KPI y KRI, lo que miden

Un KPI (indicador clave de desempeño) mide qué tan bien funciona un proceso: el tiempo medio de cierre de incidentes, el porcentaje de parches críticos aplicados a tiempo, la proporción de copias con restauración probada. Responde a «¿lo estamos haciendo bien?», y se compara contra una meta que el equipo se propone alcanzar.

Un KRI (indicador clave de riesgo) mide la exposición: cuántas cuentas privilegiadas no tienen segundo factor, cuántos activos críticos no tienen dueño, cuántos hallazgos de auditoría están vencidos. Responde a «¿estamos más cerca del daño?», y se compara contra un umbral que marca cuándo hay que actuar. La diferencia práctica es el tiempo: un KPI suele contar lo que ya se hizo; un KRI sube antes del incidente.

El mismo dato puede ser de uno u otro según la pregunta. Lo que cuenta es para qué se lee: si se lee para valorar el trabajo del equipo, es KPI; si se lee para decidir si hay que frenar o tratar un riesgo, es KRI.

Un KRI útil no espera a rebasar el umbral para ser noticia: su valor está en la tendencia. Un indicador en verde que sube mes a mes es una señal temprana; uno que ya está en rojo es una decisión pendiente, no un aviso. Y uno que lleva meses igual, aunque sea malo, cuenta otra historia: nadie lo está moviendo.

En la consola tienes las lecturas de enero a marzo de cinco KRI de Alborada, con el valor desde el que cada uno pasa a ámbar (por encima del «verde hasta») y el valor desde el que pasa a rojo. Compara las tres lecturas de cada uno con su umbral.

Una cifra suelta no es un indicador. Para que se pueda repetir, comparar y defender, cada indicador lleva una ficha con cuatro cosas mínimas: cómo se calcula (fórmula), de dónde sale (fuente de datos), cada cuánto se mide y quién responde por él; y, además, el umbral o la meta contra los que se lee. ISO/IEC 27001:2022, en su cláusula 9.1, exige que la organización determine qué se mide, con qué métodos, cuándo y quién lo mide y lo analiza, de modo que los resultados sean comparables y reproducibles. La guía ISO/IEC 27004:2016 explica cómo montar ese sistema de medición.

Abre el catálogo de Alborada y mira las fichas con ojo de auditor: busca la que no se puede reproducir porque no dice de dónde sale.

El indicador de cultura de seguridad percibida figura en el catálogo con fórmula, fuente y frecuencia sin definir. Alguien propone ponerlo ya en el tablero con un valor aproximado, «para que la fila no quede vacía». Un número sin método no se puede volver a obtener el mes siguiente, de modo que dos lecturas seguidas no son comparables y nadie puede explicar de dónde salieron. Es peor que no tener indicador, porque aparenta una medición que no existe.

La respuesta del oficio es la contraria a la prisa: se define primero cómo se mide y quién responde, y mientras tanto la fila se queda marcada como «en definición».