Una cifra no debe disfrazar la incertidumbre
La cuantificación de riesgo no pretende predecir el futuro con exactitud. Busca representar escenarios de pérdida de forma que distintas opciones puedan compararse.
Define el escenario
Qué evento ocurre, a qué activos afecta y durante qué periodo.
Separa frecuencia y magnitud
Con qué frecuencia podría ocurrir y qué tamaño podría tener la pérdida si ocurre.
Usa rangos
Los rangos reflejan mejor la información disponible que una cifra puntual inventada.
Descompón la pérdida
Respuesta, interrupción, productividad, fraude, recuperación, terceros, legal, comunicación y otros componentes relevantes.
Actualiza cuando cambian los controles
Una nueva medida puede modificar la frecuencia, la magnitud o ambas.
Cuantificar no elimina el juicio profesional. Lo hace más explícito y permite discutir supuestos de forma transparente.
Nazly Borrero VásquezFundadora y Directora de CyberRisk Academy · Consultora en ciberseguridad y gobernanza digital.