6 mitos de cuantificar riesgo cyber que no sobreviven a una simulación

La industria los repite desde hace años. Los números dicen otra cosa.

La matriz de colores no se puede medir. Una distribución de pérdidas, sí.

Y cuando uno mide, algunas ideas que todos repetimos se caen. Estas son seis, con el número que las desarma.

🎯 Mito 1: "El 90% del riesgo está en cinco escenarios"

Es Pareto aplicado al riesgo: concentrate en los cinco grandes y listo.

Realidad: en un portfolio típico de 24 escenarios, los cinco con mayor pérdida anual esperada explican el 60,5% del total. Para llegar al 90% hacen falta 14. En un portfolio bancario más amplio, 16 de 32.

El riesgo cyber está más repartido de lo que parece. Mirar solo el top 5 deja afuera 4 de cada 10 dólares de exposición.

🎲 Mito 2: "Con 1.000 simulaciones alcanza"

Monte Carlo es rápido, y la tentación de correr poco para ir más rápido es grande.

Realidad: con 1.000 iteraciones, el mismo escenario cambia entre un 8,5% y un 16,5% solo por cambiar la semilla aleatoria. Dos corridas idénticas, dos números distintos, ninguno "el correcto".

Y no todos los escenarios piden lo mismo: para llegar a una precisión del 3%, algunos se conforman con miles de simulaciones y otros necesitan cientos de miles. Cada número debería venir con su precisión a la vista.

🧱 Mito 3: "El tope de la póliza o de la multa es el techo de la pérdida"

Si la multa máxima es X y el seguro cubre Y, un evento no debería pasar de la suma.

Realidad: la pérdida de un evento tiene muchos componentes (respuesta, reemplazo, productividad, multas, litigios, notificación, reputación, clientes que se van) y solo algunos tienen tope.

En un escenario típico de fuga de datos, los topes suman USD 26,5M y la pérdida máxima simulada de un solo evento fue de USD 42,6M. Un cap por componente no es un cap del evento.

🛡️ Mito 4: "Tener el EDR instalado es tener el riesgo cubierto"

La herramienta está comprada, desplegada y con licencia al día.

Realidad: presencia no es eficacia. Un control rinde según qué tan capaz es, sobre qué porción del parque corre y qué tan confiable resulta en la práctica.

Si nadie sabe sobre cuántas máquinas corre, la cobertura es desconocida, no 100%. Un default optimista no es neutral: baja la vulnerabilidad, baja la pérdida esperada y hace que el informe diga que estás mejor de lo que estás.

📚 Mito 5: "Más información siempre mejora la estimación"

Si además del cuestionario de negocio se carga la evaluación ISO 27001, el resultado debería ser más preciso.

Realidad: solo si el modelo está pensado para eso. Cuando dos fuentes se combinan con promedios o suavizados mal diseñados, agregar información puede empeorar el resultado. Hay casos en los que sumar un segundo formulario mueve la pérdida esperada un 14% en la dirección equivocada.

Más datos tienen que dar un mejor número. Y hay que poder demostrarlo.

📉 Mito 6: "El VaR 95 es el peor caso"

Es el número que suele ir al directorio como "escenario severo".

Realidad: el VaR 95 es un año malo cada veinte, no el peor. Y en escenarios poco frecuentes puede dar literalmente cero, porque en más del 95% de los años simulados no pasa nada. En un portfolio típico hay varios así, y para ellos la métrica de cola correcta es otra.

🔗 Lo que tienen en común

Ninguno de estos mitos se ve en una matriz de probabilidad por impacto. Aparecen cuando el riesgo se expresa como una distribución de pérdidas en dólares y alguien se toma el trabajo de medirla.

🔎 ¿Cuál estaba en tu último informe?

Repasá tu último informe de riesgo: ¿Cuántos de estos seis mitos estaban adentro?

👉 Si alguno te hizo ruido, traelo y lo corremos juntos.