Este estimador convierte un escenario de riesgo de identidad y acceso en una cifra económica anual. Parte de la probabilidad de que se produzca un incidente relevante, del impacto monetario estimado de ese incidente y del porcentaje de reducción que se atribuye a los controles existentes.
Puede servir para comparar escenarios de IAM, priorizar mejoras de autenticación o privilegios y poner en contexto el riesgo residual. El resultado no predice una pérdida real: resume las hipótesis introducidas para facilitar comparaciones coherentes.
1. Define la probabilidad anual. Introduce la probabilidad estimada de al menos un incidente relevante de identidad o acceso durante un año.
2. Estima el impacto. Usa una cifra económica coherente que reúna los costes que quieras comparar entre escenarios.
3. Indica la reducción de riesgo. Expresa qué parte del riesgo inherente consideras mitigada por los controles actuales.
4. Revisa la exposición residual. Compara el resultado con la exposición inherente y con la reducción calculada.
La probabilidad y la reducción se convierten de porcentaje a decimal. El modelo supone un único escenario representativo y no incorpora distribuciones de severidad ni varios incidentes independientes.
Una cifra más baja indica menor exposición económica bajo los supuestos introducidos; no equivale a una garantía de pérdida máxima o mínima.
Para comparar alternativas, mantén constante el criterio con el que estimas probabilidad e impacto.
Datos: probabilidad anual del 18 %, impacto de 120.000 € y reducción de riesgo del 55 %.
Cálculo: exposición inherente = 0,18 × 120.000 = 21.600 €. Exposición residual = 21.600 × 0,45 = 9.720 €.
Resultado: la exposición anual residual estimada es de 9.720 €, frente a 21.600 € antes de considerar los controles.
No exactamente. Es una estimación económica basada en probabilidad e impacto; una pérdida real puede ser cero, menor o mucho mayor en un año concreto.
Utiliza una definición estable: por ejemplo, costes de respuesta, interrupción y recuperación que razonablemente pertenezcan al mismo escenario. Evita mezclar costes ya incluidos en otra estimación.
Esta página utiliza probabilidad anual. Si tu análisis parte de una frecuencia media de varios incidentes al año, conviene utilizar un modelo de pérdida esperada basado en frecuencia.
El modelo devuelve una exposición residual de cero. En la práctica, un valor del 100 % implica una hipótesis muy fuerte y debería justificarse con evidencia.
La diferencia ayuda a visualizar cuánto riesgo económico se atribuye a los controles y puede apoyar la priorización de mejoras o análisis de ROI.