La ecuación de una línea
FAIR son las siglas de Factor Analysis of Information Risk, el modelo creado por Jack Jones y publicado hoy por The Open Group con el nombre Open FAIR. Define el riesgo en una sola línea: riesgo es la frecuencia de evento de pérdida multiplicada por la magnitud de la pérdida.
Todo lo demás del modelo existe para estimar esas dos cosas sin adivinar.
La rama de la frecuencia
La frecuencia de evento de pérdida sale de dos factores que se multiplican.
El primero es la frecuencia de evento de amenaza: cuántas veces al año un agente actúa contra el activo. El modelo abre ese factor en frecuencia de contacto y probabilidad de acción, porque mucho tráfico toca el activo sin intentar nada. Un servidor expuesto recibe escaneo automatizado todo el día, y solo una fracción pequeña se convierte en intento dirigido.
El segundo factor es la vulnerabilidad, que en el vocabulario de FAIR tiene sentido propio y no se corresponde con un CVE. Es la probabilidad de que el intento venza, y sale de comparar la capacidad del agente con la fuerza de resistencia del control. Un agente capaz frente a un control débil da una vulnerabilidad cercana a 1. El mismo control frente a un aficionado da un número mucho menor.
Esa separación explica por qué una superficie externa mal inventariada eleva el riesgo sin que haya aparecido ningún fallo nuevo. Más activo alcanzable significa más frecuencia de contacto, y la frecuencia de contacto entra en la cuenta antes de cualquier discusión sobre parches.
La rama de la magnitud
La magnitud se divide en pérdida primaria y riesgo secundario.
La pérdida primaria es lo que la organización gasta y deja de ganar por su cuenta: horas de respuesta, parada de operación, reposición de activos, productividad perdida.
El riesgo secundario viene de la reacción de terceros, y el modelo lo trata como un evento aparte, con frecuencia propia y magnitud propia. No todo incidente acaba en sanción o en portada. La parte que sí lo hace es justo lo que estima la frecuencia de evento secundario, y ahí es donde se pierden la mayoría de los análisis caseros, porque suman la multa máxima a todos los escenarios.
FAIR organiza las pérdidas en seis formas: productividad, respuesta, reposición, sanciones e indemnizaciones, ventaja competitiva y reputación. Las dos últimas son las más difíciles de estimar y suelen dominar el total. Obligar al analista a nombrarlas es la mitad del valor del modelo.
Por qué la estimación entra como rango
Ninguno de esos nodos tiene un valor exacto conocido. FAIR lo resuelve con estimación calibrada: en lugar de un número, el analista da un mínimo, un máximo y un valor más probable, y declara el nivel de confianza del rango.
Calibrar es una habilidad entrenable. Una persona calibrada acierta dentro del rango que declaró cerca del 90% de las veces cuando dice 90%. Quien nunca ha entrenado da rangos demasiado estrechos y falla mucho más de lo que cree.
Sobre esos rangos corre una simulación, casi siempre Monte Carlo, que sortea miles de escenarios y devuelve una distribución de pérdida en vez de un punto. De esa distribución salen la pérdida anual esperada y los percentiles de cola que usa la práctica de CRQ.
La ganancia aquí es honestidad sobre la incertidumbre. Un número único la esconde. Un rango muestra su tamaño, y muestra también qué variable merece investigación en el próximo ciclo, porque es la que más ensancha el resultado.
Qué estandariza Open FAIR
The Open Group publica FAIR como estándar abierto, con una taxonomía que fija el nombre y el lugar de cada factor y un método que describe cómo conducir el análisis. Hay también una certificación para profesionales.
Lo que la estandarización resuelve en la práctica es la comparabilidad. Dos análisis hechos por equipos distintos usan el mismo árbol, el mismo nombre para cada nodo y la misma disciplina de rango, así que se pueden poner uno al lado del otro y discutir la diferencia. Sin eso, cada área inventa su propia hoja de cálculo y el comité de riesgos recibe tres cifras que no se hablan entre sí.
Dónde fallan los análisis
El error más común es el alcance. "Riesgo de ransomware" describe una categoría entera. Un escenario es un agente concreto actuando sobre un activo concreto con un efecto concreto, y sin ese recorte no hay manera de estimar frecuencia.
El segundo es la entrada sin respaldo. FAIR disciplina el razonamiento y no aporta datos. Si la frecuencia de contacto sale de un inventario desactualizado, el modelo devuelve una distribución bien formada sobre una premisa equivocada, y la buena forma del gráfico le presta una autoridad que no ha ganado.
El tercero es confundir FAIR con un marco de controles. NIST CSF e ISO 27001 organizan el programa de seguridad en dominios. FAIR mide la exposición que queda después. Los dos conviven bien, y cambiar uno por otro deja un agujero en cualquier dirección.