Visión general del Riesgo Cyber
Riesgo cibernético por activo: la fórmula, de dónde viene cada entrada y por qué ninguna celda queda vacía.
La unidad es el activo
El Riesgo Cyber mide la exposición cibernética por activo. Cada activo se convierte en una fila de una matriz recalculada periódicamente. Complementa a los demás dominios en vez de repetirlos: la madurez de proveedor viene del TPRM, el impacto viene del BIA y no se redefine aquí, y el resultado consolidado sube al registro corporativo como el riesgo hijo CR.
La fórmula
El riesgo de un activo es el promedio entre vulnerabilidad y amenaza, multiplicado por la exposición y por el impacto.
Entrada | De dónde viene |
|---|---|
Vulnerabilidad | La autoevaluación de la propia organización |
Amenaza | p95 de la severidad de las amenazas mapeadas en el activo |
Exposición | Multiplicador: expuesto 1,0 · interno 0,7 |
Impacto | Del BIA, por la cadena activo → proceso → producto |
Por qué p95 y no promedio
La severidad de las amenazas de un activo se agrega por el percentil 95, no por el promedio. El promedio diluye: cinco amenazas, cuatro leves y una crítica abierta, produciría un número tranquilo para un activo que tiene un problema grave. El p95 preserva la cola, que es justamente donde vive el riesgo.
Cero no es un resultado válido
La base registra las amenazas conocidas. La ausencia de amenaza abierta conocida no es ausencia de amenaza — así que un activo cuyas amenazas fueron todas tratadas va a un piso, nunca a cero y nunca a vacío. El piso es el menor escalón de la escala y deliberadamente no es configurable: un piso ajustable sería una puerta de vuelta al cero, y se volvería el camino fácil de mejorar el número sin tratar la amenaza.
El piso vale solo para amenaza. El impacto no tiene piso, porque un piso de impacto afirmaría que el activo perjudica al negocio en algún valor — y eso el modelo no lo sabe: el impacto viene del BIA, y un activo fuera de esa cadena tiene un impacto que nadie declaró.
Activos que quedan fuera de la matriz
Un activo sin cadena hasta un objeto de BIA no genera fila en la matriz — pero tampoco desaparece. Aparece en una lista propia, en la misma pantalla, con el eslabón faltante nombrado: sin proceso, sin producto o sin BIA. Cambiar un número ausente por una omisión silenciosa sería peor que el problema original, así que esa lista no es opcional ni va a una pestaña secundaria.