Siete riesgos antes del lanzamiento

En esta matriz la probabilidad no se estima «a ojo». Cada nivel está anclado a un tipo de evidencia sobre el vector: que no se conozca ninguno, que se conozca y el control opere con prueba, que el control sea parcial o no se pueda demostrar, que haya un hallazgo abierto de la prueba de penetración o que ya haya ocurrido en la propia empresa. Lo que sube o baja el nivel es la evidencia, no la cantidad de controles escritos ni la opinión de quien conoce el activo.

El impacto se toma al revés: se mira el peor de los ejes —datos de salud, otros datos personales, tarjetas, resultados detenidos— y se usa el que más pesa.

R-03 habla de números de tarjeta y códigos de seguridad escritos en las trazas de la puerta de entrada. Para puntuarlo necesitas dos cosas: qué evidencia hay sobre ese vector y cuántas tarjetas se verían afectadas en el peor caso. La primera está en el resumen de la prueba de penetración, la segunda en el propio registro. No hace falta ningún dato más.

Usa las anclas tal cual, sin redondear a tu gusto. Después busca el cruce en la tabla de niveles.

R-04 es la caída del enlace con el sistema de laboratorio. Es el único escenario del registro que tiene un historial propio, y ese historial cambia el ancla de probabilidad de forma que ningún hallazgo de la prueba de penetración podría. Para el impacto, no mires cuántas personas se ven afectadas: este escenario no expone datos, detiene un servicio, y el eje que cuenta es cuánto tiempo.

El contrato con el proveedor del enlace fija un tope de reparación. Úsalo, no inventes un peor caso mayor.

Con los siete números, el comité va a pedir «los críticos». Esa lista sale de aplicar la banda de la escala, 15 o más, a cada riesgo, y no de lo que más suena. Es fácil quedarse con los que tienen hallazgo abierto de la prueba de penetración y olvidar uno que ni siquiera la prueba cubrió: precisamente porque no la cubrió, no hay evidencia de que el control opere.

Puntúa los siete antes de contestar. La respuesta correcta se defiende fila por fila.

El riesgo residual es lo que queda después de los controles que operan, no de los controles que se declaran. Producto propone para R-01 un residual muy bajo porque la autorización por objeto «está en el diseño». Pero el único dato que existe sobre cómo opera ese control es el resumen de la prueba de penetración, y dice lo contrario.

Bajar el número por un control que no se ha demostrado es engañarse en el papel, y el auditor no lo deja pasar.