Cuánto se pierde y cuánto protege

El método de la casa convierte frecuencia y pérdida por evento en una pérdida anual esperada. Un escenario puede ser el más frecuente o el de mayor pérdida por evento sin ser el que más se espera perder en un año; esa es justamente la trampa de leer una columna sola.

La eficacia que declara un control solo cuenta si hubo una prueba reciente que la respalde. El método fija la ventana de esa prueba contra el corte. Calcula el riesgo residual del escenario del correo mal dirigido con lo que realmente cuenta, en millones.

Un registro de riesgos sirve si cada riesgo tiene alguien con autoridad para decidir sobre el proceso afectado. Un proveedor puede operar un control o aportar un modelo, pero la responsabilidad por el riesgo no se delega fuera de la empresa.

Con los controles que cuentan, el orden de los escenarios puede cambiar. Calcula el residual de los cinco con la eficacia que el método reconoce y señala el que más riesgo conserva, que es el que debería abrir el informe del comité.

El área de suscripción sostiene que el cifrado de servidores por extorsión nunca ha pasado en la empresa y que, por tanto, su frecuencia es cero. Las fuentes de frecuencia dicen otra cosa. Piensa en lo que el método pide cuando no hay historial propio y en lo que significaría borrar un riesgo por falta de datos.