toolbox
Inicio / IA, datos y tecnología / Estimador de exposición al riesgo de ransomware

Estimador de exposición al riesgo de ransomware

Este estimador calcula la exposición económica de un escenario de ransomware antes de convertirla en una pérdida anual esperada. Parte del valor de los activos o procesos expuestos, aplica un porcentaje de impacto si el incidente tiene éxito y resta la parte del daño que se espera evitar mediante recuperación, copias de seguridad u otros mecanismos de resiliencia. El resultado expresa la pérdida potencial residual de ese escenario.

Puede usarse para comparar unidades de negocio, aplicaciones o escenarios con distintos niveles de impacto y recuperabilidad. La exposición no es una probabilidad ni una predicción de frecuencia: describe la severidad económica condicionada al escenario definido. Los valores deben construirse con criterios consistentes, evitando sumar activos intangibles o pérdidas que ya estén incluidas en otra partida para no contar dos veces el mismo impacto.

Datos para el cálculo

€
%
%
€
Resultado
—
exposición económica residual del escenario
Impacto económico base—
Impacto recuperado/evitado—
Costes adicionales—

1. Define el valor expuesto
Introduce el valor económico del proceso, servicio, datos o activo afectado dentro del escenario.

2. Estima el porcentaje de impacto
Indica qué fracción de ese valor podría perderse o quedar económicamente afectada si el escenario se materializa.

3. Añade la capacidad de recuperación
Introduce el porcentaje del impacto base que podría recuperarse o evitarse mediante resiliencia y restauración.

4. Incluye costes adicionales
Suma gastos del incidente que no estén ya representados dentro del valor expuesto multiplicado por el impacto.

5. Revisa la exposición residual
El resultado muestra la severidad económica restante sin aplicar una frecuencia anual.

Exposición residual = Valor expuesto × Impacto × (1 − Recuperación) + Costes adicionales

Variables:

• Valor expuesto y costes adicionales se expresan en euros.
• Impacto es la fracción del valor afectada por el escenario.
• Recuperación es la fracción del impacto base que se evita o recupera.

Supuestos: El modelo mide severidad residual del escenario. No incorpora probabilidad o frecuencia y supone que el porcentaje de recuperación se aplica solo al impacto sobre el valor expuesto, no a los costes adicionales.

Qué significa el resultado

El resultado resume el escenario definido por los datos de entrada y debe interpretarse junto con el desglose mostrado.

Es una estimación basada en un modelo simplificado; utiliza datos propios y prueba escenarios alternativos cuando exista incertidumbre.

Datos:
• 1.200.000 € de valor expuesto
• 22 % de impacto potencial
• 45 % recuperable
• 40.000 € de costes adicionales

Cálculo:
Impacto base = 1.200.000 × 0,22 = 264.000 €
Impacto residual = 264.000 × (1 − 0,45) = 145.200 €
Exposición total = 145.200 + 40.000 = 185.200 €

Resultado: 185.200 €

Interpretación: La cifra representa la pérdida económica residual del escenario si ocurre, antes de ponderarla por la frecuencia o probabilidad de ransomware.

¿La exposición al riesgo es lo mismo que pérdida esperada?

No. La exposición de este modelo es una severidad residual por escenario. Para obtener un valor anual esperado habría que incorporar una frecuencia o probabilidad coherente.

¿Qué debo incluir en el valor económico expuesto?

Solo partidas cuyo valor pueda relacionarse de forma consistente con el impacto modelizado. Evita mezclar importes que después vuelvas a añadir como costes adicionales.

¿Cómo interpreto el porcentaje recuperable?

Es la parte del impacto base que se espera evitar o recuperar gracias a copias, restauración, redundancia u otras medidas de resiliencia dentro del escenario.

¿Puede la recuperación ser del 100 %?

El modelo lo permite y dejaría como exposición únicamente los costes adicionales. En la práctica, una recuperación técnica completa no implica necesariamente ausencia de costes de interrupción o respuesta.

¿Cómo puedo comparar controles de seguridad con esta cifra?

Calcula un escenario antes y después del control cambiando impacto o recuperación de forma justificada. La reducción de exposición puede formar parte de una evaluación de coste-beneficio, junto con la frecuencia y el coste del control.