Este estimador expresa en términos económicos la exposición residual de un escenario Zero Trust. Calcula primero la exposición inherente a partir de la probabilidad anual y del impacto potencial y, después, aplica la eficacia estimada del conjunto de controles para mostrar cuánto riesgo permanece.
La herramienta es apropiada para análisis comparativos de arquitectura, segmentación, identidad y políticas de acceso cuando se necesita una métrica común. No asigna por sí sola una eficacia a Zero Trust: ese porcentaje debe proceder de tus propios supuestos o evidencias.
1. Define un escenario concreto. Mantén el mismo evento y alcance al comparar alternativas.
2. Introduce la probabilidad. Usa una estimación anual entre 0 y 100 %.
3. Introduce el impacto potencial. Expresa el impacto económico del mismo escenario.
4. Estima la eficacia de los controles. Indica qué proporción de la exposición inherente consideras mitigada.
5. Compara el factor residual. Úsalo junto con el importe para entender cuánto riesgo permanece respecto al punto de partida.
La eficacia se aplica como reducción proporcional de la exposición. Es una simplificación que no distingue entre controles preventivos, detectivos y de recuperación.
El importe residual resume el riesgo económico que queda después de aplicar la eficacia estimada de los controles.
Una eficacia elevada no sustituye el análisis de riesgos de baja frecuencia y gran impacto.
Datos: probabilidad del 24 %, impacto de 200.000 € y eficacia del 48 %.
Cálculo: exposición inherente = 0,24 × 200.000 = 48.000 €. Residual = 48.000 × 0,52 = 24.960 €.
Resultado: la exposición residual estimada es de 24.960 €, equivalente al 52 % de la exposición inherente.
Porque el modelo interpreta la eficacia como la parte de exposición mitigada. Lo que no se mitiga permanece como factor residual.
Sí, si mantienes constantes probabilidad e impacto y cambias únicamente la eficacia estimada, o si documentas claramente qué hipótesis cambia en cada escenario.
Puede, pero el título se refiere al enfoque Zero Trust en conjunto. Si analizas un solo control, conviene dejar claro ese alcance.
La multiplicación puede producir una exposición media moderada aunque el impacto extremo sea alto. Conviene revisar también el impacto potencial por separado.
Aquí se usa una probabilidad anual de escenario. Una pérdida esperada basada en frecuencia admite varios incidentes medios por año.