- Define el valor económico expuesto. Incluye solo el valor que podría verse afectado en el escenario analizado.
- Estima la probabilidad anual. Usa un porcentaje entre 0 y 100 basado en tu evaluación interna o en datos históricos comparables.
- Indica la severidad de la pérdida. Expresa qué porcentaje del valor expuesto se perdería si el incidente se materializa.
- Revisa el resultado. La cifra principal representa una exposición anual esperada, no el coste máximo posible.
- Compara escenarios. Cambia una variable cada vez para identificar qué supuesto influye más en el riesgo.
Estimador de exposición al riesgo del SOC
Esta herramienta estima la exposición anual al riesgo asociada al centro de operaciones de seguridad (SOC) a partir de tres variables: el valor económico potencialmente expuesto, la probabilidad anual de que se produzca un incidente relevante y la proporción de pérdida que podría materializarse si ocurre. El resultado se expresa como una pérdida anual esperada, útil para comparar escenarios con una base monetaria común.
Puede servir a responsables de seguridad, tecnología y finanzas para priorizar inversiones relacionadas con operaciones de detección y respuesta, contrastar alternativas de control y documentar supuestos de riesgo. No pretende predecir un incidente concreto: resume un escenario cuantificado. Conviene usar valores coherentes con el mismo perímetro y horizonte temporal y revisar los supuestos cuando cambien los activos, las amenazas o la eficacia de los controles.
Datos del escenario
€
%
%
Resultado
—
Exposición anual estimada
Impacto si ocurre—
Probabilidad anual—
Severidad—
Exposición anual = Valor expuesto × (Probabilidad anual / 100) × (Severidad de pérdida / 100)
El valor expuesto se expresa en euros; la probabilidad anual y la severidad se introducen como porcentajes. El producto de valor y severidad calcula el impacto económico condicionado a que ocurra el incidente. Al multiplicarlo por la probabilidad se obtiene una pérdida anual esperada.
El modelo supone un único escenario agregado y no incorpora correlaciones entre incidentes, distribución de pérdidas extremas ni cambios de control durante el año.
Qué significa el resultado
Una cifra mayor indica una exposición económica esperada más alta bajo los supuestos introducidos.
Es una estimación para análisis de escenarios y no sustituye una evaluación de riesgo completa.
Datos: valor expuesto de 500.000 €, probabilidad anual del 18 % y severidad del 35 %.
Cálculo: impacto si ocurre = 500.000 × 0,35 = 175.000 €. Exposición anual = 175.000 × 0,18 = 31.500 €.
Resultado: 31.500 € de pérdida anual esperada.
La cifra permite comparar este escenario con otros riesgos o con el coste anual de controles adicionales.
¿La exposición anual es el peor caso posible?
No. Es un valor esperado que combina impacto y probabilidad. El peor caso del escenario se aproxima más al impacto condicionado, antes de aplicar la probabilidad.
¿Qué debo incluir en el valor económico expuesto?
Incluye los costes y valores que pertenezcan al mismo escenario: interrupción, recuperación, activos o pérdidas operativas, según tu metodología. Evita mezclar importes que ya estén incluidos en la severidad.
¿Puedo usar una probabilidad superior al 100 %?
No en este modelo, porque representa la probabilidad de al menos un incidente relevante durante un año. Si necesitas modelar múltiples incidentes esperados, conviene usar una estimación basada en frecuencia y pérdida por evento.
¿Cómo trato varios escenarios de riesgo?
Calcula cada escenario por separado con sus propios supuestos y compáralos. Sumarlos solo es razonable si no estás duplicando impactos y si tu metodología acepta esa agregación.
¿Para qué sirve comparar la exposición con el coste de un control?
Ayuda a valorar si una inversión puede reducir una parte suficiente del riesgo económico. Para esa comparación es más adecuado utilizar también una calculadora de retorno de la inversión del control.