Estimador de exposición al riesgo por gestión de parches
Este estimador cuantifica una exposición económica simplificada asociada a sistemas que permanecen sin parchear. Combina el tamaño del parque, la proporción que sigue expuesta, la probabilidad anual de explotación y una pérdida media por sistema afectado para expresar el riesgo en una cifra monetaria comparable.
Puede ser útil para responsables de seguridad, TI y riesgo que necesitan priorizar campañas de parcheo o justificar recursos. El resultado no predice un incidente concreto: sirve para comparar escenarios, por ejemplo antes y después de reducir el porcentaje de equipos sin actualizar, y para identificar qué variable ejerce más presión sobre la exposición estimada.
Para obtener una lectura más útil, conviene repetir el cálculo por grupos de criticidad o por ventanas de parcheo. Así se evita que un promedio global diluya activos especialmente sensibles y se puede observar cuánto cambia la exposición al mejorar la cobertura o reducir el tiempo que un sistema permanece pendiente.
Datos de entrada
uds.
%
%
€
Resultado
—
Exposición anual estimada
Sistemas expuestos—
Compromisos esperados—
Pérdida media—
1. Indica el número de sistemas Introduce los equipos, servidores o activos que entran en el alcance del análisis.
2. Estima la proporción sin parchear Usa el porcentaje que permanece pendiente durante el periodo de referencia.
3. Define la probabilidad de explotación Introduce una probabilidad anual coherente con tu escenario y con el tipo de vulnerabilidades consideradas.
4. Valora el impacto medio Expresa la pérdida económica media esperada por cada sistema comprometido.
5. Revisa la exposición Compara el importe resultante con otros escenarios de parcheo o controles compensatorios.
Sistemas expuestos = Sistemas × % sin parchearExposición al riesgo = Sistemas expuestos × Probabilidad de explotación × Pérdida media por sistema
Variables:
Sistemas = número de activos incluidos % sin parchear = fracción pendiente de parche, expresada como decimal Probabilidad de explotación = probabilidad anual por sistema expuesto, en decimal Pérdida media = impacto económico medio por sistema comprometido
Supuestos: El modelo trata cada sistema como una unidad equivalente y no modela dependencias, propagación lateral ni múltiples incidentes correlacionados.
Qué significa el resultado
El resultado representa una pérdida económica esperada anual bajo los supuestos introducidos. Es más útil para comparar escenarios que como predicción puntual.
Una estimación más avanzada puede separar activos por criticidad, distinguir vulnerabilidades y modelar incidentes correlacionados.
Datos: 2.000 sistemas 18 % sin parchear 6 % de probabilidad anual de explotación 4.500 € de pérdida media por sistema
Interpretación: La cifra permite comparar el riesgo económico esperado con el coste de acelerar el parcheo o desplegar medidas compensatorias.
¿La exposición equivale a una pérdida segura?
No. Es un valor esperado construido con probabilidades y un impacto medio; la pérdida real puede ser menor, mayor o no producirse.
¿Qué porcentaje de sistemas debo considerar sin parchear?
Usa el porcentaje que realmente permanece pendiente durante el periodo analizado, no solo el inventario total de vulnerabilidades abiertas.
¿Puedo usar una probabilidad de explotación por vulnerabilidad?
Sí, pero solo si el resto del modelo mantiene la misma unidad de análisis. Si introduces una probabilidad por vulnerabilidad, conviene modelar también el número de vulnerabilidades y no mezclarlo con una probabilidad por sistema.
¿Qué ocurre si algunos sistemas son mucho más críticos?
El promedio puede ocultar concentraciones de riesgo. En ese caso, calcula grupos separados por criticidad y suma sus exposiciones.
¿En qué se diferencia del estimador de pérdida esperada?
Este modelo pone el foco en la superficie aún expuesta por falta de parches. Un estimador de pérdida esperada puede incorporar además frecuencia de incidentes, tipos de pérdida y otros controles.