Open FAIR (Factor Analysis of Information Risk) es el estándar abierto de The Open Group que descompone el riesgo cibernético en frecuencia de eventos de pérdida y magnitud de la pérdida, y produce una distribución de pérdida anual esperada en moneda corriente. Es el modelo detrás de la mayoría de las iniciativas serias de cuantificación de riesgo, y lo que permite comparar una inversión en seguridad con cualquier otra inversión de la empresa.
Durante décadas, los CISO y líderes de seguridad enfrentaron un desafío persistente: justificar los presupuestos de ciberseguridad ante el consejo. La conversación con frecuencia choca con una barrera. ¿Cómo cuantificar el valor de un evento catastrófico que, gracias a los esfuerzos de su equipo, nunca ocurrió?
Esta desconexión es la principal razón por la cual la seguridad suele percibirse como un centro de costo, en lugar de un habilitador estratégico del negocio. Para cambiar esa narrativa, necesitamos cambiar el lenguaje. Necesitamos un método para traducir el riesgo cibernético al lenguaje universal de los negocios: el dinero.
Aquí es donde entra el framework Open FAIR (Factor Analysis of Information Risk). Esta guía cubre la teoría de FAIR y, sobre todo, cómo aplicarla en la práctica para armar un caso de negocio con datos financieros en lugar de adjetivos.
De puntajes subjetivos al análisis cuantitativo
Las evaluaciones de riesgo tradicionales suelen depender de mapas de calor y escalas ordinales (clasificaciones de 1 a 5, o puntajes de A a F). Aunque son simples de crear, resultan subjetivas, carecen de una lógica consistente y hacen imposible agregar riesgos. ¿Un riesgo "Alto" en un servidor web es más, menos o igualmente grave que un riesgo "Medio" en una API de socios? ¿Cuánto le está costando ese riesgo "Alto" al negocio? ¿Cómo defiende esa clasificación ante los auditores o el consejo?
Open FAIR elimina esa ambigüedad. Es un modelo estructurado y repetible para descomponer el riesgo en sus componentes y cuantificarlos en términos financieros. En lugar de puntajes subjetivos, usted obtiene un análisis auditable y ajustado al contexto del negocio.
El núcleo de Open FAIR: descomponer el riesgo
En su esencia, el modelo FAIR busca responder a dos preguntas primarias para determinar el riesgo general:
- Loss Event Frequency (LEF) - Frecuencia de Eventos de Pérdida: ¿Con qué frecuencia es probable que ocurra un evento de pérdida? Es una frecuencia a lo largo de un período determinado, y no una probabilidad (por ejemplo, "esperamos que un ataque exitoso contra nuestras APIs expuestas ocurra entre 0.5 y 2 veces por año").
- Loss Magnitude (LM) - Magnitud de la Pérdida: Si ocurre el evento de pérdida, ¿cuál es el impacto financiero? También sale como rango de resultados probables, y no como número único.
El riesgo final se expresa entonces como un rango de pérdida financiera probable a lo largo de un período, calculado como:
Riesgo = Frecuencia de Eventos de Pérdida (LEF) × Magnitud de la Pérdida (LM)
Esto le brinda al consejo un rango claro y comprensible, como: "Nuestra exposición anualizada a pérdidas para este escenario está entre R$ 1,5M y R$ 2,5M, con un valor más probable de R$ 1,9M." Ese es un lenguaje que el consejo entiende y sobre el que puede decidir.
Guía práctica en 3 pasos para calcular el ROI con Open FAIR
Con una comprensión sólida de cómo cuantificar el riesgo, calcular el ROI de una inversión en seguridad se convierte en un análisis comparativo directo.
1. Cuantifique el riesgo actual (escenario A)
Seleccione un escenario de riesgo específico y bien definido, directamente ligado a su superficie de ataque externa.
- Ejemplo malo: "Riesgo de una violación de datos." (Demasiado amplio)
- Ejemplo bueno: "Riesgo de exfiltración de datos de clientes por una API expuesta con autenticación débil."
Para estimar la Loss Event Frequency (LEF), su equipo debe investigar la Frecuencia de Eventos de Amenaza (TEF) y la Vulnerabilidad (Vuln). ¿Cuántas veces por año los atacantes intentan explotar APIs expuestas en su sector? Use datos de inteligencia de amenazas y registros de ataques. ¿Cuál es la probabilidad de éxito? Si la API tiene controles débiles, la vulnerabilidad es alta (60-80%).
Para estimar la Loss Magnitude (LM), calcule los costos de Pérdida Primaria (respuesta a incidentes, multas LGPD) y Pérdida Secundaria (pérdida de clientes, daños a la reputación).
2. Modele el riesgo reducido con un nuevo control (escenario B)
Ahora, introduzca su control de seguridad propuesto. ¿Cómo impacta al modelo FAIR?
- ¿Reduce la Vulnerabilidad (Vuln)? Implementar autenticación fuerte (MFA) en la API reduce drásticamente la probabilidad de que un ataque tenga éxito.
- ¿Reduce la Frecuencia de Eventos de Amenaza (TEF)? Bloquear IPs maliciosas conocidas en un WAF puede reducir el número de intentos de ataque.
Recalcule el riesgo con el control en funcionamiento. La LEF disminuirá significativamente, resultando en una nueva Pérdida Anualizada Esperada (ALE), mucho menor.
3. Calcule la reducción de riesgo y el ROI
Este es el paso final. La "Reducción de Riesgo" es la diferencia en la ALE entre el Escenario A y el Escenario B. Ahora, usted puede usar la fórmula clásica de ROI:
ROI = (Reducción de Riesgo - Costo del Control) / Costo del Control
Al presentar esto, usted no está pidiendo un presupuesto basado en el miedo, sino demostrando una decisión financiera sólida.
De FAIR manual a FAIR automatizado
Hacer este análisis a mano para cientos de activos no se sostiene. Aquí es donde entra CSURFACE: entrega los datos y aplica el framework Open FAIR automáticamente para calcular el riesgo financiero de cada vulnerabilidad. ¿Cuál es el riesgo de toda la organización? ¿Cuál es el riesgo de un grupo, empresa, dominio o proceso específico? Datos enriquecidos a su alcance de manera facilitada.
CSURFACE ofrece:
- Discovery continuo: Descubre activos conocidos y desconocidos (servidores legados, APIs olvidadas).
- Datos de vulnerabilidad: Identifica vulnerabilidades diversas como efímeras, configuraciones, exposiciones en API, relaciones frágiles en la cadena de suministro digital.
- Inteligencia de amenazas: Integra datos dinámicos sobre qué vulnerabilidades están siendo explotadas activamente.
- Aplicación automática de Open FAIR: en lugar de un puntaje A-F, CSURFACE informa: "Esta vulnerabilidad representa una exposición anual de R$ 1.2M a R$ 1.8M en pérdidas potenciales." Este análisis es auditable, repetible y defendible.
La seguridad es responsabilidad compartida
Con un modelo de riesgo cuantitativo como Open FAIR, el CISO cambia su relación con el resto de la empresa. La seguridad deja de ser un centro de costo técnico y opaco para convertirse en un socio estratégico y transparente, capaz de demostrar su valor en los mismos términos financieros que cualquier otro departamento.
El consejo ya da por hecho que la organización será atacada. Lo que quiere saber es cuánto cuesta. El análisis cuantitativo es lo que convierte esa respuesta en un número.