Taxonomía, frecuencia y magnitud

FAIR (Factor Analysis of Information Risk) es un modelo de análisis de riesgo cuantitativo. Su taxonomía la mantiene The Open Group como estándar abierto, y esta sala usa sus términos con palabras propias, sin reproducir el texto de la norma.

Para FAIR, el riesgo es la frecuencia probable y la magnitud probable de una pérdida futura que va a sufrir quien tiene el activo, dentro de un periodo definido (por ejemplo, un año). Son dos preguntas distintas: cuántas veces se espera perder y cuánto cuesta cada vez. Un riesgo no es una amenaza, ni una debilidad, ni una celda de color: es una expectativa de pérdida con periodo y con moneda.

El modelo se lee como un árbol. El riesgo se parte en frecuencia de eventos de pérdida (LEF) y magnitud de la pérdida (LM). La frecuencia de eventos de pérdida se obtiene de la frecuencia de eventos de amenaza (TEF, cuántas veces al año alguien o algo actúa contra el activo) y de la vulnerabilidad (qué fracción de esos eventos de amenaza termina en pérdida). La magnitud se parte en pérdida primaria y pérdida secundaria, que verás en la sala 3.

Abre SELECT * FROM arbol_de_riesgo y luego SELECT * FROM enunciados_del_taller. El taller dejó seis frases y cada una habla de un nodo distinto del árbol. Una de ellas describe la fracción de los intentos que se vuelve pérdida.

Un evento de amenaza ocurre cuando algo actúa contra el activo: un intento de intrusión, un correo de suplantación, un llamado al área de tesorería para cambiar una cuenta. Un evento de pérdida ocurre cuando ese evento de amenaza logra su efecto y la empresa pierde algo. La diferencia entre las dos cosas es justamente la vulnerabilidad, y es la razón por la que contar intentos no es contar pérdidas.

En el acta, una de las seis frases cuenta cuántos eventos de pérdida se esperan al año para un escenario distinto del de la planta.

La relación del árbol es multiplicativa: la frecuencia de eventos de pérdida es la frecuencia de eventos de amenaza por la vulnerabilidad expresada como fracción. Con 10 intentos al año y una vulnerabilidad del 50 % se esperarían 5 eventos de pérdida al año. No es una predicción exacta: es la cifra central de lo que el equipo cree.

Abre SELECT * FROM escenario_de_planta y recompone la frecuencia de eventos de pérdida del escenario de la Planta Norte.

En el comité alguien dice: «Si nos atacan más veces, el riesgo es mayor». La taxonomía permite contestar sin discutir de colores: más intentos suben la frecuencia de eventos de amenaza y, a igual vulnerabilidad, también la de eventos de pérdida. Pero el riesgo tiene una segunda mitad, la magnitud, y una primera que depende de qué tan bien resiste el activo.