Caso de Éxito Kymatio: Cómo GAM Soluciones aumentó la detección de phishing un 70%

Para cumplir eficazmente con las directivas NIS2 y DORA en 2025 y 2026, las organizaciones deben realizar una transición crítica: pasar de una seguridad reactiva a una gestión del riesgo humano proactiva. Este caso de éxito de Kymatio analiza cómo GAM Soluciones, líder multinacional en el sector de maquinaria industrial, logró aumentar su capacidad de detección de phishing en un 70% y transformar su fuerza laboral en un activo de defensa sincronizado con sus controles técnicos.

En el panorama actual de ciberseguridad en España y Europa, tratar el riesgo digital como un problema puramente tecnológico ya no es una estrategia viable. Bajo el nuevo marco normativo, la alta dirección es ahora responsable personal de la ciber-resiliencia de la entidad. Esta realidad plantea una pregunta estratégica para cualquier CISO o directivo de RRHH: ¿Cómo afecta la NIS2 a la gestión de los empleados? La respuesta reside en convertir la concienciación en un activo estratégico medible que aporte evidencias tangibles de diligencia debida ante auditores y reguladores.

GAM Soluciones identificó que obtener un alto ROSI en concienciación de ciberseguridad requiere un enfoque basado en datos. En el sector industrial, donde la convergencia entre la tecnología operativa (OT) e IT es total, la tecnología por sí sola no garantiza la resiliencia. Al implementar Kymatio, GAM evolucionó hacia un modelo de "Firewalls Humanos", integrando a sus 1.200 empleados distribuidos en múltiples países con su Centro de Operaciones de Seguridad (SOC). Utilizar un Masterplan de Phishing Simulation: segmentación, métricas y ROSI permitió demostrar que el comportamiento humano, cuando se gestiona correctamente, es el componente más crítico de la resiliencia institucional.

El reto inicial: Gestionar el riesgo del factor humano en una multinacional industrial

El desafío principal de GAM Soluciones consistía en eliminar la brecha de visibilidad sobre 1.200 empleados en un entorno industrial altamente complejo y geográficamente disperso. Antes de la intervención detallada en este caso de éxito de Kymatio, la organización lidiaba con datos de riesgo fragmentados y una carga operativa insostenible para el equipo de IT, que gestionaba la concienciación de forma manual y carecía de métricas procesables.

La brecha de visibilidad en entornos distribuidos

Gestionar el riesgo del factor humano en el sector industrial presenta dificultades únicas debido a la distribución de las delegaciones y la coexistencia de perfiles con niveles de alfabetización digital muy diversos. Para GAM Soluciones, el problema central era monitorizar los niveles de vulnerabilidad en tiempo real en 75 delegaciones de forma simultánea. Sin un panel de control centralizado, identificar qué departamentos eran más susceptibles a la ingeniería social era casi imposible, lo que impedía responder a una necesidad regulatoria clave: ¿Qué herramientas necesito para evaluar el riesgo humano digital?

Esta falta de visibilidad representa un riesgo legal bajo la NIS2. Según el informe ENISA Threat Landscape 2025, el sector industrial es uno de los más afectados por incidentes de origen cibercriminal, con un 60% de ataques motivados financieramente. Para GAM, este escenario se agravaba por la aparición de tendencias de phishing avanzado: IA-phishing, QRishing y más, ante las cuales los programas de formación tradicionales no ofrecían un retorno medible ni mejoraban la capacidad de detección.

La carga operativa del entrenamiento manual

Antes de la automatización, los procesos de concienciación manuales generaban una fricción administrativa constante que bloqueaba al departamento de IT. Este enfoque "artesanal" creaba cuellos de botella críticos:

• Incapacidad de escalado: Intentar educar a 1.200 usuarios en diferentes países manualmente resultaba en una formación genérica e infrecuente que no lograba cambiar hábitos.
• Fragmentación de datos: Las métricas de riesgo se guardaban en hojas de cálculo aisladas, impidiendo que el Consejo de Administración tuviera una visión unificada de la postura de seguridad.
• Postura reactiva: Los recursos técnicos se perdían en el seguimiento administrativo en lugar de dedicarse a la caza proactiva de amenazas (threat hunting).

La compañía concluyó que la ciberseguridad industrial requiere resiliencia automatizada. Necesitaban una estrategia capaz de aportar evidencias de reducción de riesgo en tiempo real, liberando al personal técnico para tareas de mayor valor añadido.

La Estrategia: Implementación de Gestión del Riesgo Humano (HRM) adaptativa

La estrategia se centró en maximizar la concienciación de ciberseguridad y el ROSI mediante la automatización de todo el ciclo de vida del riesgo humano. Al evolucionar hacia un modelo de "Defensa Activa", GAM logró sincronizar el comportamiento de los empleados con las alertas técnicas del SOC, gestionando a toda su plantilla sin necesidad de ampliar el equipo de IT.

Para lograr esta transformación, el caso de éxito de Kymatio destaca un proceso de tres fases diseñado para cambiar la cultura organizacional:

1. Evaluación Continua del Riesgo: En lugar de encuestas anuales, la plataforma realiza evaluaciones constantes para identificar el perfil de riesgo psicofisiológico de cada empleado.
2. Simulaciones Adaptativas: Los empleados reciben formación y ejercicios de simulación personalizados según sus vulnerabilidades reales. Esta metodología sigue las mejores prácticas de nuestra guía completa de simulación de ataques & Security Awareness 2025.
3. Mitigación en Tiempo Real: El enfoque cambia del "no hagas clic" al "detecta y reporta", convirtiendo a la plantilla en una extensión del equipo de seguridad.

Sincronización con el SOC: Del empleado al firewall humano

El hito fundamental en este caso fue la alineación del factor humano con las operaciones técnicas. Cuando un empleado reporta un correo sospechoso, ese dato se vuelve instantáneamente valioso para el Centro de Operaciones de Seguridad (SOC). Este bucle de reporte proactivo permite a la organización bloquear dominios maliciosos y neutralizar amenazas antes de que escalen a brechas de seguridad graves.

Este enfoque coincide con los estándares de la publicación NIST Special Publication 800-50 Revision 1, que subraya que los programas modernos deben centrarse en el cambio de comportamiento y la gestión del riesgo más que en la simple entrega de información.

Gestión Automatizada: Escalar sin aumentar la plantilla

Para una multinacional con 1.200 usuarios y 22.000 máquinas, los procesos manuales limitan la escalabilidad. GAM utilizó la plataforma SaaS de Kymatio para automatizar la programación, entrega y reporte de todas las simulaciones. Esta automatización garantizó:

• Consistencia en todas las regiones geográficas y departamentos.
• Liberación del personal de IT, que pudo enfocarse en proyectos estratégicos de infraestructura.
• Reportes automatizados para la alta dirección, mostrando el ROSI tangible y el progreso en cumplimiento normativo.

Resultados y Métricas: El impacto real en el ROSI de concienciación ciberseguridad

Los resultados de esta historia de éxito demuestran que una estrategia HRM basada en datos ofrece un ROSI en concienciación de ciberseguridad masivo. La organización logró un incremento del 70% en la detección de amenazas reportadas por empleados, probando que la resiliencia humana puede ser optimizada y auditada.

Transformación medible: Convirtiendo la vulnerabilidad en inteligencia

El cambio más significativo en este caso de éxito de Kymatio fue la transición de la fuerza laboral: de ser un objetivo pasivo a convertirse en una red de "firewalls humanos". Al implementar rutas de aprendizaje personalizadas, GAM Soluciones no solo bajó su riesgo, sino que obtuvo una nueva fuente de inteligencia de amenazas.

Las métricas demuestran un impacto profundo en la capacidad de detección de phishing proactiva:

• Aumento del 70% en la detección: Los empleados reportan ahora 7 de cada 10 correos maliciosos directamente al equipo de seguridad, reduciendo drásticamente el tiempo de permanencia (dwell time) de las amenazas.
• Reducción del 50% en la carga de IT: Al automatizar el ciclo de vida de la concienciación, el departamento técnico recuperó la mitad del tiempo que antes dedicaba a la administración manual.
• Mejora del 60% en la visibilidad: La alta dirección dispone ahora de cuadros de mando que cuantifican el riesgo humano por departamento y región.

Calculando el ROSI en un entorno regulado

Para las empresas bajo NIS2 y DORA, el ROSI (Retorno de la Inversión en Seguridad) no trata solo de evitar costes de brechas; trata de demostrar una defensa proactiva ante los reguladores. Al mejorar la detección en un 70%, GAM redujo significativamente su superficie de ataque sin aumentar costes de personal.

Como destaca Gartner en sus investigaciones sobre diseño de seguridad centrado en el humano, el futuro de la ciberseguridad reside en empoderar al usuario. Juan José Rodríguez, CIO de GAM, resumió el valor estratégico con una frase clave: "El firewall físico está ahora alineado con nuestro firewall humano".

Responsabilidad de la C-Suite: Evidencias para NIS2 y DORA mediante datos

Bajo la NIS2, la responsabilidad ejecutiva ha pasado de ser una supervisión pasiva a un mandato legal vinculante. Para asegurar el cumplimiento NIS2, la C-Suite debe proporcionar evidencias auditables de la gestión del riesgo humano, incluyendo registros de formación verificados y KPIs en tiempo real.

Seguridad basada en evidencias para la verificación de cumplimiento

La Directiva NIS2 (Artículo 20) es explícita: los órganos de dirección son responsables de la implementación de medidas de gestión de riesgos. En caso de incidente, la falta de conocimiento no es una defensa válida. Como demuestra este caso de estudio, los líderes deben tener acceso directo a métricas de riesgo humano para ejercer su responsabilidad ejecutiva de forma efectiva.

Al utilizar los paneles centralizados de Kymatio, GAM pudo ofrecer a su Consejo una visión clara de cómo su inversión se traducía en una menor vulnerabilidad. Esta transparencia es crítica para navegar la responsabilidad personal del CEO y la C-suite ante la NIS2. Un enfoque centralizado garantiza que:

• Las trazas de auditoría estén unificadas, facilitando la generación de registros para reguladores.
• El cumplimiento sea estándar en todas las sedes, evitando "eslabones débiles" geográficos.
• La dirección pueda probar su diligencia debida mediante la mejora constante de las tasas de detección.

Conclusión: Hacia una resiliencia humana escalable y automatizada

Escalar un "Firewall Humano" y mejorar la detección de phishing en una multinacional requiere abandonar la formación esporádica y adoptar una plataforma integrada de gestión del riesgo humano. Como demuestra este caso de éxito de Kymatio, la automatización es el camino más eficiente para generar un ROSI en concienciación que satisfaga tanto las necesidades técnicas del SOC como los mandatos legales de la NIS2.

GAM Soluciones prueba que la resiliencia sostenible no se logra mediante una lista de tareas estáticas, sino a través de la visibilidad y el cambio de comportamiento. Al empoderar a los empleados para actuar como “firewalls humanos”, la organización cerró la brecha entre la vulnerabilidad humana y la defensa técnica. Automatizar este proceso es la única forma de mantener estándares de seguridad consistentes sin desbordar tu presupuesto o tu equipo de IT.

No esperes a que un incidente revele las limitaciones de tus pruebas manuales. Asegura la resiliencia institucional a largo plazo adoptando un modelo donde tu plantilla sea tu capa de detección más efectiva. Para validar si tu estrategia actual cumple con las exigencias de 2026, consulta nuestra Guía Definitiva del Comprador: Checklist CISO para Validar Proveedores de Simulación de Phishing y comienza hoy mismo a construir una infraestructura resiliente.

[Embed video: Juan José Rodríguez, CIO de GAM Soluciones, nos habla de ciberseguridad de empleados y Kymatio.]