Cerraste el módulo 3 con una pregunta sin responder: Nimbus tiene 38 personas, un presupuesto limitado y una lista de mejoras que no cabe en un año, así que ¿qué se hace primero? Esta lección es el método para contestarla de forma defendible. No aprenderás ninguna tecnología nueva: aprenderás a convertir lo que ya sabes —el inventario de activos de 01-04, el STRIDE, el catálogo de ataques de 02-02, las medidas de 02-04 y las protecciones criptográficas del módulo 3— en un orden justificado, escrito y revisable. Es la lección menos técnica y la más determinante del curso, porque un equipo que protege lo que le apetece proteger gasta el presupuesto entero y sigue teniendo el agujero por donde entró el atacante de 02-06.

1. Sin priorización no hay seguridad posible
2. La ecuación del riesgo y lo que realmente significa
3. El proceso completo: ISO 31000 e ISO 27005 en una PYME
4. Establecer el contexto: el paso que casi todos se saltan
5. Identificar riesgos: del activo y del STRIDE al riesgo bien redactado
6. Análisis cualitativo: escalas, matriz 5×5 y niveles de aceptación
7. Lo que la matriz no puede decirte
8. Análisis cuantitativo: SLE, ARO, ALE y ROSI
9. Riesgo inherente, control y riesgo residual
10. Apetito y tolerancia al riesgo: quién pone el umbral
11. Las cuatro estrategias de tratamiento
12. El registro de riesgos como artefacto vivo
13. Cuándo se revisa y qué dispara una reevaluación

Marta, la CTO de Nimbus, sale del módulo 3 con una lista de 47 mejoras posibles. Tiene un presupuesto anual de seguridad de 18.000 € (dato ficticio, pero del orden realista para una PYME de 38 personas) y una sola persona de sistemas: Lucía puede dedicar, siendo optimistas, un 25 % de su jornada a seguridad sin que se caiga la operación —unas 440 horas al año—. Iván no tiene ninguna hora asignada: su trabajo es entregar funcionalidad.

Las 47 mejoras no caben, y ninguna combinación de esfuerzo hace que quepan. Por lo tanto la decisión no es «qué hacemos», sino «qué dejamos sin hacer», y esa es exactamente la decisión que la evaluación de riesgos permite tomar con argumentos en lugar de con intuición.

Defendible es la palabra clave. Cuando dentro de un año un cliente pregunte «¿por qué no teníais EDR?», la respuesta correcta no es «no nos dio tiempo», sino «lo evaluamos, quedó el duodécimo de la lista, estaba planificado para el segundo semestre y la dirección lo aceptó por escrito». Eso es gestión del riesgo.

Es, casi literalmente, la frase más malinterpretada de la seguridad. Tres precisiones la convierten en útil:

(a) No es una fórmula, es una herramienta de conversación. Nadie conoce la probabilidad verdadera de que Nimbus sufra un ransomware el año que viene. Lo que la ecuación hace es obligar a separar dos preguntas que la gente mezcla: «¿cuántas veces pasa esto?» y «¿cuánto duele cuando pasa?». Cuando Lucía dice «hay que renovar el certificado ya», la ecuación pregunta: ¿qué probabilidad hay de que caduque sin que nadie lo vea, y qué pasa exactamente si cae? Si la respuesta es «alta» y «la plataforma entera durante dos horas», eso compite en serio con el resto de la lista.

(b) El impacto es de negocio, no técnico. «Se compromete la base de datos» no es un impacto: es un suceso. El impacto es «40 clínicas sin agenda, notificación a la autoridad de control, pérdida estimada de dos clientes y coste legal». Un riesgo cuyo impacto está redactado en términos técnicos no lo puede priorizar la dirección, que es precisamente quien tiene que hacerlo.

(c) ISO 27005 añade un tercer factor: la amenaza explota una vulnerabilidad sobre un activo. En una PYME basta con integrarlo en la probabilidad, porque la vulnerabilidad es lo que hace que la probabilidad sea alta. Que exista el ransomware es constante para todo el mundo; que las copias de Nimbus estén en la misma cuenta cloud es lo que dispara su probabilidad de sufrir un desastre irreversible.

ISO 31000 es la norma genérica de gestión del riesgo —vale para riesgo financiero, laboral o de cualquier tipo— e ISO 27005 es su aplicación al riesgo de seguridad de la información. Ambas describen el mismo ciclo:

Dos detalles del diagrama importan más que el diagrama: la comunicación no es un paso, es transversal —una evaluación hecha por Lucía en solitario y presentada al final es una evaluación que la dirección no siente suya y, por tanto, no financiará—; y el ciclo se cierra sobre «Identificar», no sobre «Analizar», porque al revisar no solo se repuntúa lo que hay: se buscan riesgos nuevos, ya que la arquitectura ha cambiado.

Antes de identificar un solo riesgo hay que fijar cuatro cosas por escrito. Sin ellas, el resto del ejercicio produce números incomparables entre sí.

El horizonte temporal es el que más discusiones ahorra. «Es probable» no significa nada si no dices en cuánto tiempo. En Nimbus todas las probabilidades se expresan como veces por año, y eso hace que dos personas distintas puntúen parecido.

Ya tienes las dos entradas: el inventario A-01…A-22 de 01-04 y el modelado STRIDE del mismo capítulo. El procedimiento es mecánico: activo → categoría STRIDE aplicable → vulnerabilidad conocida → riesgo redactado → propietario (que es el propietario del activo).

Un riesgo mal redactado no se puede puntuar; usa siempre esta estructura:

Fíjate en que la redacción correcta ya contiene, implícitamente, el control que falta. No es casualidad: un riesgo bien escrito casi propone su tratamiento.

No inventes riesgos: recógelos de donde ya están.

La calidad del análisis cualitativo depende por completo de que las escalas tengan criterios objetivos, no adjetivos. «Media» no significa nada; «entre una vez cada 3 y cada 10 años» sí.

Se puntúa el peor de los cinco criterios, nunca el promedio.

Que Nimbus tenga una columna específica de datos personales no es decorativo: sus clientes son clínicas y el historial de citas revela indirectamente información de salud. Es la dimensión que dispara los impactos de nivel 5.

Sin esta última tabla la matriz no decide nada. Puntuar es la mitad del trabajo; la otra mitad es haber acordado de antemano qué se hace con cada banda, porque acordarlo después de ver los números invita a mover el umbral hasta que el resultado sea cómodo.

• Agregación engañosa. Diez riesgos «medios» que comparten causa raíz —todos dependen de A-05— no son diez problemas medianos: son un problema crítico disfrazado, y la matriz no lo verá porque puntúa riesgos aislados. Remedio: agrupar por causa raíz antes de decidir.
• Sesgo del punto medio. Quien duda, puntúa 3. Un registro con el 60 % de las entradas en 3×3 no está evaluando: está rellenando. Remedio: prohibir el 3 sin justificación escrita, o usar escalas pares sin centro.
• Las bandas son ordinales, no cardinales. Un 16 no es «el doble de malo» que un 8; no se pueden sumar ni promediar puntuaciones. Y hay compresión del extremo: todo lo catastrófico acaba en 5, así que una fuga de 200.000 € y otra de 2 millones puntúan igual. Para esos pocos casos se recurre al cuantitativo.
• Sesgo del evaluador. Lucía sobrevalora lo que ella controla; Iván infravalora lo que él programó. Remedio: puntuar en grupo, no por correo.

El cuantitativo pone euros donde el cualitativo pone colores. No sustituye a la matriz —es demasiado caro para 47 riesgos—, pero es imprescindible para justificar una inversión concreta ante la dirección.

Lee el resultado con cuidado, porque contiene la lección entera. La fuga es mucho más grave por evento (192.000 € frente a 52.000 €), pero la caída tiene mayor ALE porque se espera cinco veces más a menudo. Si Nimbus eligiera solo por ALE, invertiría antes en disponibilidad que en confidencialidad. Ese resultado contraintuitivo es justo lo que el método aporta: obliga a discutir la decisión en lugar de asumirla.

ROSI (Return On Security Investment) responde a «¿merece la pena este control?». Se calcula como (Ahorro − Coste anual del control) / Coste anual del control × 100, donde el ahorro es la diferencia entre el ALE antes y después de aplicarlo.

Esto reproduce, con números, la conclusión de las 12 medidas de 02-04: MFA y copias inmutables son las dos inversiones de mayor retorno, y el EDR —la única con coste medio real— llega muy por detrás. No es que el EDR sea malo: es que está mal colocado en el orden.

Advertencia imprescindible. Los cuatro números de entrada de cada línea son estimaciones humanas. Un ROSI del 7.367 % transmite una precisión que no existe. Lo que el cálculo demuestra no es «7.367», sino el orden de magnitud y el orden relativo: MFA es dos órdenes de magnitud mejor inversión que EDR. Presenta siempre estos números con su rango («entre 3.000 % y 12.000 % según la estimación de ARO») y documenta de dónde sale cada supuesto. Un cuantitativo con supuestos ocultos es peor que un cualitativo honesto.

Tres reglas que se incumplen a diario. (1) El riesgo residual nunca es cero: quien presente un registro con residuales de 1 o miente o no entiende el ejercicio; el objetivo es llevarlo por debajo del apetito, no eliminarlo. (2) El control solo reduce el riesgo si funciona de verdad: puntuar el residual asumiendo MFA en todas las cuentas cuando está en la mitad es un fraude contable, así que el residual se puntúa sobre el estado verificado, y esa verificación es materia de 04-03. (3) Conviene saber si el control reduce probabilidad o impacto: MFA reduce la probabilidad —no entran—; las copias inmutables no la reducen en absoluto y reducen el impacto —entran, pero se recupera—. Un riesgo tratado solo con controles de probabilidad se queda sin red cuando la probabilidad se materializa igualmente.

Apetito es la cantidad de riesgo que la organización está dispuesta a asumir para lograr sus objetivos: una declaración estratégica. Tolerancia es la desviación aceptable alrededor de ese apetito, expresada por categoría y de forma medible. Así lo tiene escrito Nimbus:

Sin este documento la matriz no decide nada. Puedes puntuar 47 riesgos perfectamente y seguir sin saber cuáles hay que tratar, porque «Alto» solo significa algo cuando alguien ha dicho antes qué se hace con lo Alto. En Nimbus lo fija la dirección a propuesta de Marta, y es deliberadamente asimétrico: apetito nulo en datos de salud y medio en deuda técnica. Esa asimetría es la estrategia de seguridad de la empresa, escrita en diez líneas.

La quinta opción, que no existe: ignorar. Aceptar e ignorar producen la misma factura y son cosas distintas. Aceptar tiene nombre, firma, fecha y caducidad; ignorar no tiene nada. La diferencia se nota justo el día del incidente.

Y las tres trampas que hacen que una póliza no pague: (1) los requisitos previos —las pólizas actuales exigen por escrito MFA en accesos administrativos, copias verificadas y gestión de parches, así que si Nimbus declara que tiene MFA y el incidente demuestra que la consultora entraba sin él, la aseguradora puede rechazar el siniestro por inexactitud en la declaración—; (2) las exclusiones —actos de guerra o de estado, relevante en ransomware atribuido; fallo de un proveedor no declarado; sanciones regulatorias en algunas jurisdicciones—; y (3) las obligaciones de proceso, porque muchas pólizas obligan a usar el equipo forense y jurídico del asegurador y a notificar en un plazo corto: llamar primero a tu consultora de confianza puede invalidar la cobertura.

Nota de validación. La contratación de un ciberseguro, la lectura de sus exclusiones y las declaraciones que se firman en el cuestionario de suscripción tienen consecuencias contractuales serias. Revísalo con un corredor especializado y con asesoría jurídica antes de firmar, y vuelve a revisarlo cuando cambie tu arquitectura. La transferencia del riesgo no es la transferencia de la responsabilidad.

Este es el entregable de la lección, y lo necesitarás en el proyecto final del módulo 7. Un registro es un documento vivo: si su fecha de última modificación tiene más de seis meses, no es un registro, es un recuerdo.

Los siete riesgos restantes siguen exactamente el mismo esquema; se resumen aquí para no repetir la estructura:

Observa el registro como conjunto y verás tres cosas que ninguna entrada dice por separado: cuatro de los once riesgos citan directamente la cuenta cloud A-05 y casi todos los demás dependen de ella (01-04), la mayoría de los tratamientos son baratos, y la única aceptación formal lleva firma, fecha y caducidad. Ese último campo es el que impide que una aceptación se convierta en un olvido permanente. Fíjate también en R-09: no tiene adversario y aun así es de banda Alta.

Mensual, Marta y Lucía revisan el estado de los tratamientos abiertos: ¿avanzan? Trimestralmente, con Iván, se revisan los riesgos Críticos y Altos: ¿sigue siendo válida la puntuación? Y anualmente la dirección hace la revisión completa: riesgos nuevos, cierre de obsoletos y apetito.

Además, los disparadores que obligan a reevaluar sin esperar al calendario: cambio de arquitectura (nueva integración, migración, nueva app móvil); incidente propio o del sector —cualquier incidente reevalúa la probabilidad de su clase entera: el caso de 02-06 debería llevar el ransomware al nivel 5 para todo el SaaS sanitario—; nuevo proveedor o cambio en uno existente (04-04); cambio normativo o contractual, como un cliente que exija ISO 27001; cambio organizativo, como la baja de Lucía; y el resultado de una auditoría o de un pentest (05-03, 06-04).

• Hacer la evaluación una vez y archivarla. Es el error número uno y el más caro: un registro de hace 18 meses describe una empresa que ya no existe. Consejo: pon la revisión trimestral en el calendario con invitación aceptada, y trata el registro como código: control de versiones, cambios revisados, historial.
• Puntuar sin criterios escritos. Si dos personas puntúan lo mismo con 4 y con 2, el problema no son ellas: es que «probable» no está definido. No puntúes nada hasta tener aprobadas las tablas del apartado 6, y ténlas delante durante la sesión.
• Que la evaluación la haga solo el equipo técnico. Lucía sabe qué puede romperse; solo Sara y Marta saben cuánto cuesta que se rompa. Una evaluación puramente técnica produce impactos mal estimados y, peor aún, sin autoridad para asignar presupuesto.
• Confundir el registro con la lista de tareas pendientes. «Actualizar el servidor» no es un riesgo, es un tratamiento. Si tu registro está lleno de infinitivos, lo estás usando como backlog: aplica la fórmula de 5.1 a cada entrada. Y no infles todo a Crítico para conseguir presupuesto: funciona una vez; la segunda, la dirección deja de leer el documento. Si más del 15 % de tu registro es Crítico, no estás priorizando.
• Puntuar el residual con controles que aún no existen. Se llama optimismo de proyecto y falsea el registro entero. El estado deseado va en tratamiento, no en residual.
• Olvidar los riesgos sin adversario. R-09 (Lucía es la única de sistemas) y R-10 (caída del proveedor) no tienen atacante y son igual de reales. La disponibilidad se rompe sola.

En el descubrimiento de 01-04 apareció una hoja de cálculo con las nóminas de los 38 empleados compartida mediante un enlace público, creada por Sara hace 14 meses y nunca revocada.

1. Redacta el riesgo con la fórmula del apartado 5.1.
2. Puntúa probabilidad e impacto con las escalas de 6.1 y 6.2, justificando cada número.
3. Determina la banda y la regla de decisión aplicable.
4. Propón estrategia y tratamiento, y estima el riesgo residual.

Nimbus valora contratar un servicio gestionado de detección que vigile los registros, con un coste de 14.400 € anuales. Su efecto principal es reducir el tiempo de detección, no impedir la entrada.

1. Sobre R-01 (ransomware, ALE de 96.000 €), ¿qué factor de la ecuación modifica un servicio de detección: la probabilidad o el impacto? Razónalo con la cronología de 02-06.
2. Si estimas que reduce el ALE un 35 %, calcula el ROSI.
3. Compáralo con las tres opciones del apartado 8.2 y decide qué recomendarías a Marta este año. ¿Cambiaría tu respuesta si Nimbus ya tuviera MFA y copias inmutables?

Marta recibe el registro de riesgos de una empresa comparable y detectas: 34 de 40 riesgos puntuados 3×3; todos los propietarios son «Departamento de IT»; la columna de residual vacía en 31 entradas; 6 riesgos con estrategia «Aceptar» sin firma ni fecha; y ultima_revision idéntica en las 40 entradas, hace 19 meses. Identifica qué problema revela cada síntoma, qué corrección aplicarías y en qué orden.

Ejercicio 1

(1) «Si cualquier persona que reciba o descubra el enlace público accede a la hoja de nóminas alojada en el almacenamiento corporativo (A-16), que lleva 14 meses compartida sin restricción ni caducidad, entonces se exponen salarios, DNI y datos bancarios de los 38 empleados, con incumplimiento de la normativa de protección de datos, notificación probable a los afectados y a la autoridad de control, y un grave deterioro de la confianza interna.»

(2) Probabilidad = 4 (Alta): no requiere ninguna capacidad técnica, basta con tener el enlace; lleva 14 meses activo, probablemente circuló por correo y puede estar indexado. No es una hipótesis remota, es una exposición en curso. Algunos evaluadores defenderían un 5; la diferencia real está en si hay evidencia de acceso, y eso se comprueba en el registro de accesos del almacenamiento antes de puntuar. Impacto = 4 (Grave): datos personales identificativos y financieros de empleados —pero no de clientes ni datos de salud, lo que lo mantiene por debajo de 5—, notificación probable, impacto interno severo, económico moderado. Nivel = 16 → banda Crítico.

(3) Banda Crítico → tratamiento inmediato, plan en 7 días, conocimiento de la dirección. Con un matiz importante: revocar el enlace cuesta dos minutos, así que el tratamiento no debe esperar al plan. Primero se corta la exposición; después se documenta.

(4) Estrategia Mitigar, en tres capas: (a) revocar el enlace hoy y revisar el registro de accesos para determinar si hubo exposición real —dato necesario para decidir sobre la notificación—; (b) mover el fichero a una carpeta restringida a Sara y dirección; (c) atacar la causa desactivando a nivel de organización la creación de enlaces públicos y revisando todos los existentes. Con (a)+(b) el residual baja a 2 × 4 = 8, Medio; con (c) implantado, a 1 × 4 = 4, Bajo. La parte (c) es la única que convierte un arreglo puntual en un control, y la única que impide que el mismo riesgo reaparezca en seis meses con otro fichero.

Ejercicio 2

(1) La detección no reduce la probabilidad: el atacante entra igual. Reduce el impacto, acortando el tiempo de permanencia. En el caso de 02-06 el atacante estuvo 20 días dentro; la exfiltración ocurrió entre los días 13 y 19 y la destrucción de copias el día 20. Detectar el día 2 no habría evitado el compromiso, pero sí la exfiltración de 1,2 TB y la destrucción de copias, que es donde está la mayor parte del daño. Por eso la detección tiene un valor alto pese a no impedir nada.

(2) Ahorro = 96.000 × 0,35 = 33.600 €. ROSI = (33.600 − 14.400) / 14.400 × 100 = 133 %.

(3) Con un 133 % queda por debajo del MFA (7.367 %) y de las copias inmutables (2.033 %), y prácticamente empatada con el EDR (150 %). Recomendación para este año: no, y no porque sea mala, sino porque el orden importa: detectar rápido un incidente y no poder restaurar sigue terminando en desastre. Y sí, la respuesta cambia si esos dos ya están implantados: cuando los controles baratos de prevención y recuperación están hechos, el ALE restante se concentra justo en lo que la detección ataca, su reducción efectiva sube y pasa a ser la siguiente inversión lógica. Esto revela algo que el ROSI aislado esconde: el retorno de un control depende de qué otros controles ya existan, así que el cálculo se rehace cada año.

Ejercicio 3

Orden de corrección: 5 → 1 → 2 → 3 → 4. Primero revive el documento, porque corregir lo demás sobre un registro muerto es maquillar un cadáver; después arregla el método de puntuación, del que depende todo lo demás; luego los dueños, que son quienes ejecutan; después el residual; y por último formaliza las aceptaciones, que es un trámite de firma una vez el resto es correcto.

Has aprendido el método que convierte una lista inabarcable en un orden defendible, que era exactamente la promesa con la que cerró el módulo 3. Sabes que sin priorización no hay seguridad posible porque el presupuesto de Nimbus y las 440 horas anuales de Lucía son finitos, y que de las tres formas de priorizar solo una se puede defender ante un cliente, ante la dirección o ante un auditor.

Manejas la ecuación del riesgo por lo que de verdad aporta: no una fórmula exacta, sino la obligación de separar «cuántas veces pasa» de «cuánto duele», y de escribir el impacto en términos de negocio para que lo pueda priorizar quien tiene el presupuesto. Conoces el ciclo de ISO 31000/27005 adaptado a una PYME, con la comunicación como actividad transversal, y sabes identificar riesgos desde el inventario A-01…A-22, el STRIDE y los hallazgos del descubrimiento, redactándolos con una fórmula que hace que el riesgo casi proponga su propio tratamiento.

Dominas el análisis cualitativo con escalas de criterios objetivos —no adjetivos— y la matriz 5×5 con sus bandas de aceptación, junto con sus límites: agregación engañosa, sesgo del punto medio, ordinales que no se suman y compresión del extremo. Y sabes cuándo pasar al cuantitativo: SLE, ARO y ALE calculados para la fuga de adjuntos y para la caída de 48 h, con el resultado incómodo de que la caída tiene mayor ALE pese a ser mucho menos grave por evento, y con el ROSI que reproduce con euros la conclusión de 02-04 —MFA y copias inmutables son dos órdenes de magnitud mejor inversión que un EDR—, siempre con la advertencia de que los datos de entrada son estimaciones y lo que vale es el orden, no el decimal. Distingues inherente, control y residual con sus tres reglas —el residual nunca es cero, solo cuenta el control verificado, y conviene saber si reduce probabilidad o impacto—, tienes la declaración de apetito y tolerancia que la dirección firma y sin la cual la matriz no decide nada, conoces las cuatro estrategias de tratamiento con el ciberseguro y sus tres trampas reales, y te llevas el artefacto: la plantilla del registro de riesgos y un registro de Nimbus con once riesgos que convergen una y otra vez en A-05 y la única aceptación lleva firma, fecha y caducidad.

Pero un registro de riesgos, por bueno que sea, caduca con la persona que lo escribió. Dice qué decidió Marta en febrero de 2026; no dice qué debe hacer un empleado nuevo el próximo martes, ni qué es obligatorio y qué es recomendable, ni quién puede autorizar una excepción. Las decisiones que has tomado aquí —MFA obligatorio, acceso just-in-time, prohibición de enlaces públicos, secretos en gestor y no en .env— necesitan dejar de vivir en la cabeza de tres personas.

En la siguiente lección, Políticas de Seguridad (04-02), verás cómo se fija por escrito una decisión para que sobreviva a quien la tomó: la jerarquía política → norma → procedimiento → guía, la anatomía de una política con plantilla completa reutilizable, dos políticas de Nimbus redactadas enteras, el proceso de aprobación y comunicación, y el registro de excepciones con caducidad obligatoria, donde volverás a encontrarte —esta vez por escrito— el acceso permanente de la consultora.