Análisis de riesgo (cuali/cuanti)

No se puede proteger todo a la vez. El análisis de riesgo estima qué amenazas importan más para priorizar el esfuerzo. Su base es una idea simple:

Riesgo ≈ Probabilidad × Impacto. Qué tan probable es que algo malo ocurra, por cuánto daño causaría.

Análisis cualitativo

Usa categorías, no números exactos: probabilidad e impacto como baja / media / alta, cruzadas en una matriz de colores (verde / amarillo / rojo).

• Ventajas: rápido, fácil de entender, no necesita datos precisos.
• Desventaja: subjetivo (depende del criterio de quien evalúa).
• Es por donde empiezan la mayoría de las organizaciones.

Análisis cuantitativo

Le pone números y dinero. Estima el costo de cada incidente y su frecuencia para calcular una pérdida anual esperada.

Concepto	Significado
SLE	Pérdida por un único incidente
ARO	Veces que se espera al año
ALE	Pérdida anual esperada (SLE × ARO)

• Ventajas: preciso, habla el idioma de la dirección (dinero), justifica inversiones.
• Desventaja: requiere muchos datos confiables y más trabajo.

En la práctica

Suelen combinarse: cualitativo para priorizar rápido todo el panorama, cuantitativo para analizar a fondo los riesgos mayores. Tras analizar, se decide tratar el riesgo: mitigar, transferir (seguro), aceptar o evitar.

Con los riesgos medidos y los controles aplicados, alguien debe verificar que todo funcione. Esa verificación es la auditoría, el próximo tema.