A una empresa le preocupa que los empleados introduzcan malware en la red sin intención. La empresa identificó a cincuenta empleados que hicieron clic en un enlace incrustado en un correo electrónico enviado por el departamento de TI interno. ¿Cuál de las siguientes opciones debería implementar la empresa para mejorar mejor su postura de seguridad?

La capacitación en ingeniería social es la mejor opción porque aborda directamente la causa raíz del problema: la susceptibilidad de los empleados a tácticas de manipulación. Al educar a los empleados sobre cómo reconocer y resistir los intentos de ingeniería social (como los correos electrónicos de phishing), la empresa puede reducir significativamente el riesgo de que el malware ingrese a la red. La configuración de SPF (Sender Policy Framework) ayuda a prevenir la suplantación de identidad de correo electrónico, pero no educa a los usuarios sobre los enlaces maliciosos. Una campaña de phishing simulada es una herramienta de evaluación útil, pero no es una solución por sí sola; debe ir acompañada de capacitación. La concientización sobre amenazas internas es importante, pero este escenario se centra en amenazas externas que explotan la interacción de los empleados con correos electrónicos maliciosos.