Riesgo cuantitativo: del semáforo a la distribución
Decir "riesgo alto" no es decir nada. Decir "pérdida esperada de $X" es decir todo
¿Cómo se defiende un presupuesto de seguridad ante un comité financiero?
- secciones
- 1
- interactivos
- 1
- preguntas de cierre
- 4
Al terminar, usted podrá
- 1Criticar la matriz de calor de riesgo (probabilidad × impacto) y sus patologías conocidas.
- 2Modelar un escenario de pérdida con el enfoque FAIR: frecuencia de eventos y magnitud de pérdida.
- 3Simular la distribución anual de pérdidas y leer el percentil 95 como insumo de decisión.
Contra la matriz de calor
La matriz roja-amarilla-verde es el instrumento más difundido y menos defendible de la gestión de riesgo. Convierte números en categorías, luego opera aritméticamente sobre categorías ordinales —multiplica "probable" por "grave"— y devuelve un color. Dos analistas con la misma información producen colores distintos; el mismo analista, en dos días distintos, también.
La alternativa no es la certeza, es la honestidad sobre la incertidumbre. En lugar de "impacto: alto", se dice: la pérdida, si ocurre, está entre $200 millones y $4.000 millones, con 90% de confianza. En lugar de "probabilidad: media", se dice: esperamos entre 0,1 y 0,8 eventos por año. Con esos dos rangos se simula, y la simulación produce una distribución que un comité financiero sí sabe leer.
Curva de excedencia de pérdidas · método FAIR
Diez mil años simulados. La curva responde: ¿cuál es la probabilidad de perder más de X en un año?
Pérdida esperada
$242 M
sin control: $493 M
Percentil 95
$1,59 mil M
sin control: $2,81 mil M
Excede tolerancia
5.2%
sin control: 11.3%
Retorno del control
+39%
evita $251 M/año
Frecuencia de eventos
Intervalo del 90%: eventos por año.
Pérdida por evento
Intervalo del 90%, en millones de pesos.
Control propuesto
Qué tanto reduce la frecuencia y cuánto cuesta.
Tolerancia al riesgo
La pérdida anual que la junta acepta.
La simulación usa una semilla fija: los mismos parámetros producen siempre el mismo resultado. Eso es deliberado. Un modelo de riesgo que cambia de respuesta cada vez que se ejecuta no se puede auditar, y lo que no se puede auditar no se lleva a un comité.
Coyuntura de esta sesión
Hechos verificados que tocan directamente lo que se discute aquí.
La reforma al régimen de datos se hundió: el tope sigue en 2.000 SMLMV
Aquí hay dos lecciones y la segunda es la que se les olvida. La primera: un caso de negocio construido sobre una sanción hipotética se cae cuando la sanción no llega. La segunda: en Colombia el régimen de datos personales es ley estatutaria, y por eso tiene que aprobarse en una sola legislatura. Cualquier reforma que no alcance ese ritmo se archiva y hay que volver a empezar. Quien planee un programa de cumplimiento a tres años debería contar con que este intento vuelve.
Cámara de Representantes — trámite del proyecto 274/2025C →El costo promedio de una brecha cae por primera vez en cinco años
Es la cifra que todo comité cita y casi nadie interroga. El promedio global cayó porque las organizaciones detectan más rápido, no porque haya menos ataques: la variable de decisión es el tiempo de contención, y esa sí se puede presupuestar.
IBM — Cost of a Data Breach Report 2025 →Cuántos ataques recibe Colombia: la respuesta depende de quién cuente
Ninguna de esas cifras es comparable con las otras: cada proveedor define "intento de ataque" a su manera y mide sobre su propia telemetría. Un gerente que lleve una de ellas a la junta sin decir quién midió y cómo, está haciendo exactamente lo que este curso enseña a no hacer. La cifra no es el dato; la metodología lo es.
MinTIC — Estrategia Nacional de Seguridad Digital 2025-2027 (oficial) →Explotar una vulnerabilidad desplazó al robo de credenciales
Durante una década la respuesta corporativa al riesgo fue capacitar al usuario. Si el vector dominante ya no es la persona sino el parche que nadie aplicó, el presupuesto de seguridad estaba resolviendo el problema del año pasado.
Verizon — DBIR 2026 →Quiz · Semana 11
Del semáforo a la distribución
Cuatro preguntas sobre riesgo cuantitativo.
- 1
¿Cuál es la objeción metodológica más fuerte contra la matriz de calor de riesgo?
- 2
Dos riesgos tienen idéntica pérdida esperada media: $50 millones al año. El primero tiene un percentil 95 de $80 millones; el segundo, de $3.000 millones. ¿Qué se concluye?
- 3
Una simulación de riesgo que produce un resultado distinto en cada ejecución con los mismos parámetros es aceptable, porque el azar es parte del método.
- 4
En el enfoque FAIR, decir "el impacto está entre $200 millones y $4.000 millones con 90% de confianza" es preferible a decir "impacto: alto" porque:
Para leer
- Libro
How to Measure Anything in Cybersecurity Risk
Hubbard & Seiersen
- Marco
The Open Group — Risk Analysis (FAIR)
The Open Group