La dirección necesita saber si la organización está más o menos expuesta, si los controles están funcionando y qué decisiones requieren atención. Sin embargo, los informes de ciberseguridad suelen concentrarse en datos técnicos: número de alertas, vulnerabilidades detectadas, correos bloqueados o dispositivos analizados.
Estos datos pueden ser útiles para los equipos operativos, pero no siempre explican el riesgo empresarial. Una cifra elevada puede reflejar una buena capacidad de detección, una mala configuración o simplemente un mayor volumen de actividad. Del mismo modo, una cifra baja no demuestra necesariamente que la organización esté protegida.
El reto consiste en pasar de medir actividad a medir riesgo gestionado. Esto implica seleccionar indicadores que conecten la exposición digital con los objetivos de la empresa, las obligaciones de gobierno y las decisiones que corresponden a la alta dirección.
Medir actividad no es medir seguridad
Una alerta es un evento que requiere análisis o seguimiento. No es, por sí sola, una medida del impacto potencial para el negocio. Una organización con una plataforma de detección madura puede registrar más alertas que otra con controles débiles, simplemente porque observa mejor su entorno.
Algo parecido ocurre con las vulnerabilidades. Conocer el número total puede resultar útil para dimensionar el trabajo, pero no permite saber qué sistemas son críticos, si existe una vía de acceso realista o cuánto tiempo lleva abierta cada exposición.
Antes de incluir una métrica en un informe para dirección conviene plantear tres preguntas:
- ¿Qué decisión puede apoyar este indicador?
- ¿Qué riesgo o capacidad refleja?
- ¿Quién debe actuar si su evolución es desfavorable?
Si la respuesta se limita a que “es un dato disponible”, probablemente no sea un buen indicador ejecutivo.
Una buena métrica no solo describe lo que ha ocurrido: ayuda a decidir qué hacer a continuación.
Las dimensiones que debería cubrir un cuadro de mando
Un cuadro de mando equilibrado suele combinar varias perspectivas. No es necesario incluir decenas de indicadores; es preferible disponer de un conjunto reducido, coherente y estable.
La primera dimensión es la exposición. Permite entender qué activos, procesos, identidades, proveedores o datos están más expuestos a amenazas o a fallos de control. Algunos ejemplos son la proporción de activos críticos inventariados, el porcentaje de cuentas privilegiadas bajo controles reforzados o la cobertura de sistemas relevantes con medidas de protección definidas.
La segunda es la evolución del riesgo. Aquí interesa observar si la situación mejora, empeora o permanece estable. Una tendencia sostenida de reducción de exposiciones prioritarias puede ser más informativa que una fotografía puntual con un volumen bajo.
La tercera es la eficacia de los controles. No basta con saber que existe una política, una herramienta o un procedimiento. Hay que comprobar si se aplica y si produce el resultado esperado. Por ejemplo, la cobertura de autenticación multifactor en cuentas relevantes aporta más contexto que afirmar simplemente que la organización dispone de MFA.
La cuarta dimensión es la capacidad de respuesta y recuperación. La dirección debe conocer si la empresa puede detectar, contener y recuperar un incidente con una afectación asumible. Aquí pueden observarse los tiempos de identificación, escalado, contención, recuperación o comunicación, siempre interpretados según el tipo de incidente y la criticidad del servicio.
La quinta es el riesgo residual y la aceptación de excepciones. Una organización puede decidir mantener determinados riesgos por razones operativas, económicas o estratégicas. Lo importante es que esas decisiones sean explícitas, tengan propietario, incluyan una fecha de revisión y no se conviertan en excepciones permanentes sin seguimiento.
Indicadores de exposición que explican mejor el contexto
Los indicadores de exposición deben vincularse a los activos y procesos que sostienen el negocio. En lugar de presentar solo el número de dispositivos sin parchear, puede ser más útil mostrar cuántos activos críticos están afectados, qué servicios dependen de ellos y qué medidas compensatorias existen.
Algunos indicadores prácticos pueden ser:
- Porcentaje de activos críticos con propietario, clasificación y nivel de protección documentados.
- Número de exposiciones prioritarias sin plan de tratamiento aprobado.
- Proporción de sistemas accesibles desde Internet que han sido revisados dentro del plazo definido.
- Cobertura de cuentas privilegiadas con autenticación reforzada, revisión periódica y trazabilidad.
- Porcentaje de proveedores críticos con evaluación de seguridad vigente y requisitos contractuales aplicables.
- Volumen de datos sensibles almacenados en ubicaciones no inventariadas o sin clasificación suficiente.
Estos indicadores deben contar con una definición precisa. “Activo crítico”, “proveedor crítico” o “exposición prioritaria” no pueden significar algo diferente en cada informe. Si las categorías cambian continuamente, las tendencias pierden valor.
De los tiempos técnicos a la capacidad de respuesta
Los tiempos son habituales en los cuadros de mando, pero deben utilizarse con cuidado. El tiempo medio de resolución puede ocultar incidentes que se cierran rápidamente junto a otros que afectan a procesos esenciales durante periodos prolongados.
En dirección suele ser más útil diferenciar por severidad, impacto potencial y tipo de servicio. Por ejemplo, no significa lo mismo resolver una alerta de baja prioridad en un puesto de usuario que contener una intrusión en un sistema que presta un servicio esencial.
Además de los promedios, conviene considerar percentiles, casos extremos y tendencias. También es importante medir los puntos de la cadena de respuesta:
- Tiempo desde la detección hasta la validación del incidente.
- Tiempo desde la validación hasta la asignación de un responsable.
- Tiempo hasta la contención de la amenaza o limitación del impacto.
- Tiempo necesario para restaurar el servicio y verificar su integridad.
- Porcentaje de incidentes que requieren activar la estructura de crisis.
El objetivo no es comparar departamentos de forma automática, sino identificar cuellos de botella y comprobar si la capacidad de respuesta es coherente con la tolerancia al riesgo de la organización.
Medir la eficacia de los controles
Un control eficaz debe evaluarse por su funcionamiento real, no únicamente por su existencia. Una política aprobada, una herramienta desplegada o una formación impartida no garantizan por sí solas una mejora de seguridad.
Para medir la eficacia pueden combinarse indicadores de cobertura y de resultado. Por ejemplo, en concienciación no basta con conocer la asistencia a una formación. También puede analizarse si disminuyen determinados comportamientos de riesgo, si se reportan antes los mensajes sospechosos o si los equipos con mayor exposición reciben apoyo específico.
En gestión de vulnerabilidades, la cobertura del escaneo es relevante, pero debe complementarse con la proporción de hallazgos prioritarios corregidos dentro del plazo acordado y con el número de excepciones vencidas. En copias de seguridad, contar con una política no equivale a demostrar que la recuperación es viable: es necesario observar los resultados de las pruebas y las incidencias encontradas.
La medición debe evitar incentivos perversos. Si un equipo es evaluado solo por el número de vulnerabilidades cerradas, podría priorizar hallazgos sencillos y dejar sin tratar los sistemas más importantes. Si se mide únicamente el número de incidentes, puede desincentivarse su comunicación.
Cómo presentar las métricas a la dirección
Un informe ejecutivo debe ofrecer contexto, tendencia y decisión recomendada. Cada indicador debería incluir, como mínimo, su valor actual, evolución respecto a periodos anteriores, objetivo o umbral, explicación de las desviaciones y responsable de la actuación.
También conviene distinguir entre indicadores adelantados y atrasados. Los primeros muestran condiciones que pueden anticipar un problema: activos sin propietario, cuentas sin revisión o planes de continuidad no probados. Los segundos reflejan hechos ya ocurridos: incidentes, interrupciones o incumplimientos.
Una combinación de ambos permite evitar dos errores. El primero es mirar solo los incidentes históricos y reaccionar demasiado tarde. El segundo es centrarse únicamente en actividades preventivas sin comprobar si realmente reducen el riesgo.
Un formato sencillo puede organizar los indicadores en tres niveles:
- Estado: cuál es la situación actual y qué áreas presentan mayor exposición.
- Tendencia: si el riesgo está mejorando, empeorando o estable.
- Decisión: qué acción, inversión, excepción o escalado necesita aprobación.
La visualización debe ser clara, pero no simplificar hasta el punto de ocultar la incertidumbre. Los colores ayudan a orientar, aunque no sustituyen la explicación de los criterios utilizados.
Errores frecuentes al diseñar indicadores
Uno de los errores más habituales es incluir todo lo que produce una herramienta. El resultado suele ser un informe extenso, difícil de comparar y sin prioridades claras.
Otro problema es cambiar las definiciones o los objetivos con demasiada frecuencia. Las métricas necesitan continuidad para mostrar tendencias. Si se modifica la forma de contar cada periodo, una mejora aparente puede ser solo un cambio metodológico.
También es arriesgado utilizar promedios sin segmentación. Un buen resultado global puede ocultar una situación deficiente en una filial, una unidad de negocio o un servicio crítico. La segmentación debe utilizarse cuando ayude a localizar decisiones, no para generar más tablas.
Por último, una métrica sin propietario ni umbral de actuación se convierte en información pasiva. El cuadro de mando debe dejar claro quién revisa la desviación, qué plazo tiene para responder y cuándo debe elevarse al comité correspondiente.
Acciones concretas para mejorar el cuadro de mando
La organización puede empezar con un ejercicio limitado y práctico:
- Identificar las decisiones de ciberseguridad que la dirección debe tomar con mayor frecuencia.
- Vincular cada decisión a una o varias dimensiones: exposición, control, respuesta, recuperación o riesgo residual.
- Seleccionar un conjunto reducido de indicadores con definiciones documentadas.
- Asignar propietario, fuente de datos, frecuencia de actualización y umbral de actuación.
- Probar el cuadro de mando durante varios ciclos y eliminar los indicadores que no provoquen ninguna conversación ni decisión.
- Revisar periódicamente si las métricas siguen conectadas con la estrategia, la regulación aplicable y la evolución del negocio.
La madurez no se demuestra acumulando datos, sino utilizando información fiable para tomar mejores decisiones. Cuando la dirección puede ver qué está expuesto, qué controles funcionan, dónde existen excepciones y qué capacidad de respuesta tiene la empresa, la ciberseguridad deja de ser un inventario de tareas técnicas y se convierte en una disciplina de gobierno.
El objetivo final no es presentar menos datos, sino convertir los datos relevantes en decisiones responsables y trazables.
