide una descripción clara de lo que maneja el proveedor, con qué frecuencia reporta los resultados y qué responsabilidades siguen a cargo de tu equipo.
Un puntaje de riesgo humano es una métrica que estima la probabilidad de que un usuario, grupo u organización pueda contribuir a un incidente de seguridad. Según la plataforma, puede incluir resultados de simulación de phishing, participación en capacitaciones, comportamiento de reporte, higiene de contraseñas, señales de políticas u otro contexto de seguridad.
Los proveedores de servicios administrados deben usar los puntajes como señales de priorización, no como etiquetas para castigar. El siguiente paso útil es conectar un resultado de alto riesgo con capacitación dirigida, coaching, un cambio de política u otra intervención medible.
Las asignaciones de capacitación basadas en políticas usan reglas para conectar automáticamente un comportamiento o atributo del usuario con una acción de aprendizaje específica. Por ejemplo, una plataforma podría asignar una lección sobre phishing después de que un usuario haga clic en un enlace malicioso simulado, o asignar capacitación adicional a un grupo de alto riesgo.
Busca soporte para reglas basadas en:
- Resultados de simulación de phishing
- Estado de incorporación
- Estado de finalización o vencimiento de la capacitación
Pregunta si el proveedor te permite crear tú mismo estos flujos de trabajo si-entonces, si los ofrece como parte de un servicio administrado, o si requiere servicios personalizados.
Los modelos de precios comunes incluyen suscripciones por usuario o por licencia de usuario, planes escalonados, precios según el uso y suscripciones administradas todo incluido. La unidad facturable puede ser un usuario, una licencia de usuario, un endpoint, una organización o un usuario activo, por lo que los precios son difíciles de comparar sin pedirles a los proveedores que definan exactamente qué incluyen.
Para una comparación útil, pregunta sobre:
- Cantidades mínimas de licencias de usuario o usuarios
- Usuarios inactivos, estacionales y invitados
- Simulaciones de phishing y contenido de capacitación incluidos
- Integraciones y funciones de reportes
- Costos de implementación o configuración
- Horas y entregables del servicio administrado
- Términos de soporte, renovación y cambio de precio
El precio de software más bajo podría no ser el costo total más bajo si tu equipo todavía tiene que crear campañas, dar seguimiento a los usuarios, analizar resultados y mantener el programa.
Como mínimo, evalúa las integraciones con tu proveedor de identidad, suite de productividad, herramientas de seguridad para endpoints, herramientas de GRC y plataforma de tickets o PSA. Ejemplos comunes incluyen Microsoft 365, Google Workspace, Detección y respuesta para endpoints (EDR), detección y respuesta de amenazas de identidad (ITDR), y herramientas de PSA o tickets.
Confirma si cada integración puede sincronizar usuarios y grupos, importar señales de seguridad o comportamiento, activar asignaciones de capacitación, crear tickets, o si solo admite reportes. Una plataforma que se conecta con Microsoft 365 podría no incluir automáticamente la telemetría de EDR ni flujos de trabajo de respuesta automatizados.
Una plataforma sólida incluye simulaciones de phishing o puede sincronizar los resultados de las simulaciones con los flujos de trabajo de capacitación y reportes. Cuando un usuario falla una simulación, la plataforma debería poder registrar el evento, asignar la capacitación de seguimiento correspondiente y mostrar si el comportamiento mejora con el tiempo.
Pregunta si las simulaciones de phishing son nativas de la plataforma, si los resultados actualizan los puntajes de riesgo, y si el coaching de seguimiento es automático o requiere administración manual.
Mira más allá de las tasas de finalización de la capacitación. Las métricas útiles pueden incluir la resiliencia ante phishing, la tasa de reporte de mensajes sospechosos, las fallas repetidas, el tiempo para completar la capacitación de seguimiento, las tendencias a nivel de departamento, y los cambios de riesgo entre los usuarios de alto valor o frecuentemente atacados.
Los reportes más útiles conectan un comportamiento con una intervención y luego muestran si esa intervención funcionó. Un proveedor administrado debería ayudar a explicar esos resultados y recomendar los siguientes pasos.
El security awareness training (SAT) es una parte de la gestión del riesgo humano. El SAT enseña y refuerza conocimientos y comportamientos específicos, como reconocer el phishing, reportar mensajes sospechosos, proteger credenciales y usar la autenticación multifactor (MFA). La gestión del riesgo humano es la estrategia más amplia para reducir el riesgo en las personas, los procesos y la tecnología. Va más allá de administrar la capacitación e interpretar resultados: incluye intervención en tiempo real, cambios de política, medición del riesgo y cambio de comportamientos al combinar el SAT con señales de comportamiento, priorización de riesgos, controles de identidad y correo electrónico, flujos de trabajo de respuesta a incidentes, coaching según el rol, y reportes que muestran si los comportamientos riesgosos están cambiando.
El software puede ser la opción adecuada para equipos con tiempo y experiencia para ejecutar el programa ellos mismos. Un servicio administrado es más adecuado para organizaciones que quieren una reducción medible del riesgo sin agregar administración de campañas a un equipo de TI o seguridad que ya está ocupado.
