Los equipos de ciberseguridad tienen acceso a más datos que nunca. Alertas, incidentes, vulnerabilidades, tiempos de remediación, amenazas bloqueadas y cobertura de los controles son elementos que pueden medirse. Sin embargo, disponer de más métricas de seguridad no implica necesariamente comprender mejor el riesgo cibernético.
Para los CISO, el verdadero reto consiste en decidir qué debe medirse, qué debe convertirse en un KPI y qué necesita saber realmente el Consejo de Administración. Un informe de seguridad puede ser técnicamente preciso y, aun así, resultar ineficaz si no explica si el riesgo está aumentando, cómo podría afectar a las operaciones empresariales y dónde es necesario actuar o invertir.
En este artículo analizaremos la diferencia entre métricas de seguridad, KPI y KRI, identificaremos los indicadores de ciberseguridad relevantes tanto a nivel operativo como para el Consejo de Administración y veremos cómo transformar los datos técnicos de seguridad en información útil sobre el riesgo y el negocio. También abordaremos la cuantificación del riesgo cibernético, el NIST CSF 2.0 y el papel de la telemetría de seguridad DNS a la hora de medir los cambios en la exposición a las amenazas.
El principio de fondo es sencillo: los Consejos de Administración no necesitan más datos de ciberseguridad. Necesitan una visión más clara del riesgo cibernético.
¿Qué son las métricas de seguridad y los KPI de ciberseguridad?
Las métricas de seguridad proporcionan información cuantificable sobre las actividades, los eventos y los controles de ciberseguridad. Permiten a los equipos de seguridad comprender qué está ocurriendo en la infraestructura y evaluar la eficacia de sus operaciones.
Algunos ejemplos son el número de vulnerabilidades detectadas, incidentes de seguridad, conexiones maliciosas, intentos de phishing o endpoints cubiertos por un control específico.
Un KPI de seguridad (Key Performance Indicator o indicador clave de rendimiento) va un paso más allá.
En lugar de limitarse a medir una actividad, un KPI evalúa el rendimiento respecto a un objetivo de seguridad definido.
Pensemos en la gestión de vulnerabilidades:
- 347 vulnerabilidades detectadas es una métrica de seguridad.
- El 92 % de las vulnerabilidades críticas corregidas dentro del SLA establecido es un KPI de seguridad.
El primer dato indica qué existe. El segundo muestra si la organización está cumpliendo un objetivo de seguridad previamente establecido.
Métricas de seguridad vs. KPI vs. KRI
Existe otra distinción que los CISO deben tener en cuenta al elaborar los informes de ciberseguridad: los KRI (Key Risk Indicators o indicadores clave de riesgo).
Los KRI se centran en la evolución del riesgo, no únicamente en el rendimiento operativo.
Una forma útil de diferenciar los tres conceptos es la siguiente:
Métrica → ¿Qué está ocurriendo?
KPI → ¿Estamos obteniendo el rendimiento esperado?
KRI → ¿Está cambiando nuestro nivel de riesgo?
Esta distinción adquiere especial importancia cuando la información pasa del SOC y de los equipos de seguridad a la dirección ejecutiva y al Consejo de Administración.
El Consejo rara vez necesita conocer todo el detalle operativo. Necesita la información necesaria para determinar si la exposición al riesgo de la organización sigue siendo compatible con sus objetivos, su apetito de riesgo y sus prioridades empresariales.
El problema de las métricas tradicionales de ciberseguridad
Las plataformas de ciberseguridad pueden generar una enorme cantidad de telemetría.
Los sistemas SIEM, las soluciones EDR, los firewalls, las plataformas de identidad, las herramientas de gestión de vulnerabilidades y las soluciones de seguridad DNS producen continuamente información sobre eventos, usuarios, activos y amenazas.
La disponibilidad de estos datos genera una tentación: informar sobre aquello que resulta más fácil contabilizar.
El resultado pueden ser dashboards visualmente impresionantes, pero que aportan sorprendentemente poca información sobre el riesgo cibernético real.
Las métricas de actividad pueden crear una falsa sensación de seguridad
Veamos algunas métricas de ciberseguridad que suelen incluirse en los informes:
- número de ataques bloqueados;
- alertas generadas;
- vulnerabilidades descubiertas;
- correos de phishing interceptados;
- detecciones de malware;
- tickets de seguridad cerrados.
Estas métricas no son inútiles. Los equipos de seguridad las necesitan para supervisar las operaciones y comprender la carga de trabajo.
El problema surge cuando la actividad se confunde con los resultados de seguridad.
Su organización ha bloqueado 500.000 conexiones maliciosas este trimestre. ¿Es una buena noticia?
Es posible.
Podría significar que los controles de seguridad están evitando ataques de forma eficaz. Pero también podría indicar que la actividad maliciosa contra la organización ha aumentado drásticamente.
Sin contexto adicional, el dato no permite saber cuál de las dos interpretaciones es correcta.
Una cifra más alta no es necesariamente una cifra mejor
Imaginemos el siguiente dato en un informe:
Dominios maliciosos bloqueados: +40 % respecto al trimestre anterior.
Este incremento podría responder a distintos escenarios:
- ha aumentado la exposición a las amenazas;
- han mejorado las capacidades de detección;
- se supervisan más usuarios o endpoints;
- han cambiado las políticas;
- los atacantes están dirigiendo sus acciones contra la organización de forma más agresiva.
La métrica aislada no permite distinguir entre estas posibilidades.
Por eso, una medición de ciberseguridad realmente útil requiere líneas de base, objetivos, umbrales, tendencias y contexto.
Una métrica adquiere más valor cuando permite responder a la pregunta:
¿En comparación con qué?
Y resulta todavía más valiosa cuando permite responder:
¿Por qué ha cambiado y qué implica ese cambio para el negocio?
De las métricas de actividad a las métricas de riesgo cibernético
Un programa maduro de medición de la seguridad debe transformar progresivamente los datos operativos en información que contribuya a la gestión del riesgo.
Un modelo útil es: Actividad → Rendimiento → Riesgo → Impacto empresarial
Cada nivel responde a una pregunta diferente.
Métricas de actividad: ¿qué ha ocurrido?
Las métricas de actividad describen los eventos de seguridad y la carga de trabajo operativa.
Algunos ejemplos son:
- amenazas detectadas;
- conexiones maliciosas bloqueadas;
- alertas generadas;
- vulnerabilidades descubiertas;
- incidentes de seguridad;
- incumplimientos de políticas.
Aportan visibilidad y son esenciales para las operaciones de seguridad, pero normalmente requieren una interpretación adicional antes de resultar significativas para la dirección.
Métricas de rendimiento: ¿funcionan nuestros controles?
Las métricas de rendimiento evalúan la eficacia con la que operan tanto el área de seguridad como sus controles.
Algunos ejemplos son:
- tiempo medio de detección (MTTD);
- tiempo medio de respuesta o remediación (MTTR);
- porcentaje de vulnerabilidades críticas corregidas dentro del SLA;
- cobertura de los controles de seguridad;
- tasa de recurrencia de incidentes;
- cobertura de detección.
En este punto, el análisis deja de centrarse en el volumen para hacerlo en la eficacia.
En lugar de preguntar cuántas vulnerabilidades existen, por ejemplo, la organización puede evaluar con qué eficacia se están corrigiendo las vulnerabilidades críticas.
Métricas de riesgo y resultados: ¿está cambiando nuestra exposición?
Las métricas de riesgo añaden otro nivel de contexto.
Ayudan a la dirección a comprender si la exposición de la organización está aumentando, disminuyendo o se mantiene estable.
Entre los indicadores relevantes pueden incluirse:
- exposición de los activos críticos;
- vulnerabilidades de alto riesgo sin resolver;
- riesgo residual;
- exposición al riesgo de terceros;
- concentración del riesgo en sistemas críticos para el negocio;
- eficacia de los controles de seguridad a lo largo del tiempo;
- resiliencia frente a escenarios de amenaza relevantes.
Es aquí donde la medición de la ciberseguridad comienza a resultar especialmente útil para la toma de decisiones ejecutivas.
Impacto empresarial: ¿qué implica el riesgo cibernético para la organización?
El último paso consiste en traducir el riesgo en posibles consecuencias para el negocio.
Un incidente cibernético puede provocar:
- interrupciones operativas;
- indisponibilidad de servicios;
- pérdida de ingresos;
- consecuencias regulatorias;
- costes de recuperación;
- daños reputacionales;
- disrupciones que afecten a clientes o cadenas de suministro.
Para el Consejo de Administración, este contexto es esencial.
La pregunta deja de ser simplemente:
«¿Cuántos incidentes hemos detectado?»
Y pasa a ser:
«¿Qué escenarios cibernéticos podrían afectar de forma significativa a nuestras operaciones, ingresos u objetivos estratégicos, y estamos suficientemente preparados para afrontarlos?»
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
¿Qué KPI de ciberseguridad conviene supervisar?
No existe un conjunto universal de KPI de ciberseguridad válido para todas las organizaciones.
Los indicadores adecuados dependen del panorama de amenazas, el entorno tecnológico, los requisitos regulatorios, el modelo de negocio y el apetito de riesgo de cada organización.
No obstante, varias categorías ofrecen un buen punto de partida.
KPI de detección y respuesta a incidentes
Las métricas de detección y respuesta a incidentes permiten evaluar con qué eficacia los equipos de seguridad identifican, contienen y remedian las amenazas.
Entre los indicadores habituales se incluyen:
- tiempo medio de detección (MTTD);
- tiempo medio de respuesta o remediación (MTTR);
- gravedad de los incidentes;
- tasa de recurrencia de incidentes;
- cobertura de detección;
- tiempo de contención.
El MTTD y el MTTR resultan especialmente útiles cuando se analizan como tendencias y no como valores aislados.
Un MTTR de nueve horas dice poco por sí solo.
Si hace seis meses era de diecisiete horas, el rendimiento de seguridad evoluciona en una dirección. Si era de tres horas, evoluciona en la contraria.
KPI de gestión de vulnerabilidades
La gestión de vulnerabilidades no debe reducirse a contabilizar vulnerabilidades.
Entre los indicadores más significativos se incluyen:
- número de vulnerabilidades críticas;
- porcentaje de vulnerabilidades críticas corregidas dentro del SLA;
- tiempo medio de remediación por nivel de gravedad;
- recurrencia de vulnerabilidades;
- exposición de activos críticos para el negocio;
- antigüedad de las vulnerabilidades críticas sin resolver.
El objetivo es comprender no solo cuántas debilidades se han descubierto, sino también con qué eficacia reduce la organización la exposición que estas generan.
KPI de identidad y acceso
Las identidades comprometidas siguen siendo uno de los principales vectores de ataque, por lo que los indicadores relacionados con la identidad son especialmente relevantes.
Las organizaciones pueden supervisar:
- cobertura de la autenticación multifactor (MFA);
- exposición de cuentas privilegiadas;
- incumplimientos de las políticas de acceso;
- cuentas inactivas u obsoletas;
- revisiones de accesos privilegiados;
- intentos de acceso no autorizado.
De nuevo, el contexto es determinante. Una cobertura de MFA del 95 % puede parecer sólida hasta que se descubre que el 5 % restante incluye cuentas privilegiadas con acceso a infraestructuras críticas.
KPI de riesgo humano
Las personas constituyen otro componente cuantificable del riesgo cibernético.
Entre los indicadores útiles se incluyen:
- tasa de fallos en simulaciones de phishing;
- porcentaje de finalización de la formación en concienciación sobre seguridad;
- reincidencia en fallos de simulaciones de phishing;
- actividades sospechosas notificadas;
- incumplimientos de las políticas de seguridad.
El objetivo no debe limitarse a demostrar que se ha impartido formación, sino determinar si el comportamiento en materia de seguridad está cambiando con el tiempo.
KPI de riesgo de terceros
Los ecosistemas digitales dependen cada vez más de proveedores, proveedores cloud, fabricantes de software y socios externos.
Por tanto, los indicadores de terceros pueden incluir:
- porcentaje de proveedores críticos evaluados;
- hallazgos de alto riesgo de proveedores aún sin resolver;
- incidentes de seguridad relacionados con terceros;
- concentración de dependencias críticas;
- proveedores que se encuentran fuera de los umbrales de riesgo establecidos.
Estas métricas permiten al CISO ampliar el análisis del riesgo más allá del perímetro de la propia organización.
KPI de seguridad DNS y amenazas web
La seguridad DNS constituye otra fuente valiosa de telemetría de seguridad.
Entre las mediciones relevantes pueden incluirse:
- actividad relacionada con dominios maliciosos;
- destinos maliciosos bloqueados;
- tendencias por categoría de amenaza;
- incumplimientos de las políticas DNS;
- actividad DNS anómala;
- cambios en la exposición de usuarios, redes o ubicaciones;
- eficacia de los controles en la capa DNS.
También en este caso, informar únicamente sobre el número total de consultas DNS o de destinos bloqueados rara vez es suficiente para un informe dirigido a la alta dirección.
El valor reside en identificar patrones y cambios en la exposición a las amenazas.
La protección en la capa DNS puede ofrecer visibilidad sobre los intentos de acceso a destinos maliciosos o no deseados antes de que se establezca la conexión. La tecnología de filtrado DNS de FlashStart, por ejemplo, utiliza inteligencia artificial y machine learning para facilitar la detección y clasificación de dominios sospechosos y analiza grandes volúmenes de solicitudes DNS como parte de su infraestructura de protección.
Por tanto, la pregunta relevante para el reporting no es únicamente «¿Cuántas solicitudes hemos bloqueado?», sino «¿Qué nos dice la actividad DNS sobre la evolución de nuestra exposición?»
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
¿Qué métricas de ciberseguridad necesita realmente el Consejo de Administración?
Uno de los errores más frecuentes en los informes de ciberseguridad consiste en tratar el dashboard del Consejo como una versión simplificada del dashboard del SOC.
Ambos responden a objetivos fundamentalmente distintos.
El SOC necesita detalle operativo para investigar y responder.
El Consejo de Administración necesita información que respalde la gobernanza, la supervisión y las decisiones estratégicas.
Por tanto, un informe de ciberseguridad dirigido al Consejo debe concentrarse en un número limitado de indicadores que expliquen el riesgo, las tendencias y las consecuencias para el negocio.
Exposición al riesgo
La primera pregunta es fundamental:
¿Nuestro riesgo cibernético está aumentando o disminuyendo?
Los indicadores deben mostrar cómo evolucionan las principales áreas de exposición y si se mantienen dentro de la tolerancia al riesgo definida por la organización.
Ciberresiliencia
Evitar todos los incidentes cibernéticos no es un objetivo realista.
Por tanto, el Consejo necesita visibilidad sobre la capacidad de la organización para mantener o restablecer las operaciones críticas cuando se produce un incidente.
Entre los indicadores relevantes pueden incluirse el rendimiento de la recuperación, la contención de incidentes, las pruebas de resiliencia y la capacidad de restablecer los servicios críticos dentro de los objetivos definidos.
Exposición de los activos críticos
No todos los sistemas tienen el mismo valor para el negocio.
Una vulnerabilidad que afecta a un sistema aislado y no crítico y esa misma vulnerabilidad presente en una plataforma que genera ingresos representan escenarios de riesgo muy diferentes.
Por tanto, los informes para el Consejo deben relacionar la exposición cibernética con los activos, servicios y procesos empresariales críticos.
Exposición a terceros
El riesgo cibernético se extiende cada vez más a través de las cadenas de suministro y los ecosistemas tecnológicos.
Los informes para el Consejo deben señalar si la dependencia de proveedores críticos genera una exposición significativa y si esta está cambiando.
Eficacia de la inversión en seguridad
El gasto en ciberseguridad no constituye, por sí solo, una prueba de que la seguridad haya mejorado.
¿Está invirtiendo más en ciberseguridad o realmente está aumentando su nivel de protección?
Esta es una de las preguntas que un sistema maduro de reporting de seguridad debería ayudar a responder.
Las decisiones de inversión resultan más fáciles de justificar cuando los CISO pueden demostrar cómo contribuyen los recursos a mejoras cuantificables en la eficacia de los controles, la resiliencia o la reducción del riesgo.
Cómo elaborar un informe de ciberseguridad eficaz para el Consejo de Administración
Un informe eficaz para el Consejo no parte de las herramientas desplegadas en el stack de seguridad.
Parte de los objetivos empresariales y del riesgo.
Empiece por los objetivos empresariales, no por las herramientas de seguridad
Un informe de ciberseguridad organizado en torno a las tecnologías puede fragmentarse rápidamente:
Firewall. EDR. SIEM. IAM. DNS. Escáner de vulnerabilidades.
Esta estructura refleja la arquitectura de seguridad, pero no necesariamente las preocupaciones del Consejo de Administración.
Una secuencia más útil es:
Riesgo → Activo empresarial → Tendencia → Control → Decisión
Así se establece una conexión directa entre la ciberseguridad y las prioridades operativas y estratégicas de la organización.
Muestre tendencias, no instantáneas
Los datos aislados rara vez aportan contexto suficiente.
Siempre que sea posible, los informes para el Consejo deben mostrar:
Valor actual → Periodo anterior → Objetivo → Umbral de riesgo
Esto permite a quienes toman decisiones comprender la dirección de la evolución y no únicamente el estado actual.
Un KPI que empeora, aunque todavía se encuentre técnicamente dentro del objetivo, puede requerir más atención que un KPI deficiente que está mejorando con rapidez.
Añada contexto empresarial a cada KPI
Cada indicador significativo dirigido al Consejo debe ayudar a responder cuatro preguntas:
¿Qué ha ocurrido?
¿Por qué es importante?
¿Cuál podría ser el impacto para el negocio?
¿Es necesario tomar alguna decisión o medida?
Es aquí donde el CISO deja de limitarse a informar sobre la actividad de ciberseguridad y pasa a facilitar decisiones empresariales.
Mantenga las métricas operativas fuera del dashboard del Consejo
El detalle operativo sigue siendo importante.
Simplemente debe situarse en el nivel adecuado.
Los equipos SOC pueden necesitar cientos de indicadores para trabajar de forma eficaz. Los responsables de seguridad pueden requerir decenas para evaluar el rendimiento.
El Consejo de Administración quizá solo necesite un conjunto cuidadosamente seleccionado de métricas y KRI.
Más datos no siempre aportan más visibilidad.
En ocasiones, solo generan ruido.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Cuantificación del riesgo cibernético: ¿puede expresarse el riesgo de ciberseguridad en términos financieros?
Tradicionalmente, la ciberseguridad y las finanzas han utilizado lenguajes muy diferentes.
La cuantificación del riesgo cibernético (Cyber Risk Quantification o CRQ) trata de reducir esa distancia estimando el riesgo mediante conceptos como probabilidad, frecuencia e impacto financiero.
En lugar de afirmar:
«Tenemos 23 vulnerabilidades críticas».
Un análisis orientado al riesgo podría plantear:
«¿Qué escenarios de pérdida podrían facilitar estas vulnerabilidades, cuál es la probabilidad de que se produzcan y qué impacto financiero u operativo podrían generar?»
Marcos como FAIR —Factor Analysis of Information Risk— proporcionan metodologías para abordar este problema de forma sistemática.
La cuantificación financiera también puede respaldar los análisis sobre el retorno de la inversión en seguridad (Return on Security Investment o ROSI), al ayudar a quienes toman decisiones a comparar el coste de los controles con el riesgo que pretenden reducir.
La cuantificación del riesgo cibernético no debe crear una falsa ilusión de certeza matemática. La ciberseguridad implica incertidumbre, actores de amenazas en constante evolución y dependencias complejas.
Su valor es otro: puede establecer un lenguaje común entre el CISO, el CFO, el CEO y el Consejo de Administración.
Cómo alinear las métricas de seguridad con el NIST CSF 2.0
El NIST Cybersecurity Framework 2.0 ofrece otra estructura útil para organizar la medición de la seguridad.
Sus seis funciones principales —Govern, Identify, Protect, Detect, Respond y Recover— permiten a las organizaciones relacionar los indicadores con las distintas dimensiones de la gestión del riesgo de ciberseguridad.
Govern puede incluir la gobernanza del riesgo, las políticas, el apetito de riesgo y la supervisión de terceros.
Identify puede abarcar la visibilidad de los activos, las vulnerabilidades y la exposición.
Protect puede medir la cobertura de los controles, la protección de identidades, la concienciación sobre seguridad y tecnologías preventivas como el filtrado DNS.
Detect puede incluir la eficacia de la detección y el MTTD.
Respond puede incluir la contención y el MTTR.
Recover puede abarcar el rendimiento de la recuperación y la ciberresiliencia.
La incorporación y el mayor protagonismo de Govern en el NIST CSF 2.0 son especialmente relevantes para los informes dirigidos al Consejo, ya que refuerzan un principio fundamental: la ciberseguridad no es simplemente una cuestión tecnológica y operativa. Es un riesgo para la organización que requiere gobernanza.
Métricas de seguridad DNS: de la telemetría de amenazas a la inteligencia de riesgos
El DNS ocupa una posición estratégica en las comunicaciones por Internet, ya que los usuarios y los sistemas dependen de la resolución de dominios antes de acceder a los recursos online.
Esto convierte la actividad DNS en una valiosa fuente de telemetría de seguridad.
¿Pueden los datos DNS aportar información sobre el riesgo empresarial?
Sí, cuando la telemetría se transforma en contexto.
Una consulta DNS sin procesar es un dato operativo.
Una conexión bloqueada a un dominio malicioso es un evento de seguridad.
Un aumento sostenido de la actividad relacionada con dominios maliciosos constituye una tendencia.
La concentración de esa actividad entre determinados usuarios, redes o áreas de negocio puede convertirse en un indicador de exposición.
Esta progresión puede representarse de la siguiente manera:
Consultas DNS → Actividad maliciosa → Tendencias de amenazas → Indicadores de exposición → Información sobre la postura de seguridad
Esta es la diferencia entre recopilar telemetría y generar inteligencia.
Para las organizaciones que operan con redes, usuarios y ubicaciones distribuidos, la visibilidad en la capa DNS puede ayudar a comprender cómo evoluciona la exposición a las amenazas web a lo largo del tiempo.
FlashStart aplica este principio a gran escala mediante una arquitectura de filtrado DNS basada en la nube y diseñada en torno a la protección, el rendimiento y la resiliencia. Su tecnología combina controles en la capa DNS con inteligencia artificial y machine learning para clasificar dominios, mientras que su infraestructura global está diseñada para procesar grandes volúmenes de solicitudes DNS con una latencia mínima.
El objetivo no es convertir cada evento DNS en una métrica para el Consejo de Administración.
Se trata de hacer que la seguridad en la capa DNS sea medible, para que la información relevante contribuya a una comprensión más amplia de la postura de seguridad de la organización.
Las métricas de seguridad deben impulsar decisiones, no limitarse a alimentar dashboards
Los entornos de seguridad modernos pueden generar millones de eventos y cientos de indicadores potenciales.
Eso no significa que el Consejo de Administración deba verlos todos.
Los equipos de seguridad necesitan métricas detalladas para investigar amenazas y gestionar los controles. Los CISO necesitan KPI para evaluar el rendimiento de la seguridad. Los Consejos de Administración necesitan una visión concisa del riesgo, la resiliencia, las tendencias y el posible impacto empresarial.
Por tanto, el objetivo de las métricas de seguridad, los KPI y los informes para el Consejo de Administración no debe ser medir todo lo que pueda medirse.
Debe consistir en identificar la información que permite tomar la decisión adecuada en el nivel adecuado.
Mida la actividad para su equipo de seguridad. Mida el rendimiento para su CISO. Informe sobre el riesgo a su Consejo de Administración.
La seguridad DNS sigue el mismo principio. La visibilidad sobre la actividad relacionada con dominios maliciosos, los incumplimientos de políticas y las tendencias de amenazas adquiere mucho más valor cuando puede transformarse de telemetría sin procesar en inteligencia de seguridad práctica y accionable.
Para las organizaciones y los proveedores de seguridad que gestionan entornos digitales cada vez más distribuidos, esta combinación de protección, visibilidad y control medible puede reforzar tanto las operaciones cotidianas de seguridad como la comprensión global del riesgo cibernético.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
