toolbox
Inicio / IA, datos y tecnología / Estimador de pérdida esperada por phishing

Estimador de pérdida esperada por phishing

Este estimador traduce un escenario de phishing en una pérdida económica anual esperada. Combina el número de intentos o exposiciones relevantes, la probabilidad de que uno produzca un incidente, el coste medio cuando ocurre y la reducción de riesgo que atribuyes a los controles existentes.

El resultado es una expectativa estadística para priorización y comparación, no una predicción de cuánto perderá una organización en un año concreto. Puede utilizarse para crear escenarios antes y después de controles, contrastar supuestos en un registro de riesgos o preparar un análisis de retorno de medidas de seguridad. Dado que la frecuencia, la probabilidad y el impacto varían mucho entre organizaciones, todas las variables críticas se introducen de forma explícita y deben basarse, cuando sea posible, en datos internos o fuentes documentadas.

Datos del cálculo

eventos
%
USD
%
Resultado
—
Pérdida anual esperada
Incidentes esperados/año—
Pérdida sin controles—
Reducción atribuida a controles—

1. Define la unidad de exposición
Usa intentos, campañas o eventos relevantes, pero no mezcles unidades distintas dentro del mismo escenario.

2. Estima la probabilidad
Introduce la probabilidad de que una exposición termine en un incidente con pérdida.

3. Valora el impacto medio
Incluye un coste medio por incidente coherente con tu alcance: respuesta, fraude, interrupción u otros conceptos que decidas modelizar.

4. Añade el efecto de controles
Expresa qué porcentaje del riesgo base consideras reducido por controles existentes.

5. Revisa pérdida e incidentes esperados
Compara el resultado con el escenario sin controles y prueba supuestos conservadores y adversos.

Pérdida esperada = exposiciones × probabilidad × pérdida por incidente × (1 − reducción por controles)

Las tasas se introducen como porcentaje y se convierten a decimal. El modelo supone un coste medio estable y una relación proporcional entre controles y reducción del riesgo.

Qué significa el resultado

La cifra representa una media estadística anual bajo los supuestos introducidos.

No es una provisión contable ni una predicción de incidentes individuales; usa rangos de escenario cuando la incertidumbre sea alta.

Datos: 200 exposiciones/año, probabilidad del 1,5 %, pérdida media de 25.000 USD y reducción por controles del 50 %.

Cálculo: incidentes base = 200 × 0,015 = 3. Pérdida base = 3 × 25.000 = 75.000 USD. Con controles: 75.000 × 0,50 = 37.500 USD.

Resultado: 37.500 USD de pérdida anual esperada en el escenario.

¿Qué significa una pérdida esperada si puede no ocurrir ningún incidente?

Es un promedio probabilístico: combina frecuencia, probabilidad e impacto. Un año real puede tener cero pérdidas o una pérdida muy superior a la media.

¿Cómo elijo la probabilidad por exposición?

Prioriza datos internos comparables, ejercicios, telemetría o una fuente documentada. Si la incertidumbre es alta, calcula varios escenarios en lugar de usar una precisión falsa.

¿Puedo incluir costes de tiempo y reputación?

Sí, si puedes valorarlos de forma consistente dentro de la pérdida media por incidente. Evita sumar el mismo coste en más de una categoría.

¿La reducción por controles se suma o se resta a la probabilidad?

En este modelo se aplica como reducción porcentual del riesgo base. Un 40 % de reducción deja el 60 % de la pérdida esperada sin controles.

¿En qué se diferencia de la exposición al riesgo de phishing?

La pérdida esperada es una media monetaria ponderada por probabilidad. Un estimador de exposición puede presentar riesgo bruto, residual u otras métricas sin limitarse a la pérdida media anual.