Muchas empresas continúan evaluando sus riesgos tecnológicos con etiquetas como alto, medio o bajo, una fórmula útil para clasificar amenazas pero mucho menos eficaz cuando un CIO o un CISO tiene que defender ante dirección una inversión de varios cientos de miles de euros. Un nuevo análisis de Info-Tech Research Group propone avanzar hacia evaluaciones que traduzcan los principales riesgos a pérdidas económicas estimadas, frecuencia y exposición anual.

Las claves de la evaluación financiera del riesgo TI en 20 segundos

• Info-Tech cuestiona las matrices tradicionales basadas únicamente en riesgo alto, medio o bajo.
• Propone cuantificar económicamente los riesgos prioritarios, no necesariamente todo el catálogo de amenazas.
• El análisis combina impacto de una pérdida, frecuencia estimada y pérdida anual esperada.
• NIST también reconoce que los métodos cuantitativos pueden mejorar la priorización y justificar tratamientos ante la dirección.
• El objetivo es comparar el coste de reducir un riesgo con la exposición económica que realmente representa.

La propuesta llega en un momento en el que los responsables tecnológicos tienen que explicar riesgos muy distintos dentro de una misma conversación presupuestaria. Un ataque de ransomware, la caída de un centro de datos, una dependencia crítica de un proveedor cloud, una filtración de información o una sanción regulatoria pueden aparecer marcados en rojo en una matriz, pero eso no indica automáticamente cuál debería recibir primero el presupuesto disponible.

Ese es el problema que Info-Tech intenta resolver con su metodología Execute Data-Driven Risk Assessments. La firma no plantea abandonar completamente las evaluaciones cualitativas, sino utilizarlas como primer filtro y reservar el análisis económico más detallado para las exposiciones que realmente lo justifican.

El problema de decir simplemente que un riesgo es «alto»

Las matrices de riesgo tienen una ventaja evidente: permiten trabajar rápidamente con probabilidad e impacto y presentar los resultados de forma comprensible.

También tienen limitaciones.

Decir que un ciberataque tiene riesgo «alto» puede servir para llamar la atención, pero aporta poca información cuando la dirección debe decidir entre invertir 300.000 euros en reforzar la seguridad, renovar una plataforma crítica o financiar otro proyecto empresarial.

Info-Tech identifica además problemas como la subjetividad de las puntuaciones, la dispersión de los datos entre departamentos y la dificultad para mantener modelos cuantitativos excesivamente complejos.

La alternativa tampoco consiste simplemente en sustituir «alto» por un 8 sobre 10. Una escala ordinal continúa siendo una clasificación aunque utilice números.

El National Institute of Standards and Technology (NIST) distingue precisamente entre los análisis cualitativos y los cuantitativos. En su revisión de diciembre de 2025 sobre integración de ciberseguridad y gestión del riesgo empresarial señala que el análisis cuantitativo puede utilizar probabilidades y valoraciones monetarias de pérdidas, ofreciendo evidencia más defendible para priorizar tratamientos ante la dirección. También advierte de que su calidad depende de los datos y modelos utilizados.

El matiz importa: poner un importe a un riesgo no convierte automáticamente la estimación en cierta.

El riesgo sigue refiriéndose a acontecimientos futuros y, por tanto, incorpora incertidumbre.

Del semáforo de riesgos a calcular cuánto puede perder la empresa

Info-Tech propone un proceso en cuatro fases.

Primero se construye o revisa el registro de riesgos y se utiliza una taxonomía común. Después llega la evaluación cualitativa de probabilidad e impacto, que permite separar los riesgos prioritarios de aquellos que no necesitan un estudio económico detallado.

Es en la tercera fase donde cambia la conversación.

La metodología propone estimar tres elementos: Single Loss Impact (SLI), o impacto de una pérdida individual; Occurrence Frequency (OF), correspondiente a su frecuencia; y Annualized Loss Expectancy (ALE), la pérdida anual esperada.

Un ejemplo simplificado ayuda a entenderlo.

Una organización podría analizar cuánto costaría una interrupción de determinado servicio teniendo en cuenta pérdida de actividad, recuperación, horas de personal, compromisos contractuales u otros costes que puedan justificarse. Después estimaría con qué frecuencia podría producirse ese escenario.

El resultado deja de ser simplemente:

«Riesgo de indisponibilidad: alto».

Puede convertirse en una estimación económica expresada mediante escenarios o rangos. Eso permite plantear una pregunta bastante más útil para el negocio: cuánto cuesta reducir la exposición y cuánto riesgo económico permanece después de hacerlo.

Info-Tech propone finalmente comunicar estos resultados a responsables de negocio y dirección para decidir los siguientes pasos.

La idea tiene paralelismos con FAIR (Factor Analysis of Information Risk), un modelo cuantitativo utilizado para analizar riesgos de información y operacionales mediante frecuencia y magnitud probable de las pérdidas. Su estándar insiste además en que la incertidumbre debe formar parte explícita del cálculo mediante rangos o distribuciones, en lugar de presentar una cifra como si fuera una predicción exacta.

Una herramienta para decidir dónde gastar, no para adivinar el futuro

El valor práctico aparece al comparar alternativas.

Supóngase que una empresa identifica dos riesgos considerados «altos»: una interrupción prolongada de una aplicación interna y un incidente de ransomware.

La matriz tradicional puede colocarlos prácticamente al mismo nivel. El análisis financiero intenta responder preguntas adicionales: qué pérdidas podría provocar cada escenario, con qué frecuencia podría producirse, cuánto reduciría la exposición una determinada medida y cuánto cuesta aplicarla.

Esto permite comparar inversiones en backup, recuperación ante desastres, redundancia, seguridad, continuidad de negocio, formación o infraestructura utilizando un lenguaje más cercano al utilizado por dirección financiera.

También puede evitar el problema contrario: gastar mucho dinero en una amenaza técnicamente llamativa cuya exposición económica sea inferior a la de otros riesgos menos visibles.

La cuantificación, sin embargo, no elimina la necesidad de criterio profesional.

NIST recuerda que los métodos cuantitativos necesitan datos suficientemente fiables y que no siempre son posibles o apropiados. Incluso cuando los datos son incompletos, estructurar el análisis puede ayudar a comprender mejor las variables, pero el resultado seguirá teniendo incertidumbre.

Por eso resulta más razonable trabajar con rangos y probabilidades que intentar convencer al consejo de que un determinado incidente costará exactamente 2.473.621 euros.

FAIR sigue esa misma filosofía: define el riesgo mediante la frecuencia y magnitud probables de pérdidas futuras y recomienda representar explícitamente la incertidumbre.

La consecuencia para CIO y CISO es relevante. La conversación presupuestaria puede pasar de «necesita hacerse porque el riesgo es rojo» a explicar cuál es la exposición estimada, qué factores la generan, cuánto puede reducirla una inversión y qué riesgo residual acepta finalmente la organización.

Info-Tech acompaña su metodología con herramientas para construir evaluaciones y presentar sus resultados a los propietarios del riesgo. Su planteamiento tampoco exige cuantificar desde el primer día cada amenaza de una organización: propone utilizar primero el análisis cualitativo para identificar dónde merece la pena dedicar el esfuerzo.

Ese enfoque híbrido probablemente sea uno de sus aspectos más prácticos. Las matrices de colores pueden seguir sirviendo para ordenar decenas o cientos de riesgos. El problema aparece cuando se pretende que ese mismo semáforo responda también a una decisión de inversión.

Preguntas frecuentes

¿Qué es una evaluación cuantitativa de riesgos TI?

Es un análisis que intenta expresar la exposición mediante variables medibles, como frecuencia probable e impacto económico, en lugar de limitar el resultado a categorías como riesgo alto, medio o bajo.

¿Hay que calcular económicamente todos los riesgos de una empresa?

No necesariamente. La metodología de Info-Tech propone utilizar primero una evaluación cualitativa para priorizar y aplicar posteriormente un análisis financiero más profundo a los riesgos más importantes.

¿Qué significa ALE en gestión de riesgos?

ALE corresponde a Annualized Loss Expectancy, o pérdida anual esperada. Se utiliza para expresar económicamente la exposición prevista a un determinado escenario durante un periodo anual.

¿Las matrices de riesgo alto, medio y bajo dejan de ser útiles?

No. Pueden seguir siendo una herramienta rápida de clasificación y priorización inicial. Su limitación aparece cuando deben utilizarse por sí solas para justificar inversiones o comparar económicamente diferentes alternativas de reducción del riesgo.

vía: prnewswire