Activos
Qué registrar como activo, qué significa la exposición en el cálculo y por qué importa la cadena hasta el BIA.
Qué es un activo aquí
Un activo es lo que sostiene la operación y puede ser atacado: sistemas, bases de datos, servicios, infraestructura. Es la unidad del Riesgo Cyber — cada activo se convierte en una fila de la matriz — y es también el punto donde el riesgo cibernético se encuentra con el resto de la plataforma.
Exposición
Cada activo declara si es expuesto o interno, y eso entra en el cálculo como multiplicador: expuesto vale 1,0 e interno vale 0,7. No es un descuento arbitrario — reconoce que la misma vulnerabilidad alcanzable desde internet y alcanzable solo desde dentro no representan el mismo riesgo, sin por ello tratar al activo interno como seguro.
La cadena hasta el impacto
El impacto de un activo no se informa en él: se hereda. El activo sostiene procesos de negocio, los procesos sostienen productos y servicios, y es el producto el que tiene impacto medido en el BIA. El activo recibe el peor caso de esa cadena.
La consecuencia práctica es directa: un activo que no está ligado a ningún proceso, o cuyo proceso no llega a un producto evaluado, no tiene impacto conocido — y por eso no genera fila en la matriz. Aparece en la lista de activos fuera de la matriz, con el eslabón faltante nombrado, para que la laguna sea abordable en vez de invisible.
Dueño
El activo pertenece a un área, y eso es lo que hace que el riesgo cibernético aparezca en la lectura por área. Un activo sin área se sigue calculando, pero desaparece de la visión organizacional — el riesgo existe y nadie es señalado por él.