toolbox
Inicio / IA, datos y tecnología / Estimador de pérdida esperada por amenaza interna

Estimador de pérdida esperada por amenaza interna

Estima la pérdida anual esperada de un escenario de amenaza interna combinando los costes de investigación y respuesta, la pérdida o exposición de activos, la interrupción operativa y una probabilidad anual estimada. El modelo sirve tanto para escenarios maliciosos como para acciones internas no intencionadas si los supuestos se definen de forma coherente.

El resultado ayuda a comparar el riesgo interno con otros escenarios de seguridad y a evaluar si merece la pena profundizar en controles de acceso, supervisión, segregación de funciones o procesos de salida. No atribuye culpabilidad ni predice conductas individuales; cuantifica un escenario agregado.

Datos del escenario

€
€
€
%
Resultado
—
resultado estimado
Pérdida por incidente—
Probabilidad anual—
Mayor componente—

1. Define un escenario interno
Delimita un tipo concreto de incidente para no mezclar impactos incompatibles.

2. Estima investigación y respuesta
Incluye recursos de seguridad, análisis, contención y otras acciones directamente vinculadas al incidente.

3. Valora activos e información
Introduce la pérdida económica estimada asociada a datos, propiedad intelectual, fraude u otros activos del escenario.

4. Añade interrupción operativa
Cuantifica el impacto de sistemas, equipos o procesos que queden afectados.

5. Asigna una probabilidad anual
Introduce una probabilidad coherente con el escenario y el horizonte de un año.

6. Revisa el resultado
Compara la pérdida esperada y el componente dominante para orientar análisis posteriores.

Pérdida por incidente = investigación + pérdida de activos + interrupción
Pérdida anual esperada = pérdida por incidente × (probabilidad anual / 100)

Las partidas se expresan en euros por incidente y la probabilidad en porcentaje anual. El modelo no incluye efectos que no se hayan valorado explícitamente.

Qué significa el resultado

La pérdida anual esperada es una medida de planificación que pondera el impacto del escenario por su probabilidad; no es una predicción sobre una persona o evento concreto.

Evita usar esta cifra para evaluar individuos. El análisis debe centrarse en procesos, accesos, activos y controles.

Datos: 55.000 € de investigación, 180.000 € de pérdida de activos, 65.000 € de interrupción y 10 % de probabilidad anual.

Cálculo:
Pérdida por incidente = 55.000 + 180.000 + 65.000 = 300.000 €.
Pérdida esperada = 300.000 × 0,10 = 30.000 €.

Resultado: 30.000 € de pérdida anual esperada.

Interpretación: La pérdida de activos domina el escenario, por lo que los controles sobre acceso y uso de información podrían merecer un análisis específico.

¿Una amenaza interna siempre implica una acción maliciosa?

No. Un escenario interno puede incluir acciones intencionadas o errores no intencionados si el alcance se define claramente.

¿Cómo estimo la pérdida de activos?

Usa una valoración económica coherente con el activo afectado y evita sumar dos veces el mismo impacto en interrupción u otras partidas.

¿Puedo calcular escenarios separados por tipo de usuario?

Sí, siempre que el objetivo sea analizar controles y exposición de procesos, no perfilar ni atribuir riesgo injustificado a personas concretas.

¿Qué ocurre si no puedo estimar bien la probabilidad?

Calcula varios escenarios de probabilidad y observa el rango de resultados. La incertidumbre debe quedar visible en lugar de ocultarse en una cifra única.

¿En qué se diferencia del coste de inactividad por amenaza interna?

La pérdida esperada incluye varias partidas y una probabilidad anual; el coste de inactividad se centra en el impacto operativo del tiempo perdido en un incidente.