Por qué el recuento de CVE fracasa ante el consejo
La mayor parte de los informes de ciberseguridad a la dirección son un fallo de traducción. Una diapositiva que muestra «4.200 vulnerabilidades críticas, un 6 % menos este trimestre» no le dice nada accionable a un consejo: no puede compararse con el coste del control que la reduciría, no indica cuáles de esas vulnerabilidades podrían causar realmente una pérdida material y no encaja en ningún marco que el consejo ya use para decidir entre alternativas.
El resultado es que la ciberseguridad se financia por miedo y anécdota en lugar de por valor esperado. FAIR existe para corregir eso: para expresar el ciberriesgo en la única unidad que todos los demás riesgos del negocio ya hablan, el dinero.
Cómo descompone FAIR el riesgo
FAIR modela un riesgo como la frecuencia de eventos de pérdida multiplicada por la magnitud de la pérdida. La frecuencia de eventos de pérdida se descompone en frecuencia de eventos de amenaza (con qué frecuencia un actor actúa contra el activo) y vulnerabilidad (la probabilidad de que esa acción tenga éxito). La magnitud de la pérdida separa la pérdida primaria (costes directos: respuesta, reemplazo, indisponibilidad) de la secundaria (multas, gastos legales, daño reputacional y la probabilidad de que esos efectos secundarios se materialicen).
Un punto clave: los analistas no adivinan cifras únicas. Aportan rangos calibrados —un mínimo, un valor más probable y un máximo— que reflejan la incertidumbre real. Así se evita la falsa precisión que desacredita a la mayoría de los modelos de riesgo y se fuerza una conversación honesta sobre lo que se sabe y lo que no.
De los rangos a una distribución de pérdidas
Como las entradas son rangos, la salida es una distribución y no una cifra única. Una simulación de Monte Carlo muestrea miles de veces dentro de los rangos de entrada para producir una curva de posibles pérdidas anualizadas. De esa curva se lee una pérdida anual esperada (la media), pero también la cola: el «mal año» del percentil 90 o 95, que a menudo importa más para las decisiones de capital y de seguro.
Es la misma disciplina estadística que los equipos de riesgo de mercado y de crédito llevan décadas usando. Expresar así el ciberriesgo le permite encajar directamente en un marco corporativo de apetito de riesgo, en lugar de vivir en un silo aparte e incomparable.
Los datos técnicos hacen creíble a FAIR
FAIR vale lo que valen sus entradas, y ahí es donde los datos técnicos de seguridad se ganan su sitio. Las señales de explotabilidad —si una vulnerabilidad figura en el catálogo de vulnerabilidades explotadas conocidas de CISA, su probabilidad de explotación según EPSS— afinan el factor «vulnerabilidad». La criticidad de los activos y el análisis de rutas de ataque, que determinan si una exposición puede alcanzar realmente un sistema crítico, afinan la magnitud de la pérdida y la frecuencia de eventos de amenaza.
Dicho de otro modo, la gestión de exposiciones y FAIR son complementarias, no competidoras: el grafo de exposición indica qué debilidades son alcanzables y explotables, y FAIR convierte esa alcanzabilidad en una cifra defendible. Alimentada por telemetría en vivo, la estimación se actualiza a medida que cambia el entorno, en lugar de ser el producto de un taller anual.
Llevarlo a la operación
Las organizaciones que obtienen valor de FAIR lo tratan como una capacidad viva y no como un ejercicio de hoja de cálculo. Mantienen una pequeña biblioteca de escenarios de riesgo bien acotados, los alimentan con datos en vivo de activos, exposición y amenazas, y repiten la cuantificación a medida que cambian las condiciones. Cuando una nueva vulnerabilidad explotada activamente alcanza un activo crítico, la pérdida anualizada del escenario correspondiente se mueve, y el argumento para remediar se construye solo.
Bien ejecutado, FAIR cambia la conversación de seguridad de «hemos encontrado muchas cosas malas» a «esta es la pérdida esperada, esto es lo que más la reduce por euro invertido y así se sitúa frente a nuestro apetito de riesgo». Ese es el lenguaje sobre el que un consejo puede actuar.