Métricas que un directivo entienda y no se puedan maquillar

«Cerramos 4.000 vulnerabilidades este trimestre» suena a trabajo y no dice nada. Es la métrica que más se maquilla: se cierran 4.000 hallazgos triviales —avisos informativos, certificados internos— y el número sube mientras las tres críticas expuestas a internet siguen abiertas. Un directivo que ve «4.000 cerradas» cree que va bien. Contar volumen premia el esfuerzo en lo fácil y esconde lo que importa. La pregunta que una métrica de volumen no responde nunca es «¿y las que de verdad podían hacernos daño?».

Toda métrica que se pueda subir haciendo trabajo irrelevante es una mala métrica para dirección. El número tiene que moverse solo cuando el riesgo real se mueve.

La métrica que sí dice algo es la exposición crítica: cuántos activos críticos alcanzables desde internet tienen una vulnerabilidad crítica sin parchear, ahora mismo, y hacia dónde va esa cuenta con el tiempo. Es un número pequeño —de un dígito, casi siempre—, se entiende sin explicación, y no se maquilla cerrando ruido, porque solo baja cuando se arregla algo que de verdad importaba. Un directivo entiende «tenemos tres puertas críticas abiertas a internet, la semana pasada eran cinco» sin saber nada de CVSS.

La tendencia importa tanto como el número: una foto dice dónde estás, la línea dice si mejoras. Tres que la semana que viene son seis es una alarma aunque tres suene poco.

La segunda métrica honesta mide la fase que se atasca: cuánto tarda la organización en cerrar un hallazgo crítico desde que se detecta. Si las críticas tardan noventa días en parcheo, ese número lo dice sin adornos, y es el que de verdad describe si el ciclo funciona —porque encontrar es fácil y arreglar es lo que cuesta—. Medir el tiempo de remediación pone el foco donde está el problema real, no donde es cómodo mirar. Y es difícil de maquillar: el reloj corre solo desde la detección.

Un buen tablero de dirección lleva estas dos —exposición crítica y tiempo de remediación— antes que cualquier recuento de volumen. Dicen, entre las dos, cuánto riesgo expuesto hay y cuánto tarda en cerrarse.

La métrica que casi nadie pone en el tablero y sostiene a todas las demás es la cobertura: qué porcentaje del inventario se está escaneando de verdad. Un panel que dice «cero críticas» con el 60 % del inventario sin escanear no es una buena noticia, es una noticia a medias —las críticas pueden estar en el 40 % ciego—. Sin la cobertura al lado, cualquier otra métrica se lee como mejor de lo que es. Por eso acompaña siempre a las demás: es el asterisco que dice cuánto de la foto es real.

Poner la cobertura en el tablero es un acto de honestidad que a veces incomoda —revela cuánto no se ve—, y por eso mismo es la que más confianza da a quien decide con esos números.