toolbox
Inicio / IA, datos y tecnología / Estimador de exposición al riesgo por compromiso del correo empresarial

Estimador de exposición al riesgo por compromiso del correo empresarial

Este estimador calcula la exposición económica anual asociada al compromiso del correo empresarial (BEC) a partir del número de intentos relevantes, la tasa estimada de éxito y la pérdida media por incidente conseguido. El objetivo es convertir un riesgo que suele expresarse en términos técnicos en una cifra monetaria comparable con presupuestos, controles y prioridades operativas. Puede resultar útil para responsables de seguridad, finanzas, riesgos y continuidad que necesiten construir un escenario propio sin depender de una tasa estándar externa. El resultado no predice cuánto perderá una organización concreta: resume el valor esperado según los supuestos introducidos y permite observar qué ocurre al cambiar la frecuencia, la probabilidad de éxito o el impacto económico.

Supuestos de exposición

/año
%
€
Resultado
—
Exposición anual esperada
Incidentes exitosos esperados—
Pérdida anual esperada—
Pérdida esperada por intento—

1. Estima los intentos relevantes
Introduce cuántos intentos de BEC que podrían llegar a empleados o procesos de pago consideras plausibles en un año.

2. Define la tasa de éxito
Indica qué porcentaje de esos intentos podría terminar en un incidente con pérdida. Usa un supuesto propio o un escenario de prueba.

3. Añade la pérdida media
Introduce la pérdida económica media que asignas a un incidente exitoso, incluyendo solo conceptos que puedas justificar en tu análisis.

4. Revisa la exposición
Compara la pérdida anual esperada con tu presupuesto de controles y prueba escenarios conservadores y adversos.

Exposición anual = Intentos × (Tasa de éxito / 100) × Pérdida media

Variables:

  • Intentos: número de intentos relevantes por año.
  • Tasa de éxito: porcentaje estimado de intentos que producen una pérdida.
  • Pérdida media: impacto económico medio por incidente exitoso, en euros.

Supuesto: El modelo trata cada intento como parte de un conjunto anual y usa un valor esperado; no modela dependencia entre ataques ni pérdidas extremas por separado.

Qué significa el resultado

Una cifra mayor indica más pérdida económica esperada bajo los supuestos introducidos. Es útil para comparar escenarios y controles, no como pronóstico exacto.

Si la frecuencia o el impacto son muy inciertos, conviene probar varios escenarios en lugar de usar una única combinación de valores.

Datos:

  • 120 intentos relevantes al año
  • 1,5 % de tasa de éxito estimada
  • 18.000 € de pérdida media

Cálculo:

Incidentes esperados = 120 × 0,015 = 1,8

Exposición anual = 1,8 × 18.000 € = 32.400 €

Pérdida por intento = 32.400 € / 120 = 270 €

Resultado: 32.400 € de exposición anual esperada.

Interpretación: El escenario equivale a 1,8 incidentes con pérdida por año en promedio estadístico; en la práctica podrían producirse cero, uno o varios incidentes.

¿La exposición anual es la pérdida máxima posible?

No. Es un valor esperado calculado con frecuencia, probabilidad e impacto medio. Una pérdida real concreta puede ser muy inferior o muy superior.

¿Qué debo incluir en la pérdida media por incidente?

Incluye solo costes que formen parte de tu escenario, por ejemplo transferencias fraudulentas, trabajo de respuesta o interrupciones. Evita sumar dos veces el mismo concepto.

¿Puedo usar una tasa de éxito inferior al 1 %?

Sí. El campo admite decimales y resulta útil para modelar controles eficaces o ataques de baja probabilidad.

¿Qué ocurre si introduzco cero intentos?

La exposición calculada será cero, aunque el modelo no implica que el riesgo real desaparezca. Solo refleja el escenario introducido.

¿En qué se diferencia de un estimador de pérdida esperada?

Este enfoque descompone la probabilidad anual en intentos y tasa de éxito. Un estimador de pérdida esperada puede partir directamente de una probabilidad anual de incidente y un impacto.