Registro de riesgos cyber
La biblioteca de riesgos cibernéticos, riesgos propios y la superficie expuesta.
Biblioteca y riesgo propio
El registro de riesgos cyber parte de una biblioteca de riesgos conocidos que adoptas para tu organización. Lo que no esté ahí entra como riesgo propio, siguiendo el mismo flujo de los demás dominios: relacionas controles — eligiendo en la biblioteca o aceptando la sugerencia de Ara — y el residual pasa a derivar de la madurez de esos controles.
De los controles relacionados el riesgo hereda, solo para lectura, las vulnerabilidades y técnicas de ataque asociadas. Eso evita que tengas que mantener a mano el vínculo entre un riesgo de negocio y el catálogo técnico que lo sostiene.
Superficie expuesta
Hay una lectura corta y deliberadamente separada de la matriz: lo que es alcanzable desde fuera, ordenado por el costo de perderlo. Cruza la exposición del activo con su criticidad técnica y marca cuáles de esos activos además cargan una amenaza abierta.
Esa distinción cambia la naturaleza de la lista. Un activo expuesto con amenaza abierta es una cola de trabajo; un activo expuesto sobre el que nadie reportó nada es inventario. Confundirlos convierte una lista accionable en una lista larga.
Esta pantalla usa la criticidad técnica del propio activo, no la criticidad derivada del BIA — a propósito. La criticidad de negocio ya es el eje de la matriz de riesgo, y repetirla aquí daría al mismo activo dos criticidades distintas en dos pantallas. Lo que esta lista responde es qué puede tratar un operador hoy.