Human Vulnerability Assessment in Cybersecurity: A Systematic Literature Review of Methods, Models, and Instruments

Resumen Técnico: Evaluación de la Vulnerabilidad Humana en Ciberseguridad: Una Revisión Sistemática de la Literatura sobre Métodos, Modelos e Instrumentos

Declaración del Problema
Las evaluaciones tradicionales de vulnerabilidad en ciberseguridad se han centrado predominantemente en los activos digitales y las infraestructuras técnicas, a menudo descuidando el factor humano. Sin embargo, los operadores humanos son cada vez más objetivo de los adversarios cibernéticos tanto a través de errores involuntarios como de actividades maliciosas intencionales (amenazas internas). Los enfoques actuales para evaluar la vulnerabilidad humana están fragmentados y dependen frecuentemente de evaluaciones estáticas y puntuales de constructos específicos (por ejemplo, concienciación o comportamientos concretos) en lugar de exámenes dinámicos y holísticos. Además, la literatura existente carece de un marco unificado para evaluar el espectro completo de las vulnerabilidades humanas, que abarca dimensiones psicológicas, cognitivas, conductuales y contextuales, y no aborda adecuadamente cómo estas vulnerabilidades se propagan entre individuos y sistemas.

Metodología
Este estudio emplea una Revisión Sistemática de la Literatura (RSL) siguiendo el marco PRISMA para analizar los enfoques de Evaluación de la Vulnerabilidad Humana (EVH) publicados entre 2017 y 2025.

• Fuentes de Datos: Se realizó una búsqueda transversal en IEEE Xplore, ACM Digital Library, ScienceDirect, SpringerLink, Scopus y Google Scholar.
• Estrategia de Búsqueda: La consulta combinó términos relacionados con ciberseguridad, vulnerabilidades/factores humanos y métodos/modelos/instrumentos de evaluación, excluyendo la formación general o los estudios de caso.
• Criterios de Selección: De un conjunto inicial de 4.036 estudios, se seleccionaron 52 artículos para su inclusión basándose en criterios de elegibilidad estrictos (revisados por pares, texto completo disponible, idioma inglés y propuesta de un método, modelo o instrumento específico para EVH). Se incluyeron dos estudios seminales adicionales de 2014 y 2015 como "menciones honoríficas" debido a su alto impacto en citas.
• Marco Analítico: Para estructurar el análisis, los autores desarrollaron una Taxonomía del Factor Humano en Ciberseguridad. Esta taxonomía clasifica los factores humanos en:
  • Cuatro Dominios de Vulnerabilidad: Factores Psicológicos (por ejemplo, personalidad, emociones), Factores Cognitivos (por ejemplo, sesgos, interacción con IA), Factores Conductuales (por ejemplo, asunción de riesgos, hábitos en línea) y Factores del Estado del Rendimiento Humano (por ejemplo, alerta, multitarea).
  • Cuatro Grupos Moderadores: Datos demográficos, Formación en Ciberseguridad, Experiencia con Incidentes Cibernéticos y Contexto Sociocultural y Ambiental.
  • Relevancia de la Amenaza: Clasificación de los estudios según si abordan amenazas Involuntarias (U), Intencionales (I) o ambas (U/I).
  • Dimensiones Adicionales: Enfoques de evaluación (por ejemplo, autoinforme, monitoreo conductual, híbrido), propagación de la vulnerabilidad (intra-individual, inter-individual, sistémica) y tipo de modelado (estático, semidinámico, dinámico).

Contribuciones Clave

1. Taxonomía Estructurada: El artículo introduce una taxonomía novel, fundamentada en la literatura, diseñada específicamente para mapear y clasificar los métodos, modelos e instrumentos de EVH a través del espectro completo de factores humanos y moderadores contextuales.
2. Síntesis Exhaustiva: Proporciona una visión holística de 54 estudios, sintetizando métodos, modelos e instrumentos para evaluar el estado actual de la EVH en ciberseguridad.
3. Identificación de Brechas: La revisión identifica sistemáticamente brechas conceptuales y metodológicas, particularmente en lo que respecta a la integración de la modelación dinámica, la propagación de la vulnerabilidad y la evaluación simultánea de amenazas involuntarias e intencionales.
4. Interacción Humano-IA: La taxonomía incorpora explícitamente la "Interacción Cognitiva Humano-IA" (por ejemplo, sesgo de automatización, sobreconfianza en la IA) como un factor de vulnerabilidad crítico y emergente que a menudo falta en clasificaciones anteriores.

Resultados

• Dominio de Factores Conductuales y Cognitivos: Los enfoques actuales de EVH priorizan fuertemente los factores conductuales observables (específicamente "Comportamiento de Riesgo de Seguridad") y los factores cognitivos (por ejemplo, "Concienciación en Ciberseguridad"). Los factores psicológicos (por ejemplo, ética, estabilidad mental) y los factores del estado del rendimiento (por ejemplo, interrupciones, multitarea) están significativamente subrepresentados.
• Modelado Estático vs. Dinámico: Aunque existe una tendencia hacia el modelado dinámico (utilizando aprendizaje automático y monitoreo continuo), muchos estudios aún dependen de evaluaciones estáticas basadas en instantáneas. Los enfoques dinámicos rara vez se combinan con mecanismos de propagación de la vulnerabilidad.
• Desequilibrio en la Relevancia de la Amenaza: La mayoría de los estudios (62%) se centran únicamente en amenazas involuntarias. Solo el 8% de las soluciones revisadas abordan simultáneamente amenazas involuntarias e intencionales, lo que indica una fragmentación en la forma en que se evalúan los errores accidentales y los actos maliciosos deliberados.
• Enfoques de Evaluación: Los métodos híbridos (combinando monitoreo conductual con encuestas o experimentos) son el enfoque más común (11 estudios), seguidos por encuestas de autoinforme (10 estudios). Los enfoques puramente experimentales o gamificados siguen siendo raros.
• Ratio de Holismo: Incluso el estudio más exhaustivo revisado logró un "ratio de holismo" de solo ~56,5 %, cubriendo ligeramente más de la mitad de las variables potenciales definidas en la taxonomía propuesta. La mayoría de los enfoques son estructuralmente multidominio pero funcionalmente centrados en la conducta.
• Variables Moderadoras: Aunque los indicadores demográficos (edad, género, ocupación) y la formación en concienciación se consideran con frecuencia, los indicadores complejos del contexto sociocultural y ambiental (por ejemplo, estabilidad económica, estatus legal, dinámicas intergrupales) permanecen en gran medida inexplorados.

Significado y Afirmaciones
Los autores afirman que esta revisión destaca la necesidad crítica de pasar de evaluaciones aisladas, estáticas y centradas en la conducta hacia marcos holísticos, dinámicos y conscientes de la propagación. El estudio argumenta que las metodologías actuales no logran capturar la naturaleza evolutiva de la vulnerabilidad humana, particularmente la interacción entre rasgos individuales, condiciones contextuales y la propagación de la vulnerabilidad dentro de sistemas socio-técnicos.

El artículo posiciona modestamente su taxonomía propuesta como un marco analítico preliminar diseñado para apoyar la RSL y guiar la investigación futura, en lugar de ser un instrumento de medición finalizado y validado. Hace hincapié en que el trabajo futuro debe abordar la integración de fundamentos psicológicos, razonamiento contextual y monitoreo continuo, al tiempo que navega por los desafíos éticos y de privacidad asociados con la evaluación de la vulnerabilidad humana. El objetivo último identificado es el desarrollo de un ecosistema de EVH que modele la vulnerabilidad no solo como un resultado observable, sino como un proceso humano y socio-técnico en evolución.