Cuánto cuesta y cuánto evita

La pérdida esperada anual de una amenaza es lo que se pierde en un evento por la probabilidad de que ocurra en el año: una cuenta sencilla que sirve para comparar, no para predecir. Calcúlala para la amenaza del canal de despliegue, con la pérdida y la probabilidad de la tabla.

Un control se justifica, en cifras, cuando lo que evita es más de lo que cuesta. Lo que evita es la pérdida esperada de su amenaza por el porcentaje que reduce. Hay controles que no reducen nada y otro que reduce algo, pero menos de lo que cuesta; es este último el que se busca.

Antes de elegir qué pagar, hay que saber cuánto cuesta pagarlo todo. Suma el coste anual de los siete controles y ponlo frente al tope aprobado.

Con el tope por debajo de la factura completa hay que elegir. Las dos formas habituales de equivocarse son financiar por el impacto de la amenaza, sin mirar lo que cuesta cada control, o financiarlo todo y pedir más presupuesto. Se elige por lo que cada control evita en relación con lo que cuesta, hasta donde alcance el tope.

Los números de la tabla parecen exactos y no lo son. Mira de dónde sale cada estimación de pérdida y quién la hizo, y piensa cómo se presentan esas cifras en el dictamen.