Estima la exposición anual al riesgo de configuraciones cloud incorrectas a partir del número de activos, la proporción con fallos relevantes, la probabilidad de incidente y el impacto medio. La cobertura de controles reduce la exposición para mostrar el riesgo residual.
La exposición residual refleja lo que permanece después de los controles actuales. Sirve para priorizar remediación y comparar el coste de nuevas medidas.
La cobertura de controles debe representar eficacia real, no solo porcentaje de activos con una herramienta instalada.
Con 250 activos, 4 % mal configurados, 12 % de probabilidad, 70.000 USD de impacto y 55 % de reducción, la exposición residual es 37.800 USD al año.
Una cuenta, suscripción, carga, base de datos, almacén o servicio cuya mala configuración pueda causar impacto material.
Consolida hallazgos por activo y cuenta solo configuraciones confirmadas que superen el umbral de relevancia definido.
No; debe reflejar cuánto reduce realmente la probabilidad o el impacto, incluyendo detección, bloqueo y remediación.
Usa la unidad que produzca probabilidades e impactos comparables; para entornos heterogéneos es mejor separar grupos.
Ordena grupos de activos por exposición residual y esfuerzo de corrección, empezando por mayor reducción de riesgo por unidad de coste.
| Concepto | Descripción |
|---|---|
| Superficie | Activos potencialmente afectados |
| Riesgo inherente | Antes de controles |
| Eficacia | Reducción real atribuible |
| Riesgo residual | Exposición que permanece |