Cuantifica la pérdida anual esperada derivada de configuraciones incorrectas en servicios cloud. El modelo usa el número de cambios relevantes, la probabilidad de error, la probabilidad de explotación y el impacto medio, y descuenta la proporción detectada antes de causar daño.
La pérdida esperada distribuye el riesgo entre muchos cambios. Un año real puede no tener incidentes o sufrir uno muy costoso; por eso conviene complementar el promedio con escenarios severos.
Las probabilidades deben derivarse de auditorías, hallazgos de CSPM, incidentes y cambios realmente relevantes.
Con 600 cambios, 1,5 % de mala configuración, 8 % de explotación, 80.000 USD de impacto y 60 % de detección, la pérdida neta esperada es 23.040 USD al año.
Cuenta cambios en permisos, red, almacenamiento, identidades, cifrado y servicios críticos que puedan generar exposición o interrupción.
Divide los hallazgos confirmados y relevantes entre el total de cambios revisados durante el mismo periodo.
Solo incluye la probabilidad de que una mala configuración llegue a ser aprovechada antes de su corrección.
Puede incluir respuesta, recuperación, pérdida de ingresos, consumo no autorizado, sanciones y comunicación, evitando duplicidades.
Porque representa un promedio probabilístico y puede ocultar eventos raros con consecuencias muy elevadas.
| Etapa | Medida |
|---|---|
| Cambios | Volumen de oportunidades de error |
| Mala configuración | Frecuencia de defectos relevantes |
| Explotación | Conversión en incidente |
| Detección | Prevención antes del impacto |