Apetito de riesgo y umbrales

El apetito de riesgo es una declaración amplia y de dirección: cuánto riesgo está dispuesta a asumir la organización para alcanzar sus objetivos, por tipo de riesgo. Se dice en palabras («mínimo» para la fuga de datos de los asociados, «moderado» para innovar en producto digital) y lo aprueba quien responde por el negocio, no el área de seguridad.

La tolerancia baja ese apetito a un límite medible: cuántas cuentas privilegiadas sin segundo factor son aceptables, cuántas horas de caída al mes. En NIST CSF 2.0 esto es el resultado GV.RM-02, dentro de la función Govern: las declaraciones de apetito y tolerancia de riesgo se establecen, se comunican y se mantienen. Lo que le da dientes al apetito es la tolerancia, porque se puede comparar con un KRI.

Un semáforo de tres colores convierte la tolerancia en algo que se lee en un segundo. Verde: el valor está en o por debajo del «verde hasta». Rojo: el valor alcanza o supera el «rojo desde». Ámbar: está entre los dos. Lo importante es que los dos cortes se fijaron antes de ver la lectura, de modo que nadie pueda mover el umbral para que el número se vea mejor.

La consola tiene las lecturas de marzo de los cinco KRI de Alborada con sus dos cortes. Clasifícalos.

El semáforo solo funciona si cada color tiene una consecuencia escrita. En Alborada, el ámbar lo atiende el dueño del KRI con un plan de acción y plazo; el rojo sube al comité de riesgos. Si el ámbar fuera informativo, nadie actuaría hasta que fuera rojo, y entonces ya no es una señal temprana. Si todo ámbar subiera al comité, el comité dejaría de leer.

Mira la tabla de escalamiento y aplícala a un KRI concreto: el de activos críticos sin dueño marca 4, con verde hasta 2 y rojo desde 6.

El apetito vale lo que vale quien lo firma. Una declaración sin aprobar es una opinión del equipo de seguridad: sus umbrales no obligan a nadie y, cuando un KRI llegue a rojo, el negocio puede discutir que esos límites nunca fueron suyos. Antes de usar un umbral en un informe hay que comprobar que su dominio tiene el apetito aprobado, y por quién y cuándo.