Tu riesgo cyber ya está en dólares. ¿Lo podés defender frente al directorio?

Que el riesgo cyber se exprese en dinero es un gran avance. Pero un número en dólares también puede ser un número mal hecho. Y el que queda expuesto es quien lo presenta.

Cada vez más organizaciones reciben su riesgo cyber cuantificado. El informe llega con una cifra clara, un gráfico prolijo y una conclusión lista para la presentación.

El problema aparece después, cuando alguien del directorio hace la pregunta que nadie preparó.

Por eso armamos un e-book con las diez preguntas que haríamos antes de firmar cualquier informe cuantitativo, venga de quien venga. Acá te adelantamos tres.

➕ ¿Se sumaron los "peores casos"?

Es uno de los errores más comunes y más difíciles de ver a simple vista.

Si el peor caso total del portfolio es la suma de los peores casos de cada riesgo, el número está mal. Los años malos de cada riesgo no coinciden. Sumar percentiles da un valor que no corresponde a ningún año posible.

Parece un detalle técnico. Frente a un directorio, es la diferencia entre una cifra que se sostiene y una que se cae a la primera repregunta.

🔁 ¿Los controles se cuentan una sola vez?

Una política aprobada y el control técnico que esa política ordena no reducen el riesgo dos veces.

Si el informe les da crédito a los dos, el riesgo aparece más bajo de lo que es. Y nadie se da cuenta hasta que el incidente demuestra lo contrario.

📝 Si cambia un supuesto, ¿se sabe qué cambió?

El riesgo de este año es distinto al del año pasado. La pregunta es si alguien puede explicar por qué.

Un número que se mueve sin explicación no resiste una auditoría. Un buen informe registra qué supuesto se modificó, por qué y cuánto movió el resultado.

📘 Las otras siete

El resto del e-book va sobre las preguntas que separan un número defendible de uno que solo se ve bien en una slide:

• Por qué "su riesgo es de USD 4 millones" no alcanza.
• Qué pasa con el año malo cuando un proveedor caído arrastra varios procesos a la vez.
• Cuándo un cero en el informe no es una buena noticia.
• Qué fuente necesita cada supuesto, y por qué "lo estimó el consultor" no es una.
• Cómo se contrasta un modelo contra la realidad, con las mismas pruebas que usa la banca.

🔎 ¿Cuántas pasa tu informe?

Antes de la próxima presentación al directorio, vale la pena hacerse dos preguntas: ¿Cuántas de estas diez puede contestar hoy tu informe de riesgo? ¿Y cuál te haría primero tu directorio?

👉 [Descargá el e-book "10 preguntas antes de llevar tu riesgo cyber al directorio"](#)