Qué está diciendo el número
CRQ son las siglas de cyber risk quantification. La práctica expresa el riesgo de seguridad como dinero y probabilidad, en lugar de una escala de color o un recuento de vulnerabilidades abiertas.
Una salida típica se lee así: 12% de probabilidad de una pérdida superior a 20 millones en los próximos doce meses, en ese escenario y bajo esas premisas. Es una apuesta declarada, con las cuentas a la vista de quien quiera discutirlas.
El problema del mapa de calor
Alto, medio y bajo no suman. Dos elementos marcados como altos pueden estar separados por dos órdenes de magnitud de pérdida, y la matriz esconde esa diferencia. Cuando el director financiero pregunta cuánto cuesta no hacer nada, una respuesta en rojo no entra en ninguna hoja de cálculo.
La escala cualitativa tiene otra propiedad incómoda: nunca se equivoca en público. Una cifra en euros, con rango y premisa escrita, puede ser refutada por quien no esté de acuerdo. Esa es la ventaja del método, aunque casi nadie lo venda así.
Las dos métricas que salen del análisis
La pérdida anual esperada, ALE, es la media proyectada de pérdida por año para ese escenario. Sirve para comparar escenarios entre sí y para dimensionar presupuesto.
El percentil alto de la distribución, el VaR P90 o P99, es la otra mitad. Ahí vive el evento raro y caro, que suele ser el motivo de que la reunión exista. Quien presenta solo la media ha escondido la cola.
Ambos números salen de una distribución, y la distribución viene de un método de descomposición. El más usado es FAIR, que parte el riesgo en frecuencia de evento de pérdida y magnitud, y simula sobre rangos en vez de valores fijos.
De dónde sale la magnitud
Ninguna empresa tiene serie histórica interna suficiente para calibrar por su cuenta el coste de un evento que casi nunca ha vivido. La referencia pública es lo que sostiene la estimación.
El IBM Cost of a Data Breach 2025 sitúa el coste medio global de una violación de datos en 4,44 millones de dólares. En la tabla sectorial global, sanidad queda en 7,42 millones y el sector financiero en 5,56 millones. Conviene saber que España no figura entre los países que ese informe estudia, así que aquí la media global funciona como ancla y hay que ajustarla por tamaño de empresa y por el tipo de dato que se custodia.
La parte regulatoria sí tiene techo escrito. El RGPD permite sanciones de hasta el 4% de la facturación anual global o 20 millones de euros, la cifra que sea mayor. La multa cubre un trozo de la pérdida total, y es el trozo que la dirección entiende primero. La calculadora de riesgo hace una primera estimación sobre esa misma base pública.
El error que tumba la presentación
Precisión falsa. Un modelo alimentado con estimaciones por intervalo que devuelve 18.473.219 euros pierde la sala en cuanto un consejero pregunte de dónde sale el 219.
El rango es la respuesta honesta y también la más útil. "Entre 8 y 31 millones, con un 90% de confianza" dice dónde está la incertidumbre y señala qué variable merece investigación en el próximo ciclo. Qué hacer con ese número dentro de una reunión de consejo está en un texto aparte.
Lo que rompe el modelo antes que nada
Un inventario equivocado. La frecuencia de evento depende de cuántos activos alcanzables existen y de qué tipo son. Si la empresa no sabe qué servicios suyos responden hoy en internet, media cuenta nace mal, y ningún refinamiento de la magnitud lo arregla.
Por eso la cuantificación madura queda atada a un programa de gestión continua de exposición que mantiene el inventario al día por sí solo. Un análisis anual describe un estado que ya no existe el día en que llega al consejo. Ese enlace es lo que opera la cuantificación de riesgo de CSURFACE: la exposición observada desde fuera entra como insumo del modelo, y el valor se recalcula cuando la superficie cambia.
CRQ, CVSS y rating de seguridad
Tres números que aparecen en la misma reunión y miden cosas distintas.
El CVSS mide la gravedad técnica de un fallo en condiciones ideales para el atacante. No sabe nada del valor del activo ni de la probabilidad de que alguien lo intente.
El rating de seguridad resume la postura observable desde fuera en una nota comparativa. Funciona para triaje de proveedores y no sostiene una decisión de capital.
El CRQ es el único de los tres denominado en dinero, y el único que responde cuánto se pierde.
Dónde el CRQ no ayuda
No decide qué corrección entra el martes por la mañana. La granularidad es equivocada para eso, y forzar el modelo hasta ese nivel genera trabajo de modelado que nadie va a leer.
Tampoco sustituye a la detección y la respuesta, porque estima probabilidad sin reducirla. Y un modelo mal calibrado sale peor que el mapa de calor al que vino a sustituir: carga con la autoridad de una cifra sin nada detrás.