Por qué falla la diapositiva de CVE
La diapositiva de ciberseguridad más habitual ante un consejo es un artefacto técnico vestido de traje: un número grande de vulnerabilidades, un porcentaje de parcheo, una rejilla de colores y una variación trimestral del recuento. Parece riguroso. No gobierna nada. Un consejero no puede sopesar «4.200 críticas, un 6 % menos» frente al coste del control que las reduciría, no puede encajarlo en el apetito de riesgo corporativo y no puede saber si el negocio está materialmente más seguro.
El fallo es de traducción. La función del consejo es asignar capital y fijar la tolerancia al riesgo en toda la empresa. Un recuento de CVE está denominado en una unidad que ningún otro riesgo del orden del día utiliza. Hasta que el ciberriesgo no se exprese en los mismos términos que el riesgo de crédito, de mercado y operativo —probabilidad y dinero—, no puede gobernarse junto a ellos.
Las cuatro preguntas que un consejo se hace de verdad
Quitado el ruido, un consejo quiere cuatro cosas de un informe de ciberseguridad. ¿Estamos expuestos por encima del apetito de riesgo que aprobamos, y exactamente dónde? ¿La tendencia mejora o empeora, y qué la impulsa? Entre nuestros ciberriesgos materiales, ¿cuáles representan la mayor pérdida probable, para financiar primero los mayores reductores? Y ¿qué necesita exactamente que decidamos hoy?
Cada elemento de un buen informe debería responder a una de esas preguntas. Si un gráfico no ayuda a contestar ninguna, su sitio está en el anexo o en el cuadro de mando del SOC, no en la diapositiva del consejo.
Cuantificar unos pocos escenarios, no cada hallazgo
La columna vertebral de un informe al consejo es una pequeña biblioteca de escenarios de riesgo bien acotados —«un ransomware interrumpe el procesamiento de pedidos», «compromiso del almacén de datos de clientes», «caída de un tercero crítico»— cada uno cuantificado en términos monetarios. Un enfoque como FAIR (Factor Analysis of Information Risk) descompone cada escenario en frecuencia de eventos de pérdida y magnitud de la pérdida, usa rangos calibrados en vez de estimaciones puntuales de falsa precisión y produce una pérdida anual esperada con bandas de confianza.
Expresados así, los ciberriesgos pasan a ser comparables entre sí y con el coste de los controles que los reducen. El consejo puede ver si una inversión propuesta de 2 M€ elimina más de 2 M€ de pérdida esperada, y dónde el siguiente euro de gasto en seguridad rinde más. Cinco escenarios defendibles en dinero superan siempre a cinco mil hallazgos en una tabla.
Priorizar la exposición por alcanzabilidad, no por recuento
Donde el detalle técnico sí tiene sitio, enmárquelo por impacto de negocio. En lugar de un recuento bruto de vulnerabilidades, muestre la exposición priorizada según si una debilidad es alcanzable —¿puede un atacante llegar realmente desde un punto de entrada expuesto a internet hasta un activo crítico?— y según si se está explotando activamente, usando señales como el catálogo de vulnerabilidades explotadas conocidas de CISA y EPSS.
Un puñado de exposiciones explotables y alcanzables sobre activos críticos ofrece una imagen del riesgo mucho más honesta que un total de cinco cifras que trata un fallo teórico en una máquina de pruebas igual que una ruta real hacia la base de datos de clientes. La alcanzabilidad convierte una cifra alarmante en una cifra exacta.
Hacer trazable cada cifra, y pedir una decisión
Un consejo cuestionará las cifras destacadas, y debe hacerlo. El informe tiene que resistirlo. Cada número de la diapositiva debe poder rastrearse hasta la evidencia que lo sustenta —los escenarios, las exposiciones, el estado de los controles— para que una pregunta incisiva se responda con un detalle, no con un encogimiento de hombros. Esa trazabilidad es además lo que hace el informe apto para auditoría y defendible después.
Por último, termine con la petición. Un informe al consejo no es una actualización de estado: es una solicitud de gobierno. Nombre las decisiones: aprobar esta inversión, aceptar formalmente esta excepción hasta que llegue la corrección, revisar este elemento del apetito de riesgo. Cuando el relato va limpiamente de la exposición a la pérdida, a la tendencia y a la decisión, el consejo puede hacer su trabajo, y el CISO obtiene una respuesta en vez de un asentimiento.