Riesgo 01medido
Riesgos que nadie ha medido
Se habla de “ciberataques” o “fugas” en abstracto, sin probabilidad, impacto ni dueño. Así es imposible justificar presupuesto o decir que algo ya está bajo control.
Riesgos de ciberseguridad e IA
Del riesgo difuso al riesgo gobernado
Identifico, mido y priorizo los riesgos de ciberseguridad y de inteligencia artificial de tu empresa con NIST CSF 2.0, CVSS, NIST AI RMF, ISO/IEC 27005 y FAIR. Terminas con un registro priorizado, un plan de tratamiento y un tablero para darle seguimiento.
Para gerencias, comités de riesgo y equipos de TI que necesitan decidir con datos qué atender primero, y cómo gobernar el uso de IA.
- NIST CSF 2.0
- CVSS v3.1 / v4.0
- NIST AI RMF 1.0
- ISO/IEC 27005
- FAIR
Matriz de riesgo 5×5
Exposición total86 / 125
riesgo residual −73 %
Ejemplo ilustrativo · puntaje = probabilidad × impactoEstado: riesgo inherente
01El problema
Cuando el riesgo es difuso, nadie sabe qué decidir
Casi todas las empresas saben que tienen riesgos. Pocas pueden decir cuáles son, cuánto pesan y quién los está atendiendo.
Riesgo 02priorizado
Listas de hallazgos sin prioridad
Escáneres y auditorías entregan cientos de vulnerabilidades con la misma urgencia aparente. El equipo técnico no sabe por dónde empezar y la gerencia no entiende qué está en juego.
Riesgo 03gobernado
IA en uso, sin gobernanza
Asistentes, copilotos y modelos se adoptan por área sin inventario, sin política y sin evaluar sesgos, fugas de información o dependencia de terceros.
La gestión de riesgos convierte esa niebla en un mapa: qué puede pasar, cuánto costaría, qué se hace al respecto y quién responde. ¿Buscas primero una prueba técnica de tu aplicación? Mira Ciberseguridad y evaluación de vulnerabilidades.
02Marcos que uso
Cinco marcos, un mismo lenguaje de riesgo
No se trata de “certificar” marcos: uso cada uno para lo que mejor hace. CSF ordena el programa, CVSS prioriza vulnerabilidades, AI RMF gobierna la IA, ISO/IEC 27005 da el proceso y FAIR lo traduce a dinero.
01 · Programa de ciberseguridadToca la rueda
NIST Cybersecurity Framework 2.0
Publicado por NIST en febrero de 2024, organiza la gestión del riesgo en seis funciones, 22 categorías y 106 subcategorías. La gran novedad frente a la versión 1.1 es Gobernar, que queda al centro: estrategia, roles, políticas y riesgo de proveedores.
GV · Función central
Gobernar
Se establecen, comunican y supervisan la estrategia, las expectativas y la política de gestión de riesgos de ciberseguridad de la organización.
- Contexto organizacional
- Estrategia de gestión de riesgos
- Roles y responsabilidades
- Política
- Supervisión
- Riesgo de la cadena de suministro
Perfil actual vs. perfil objetivo Ejemplo
ActualObjetivoEscala 0–4
Niveles (Tiers) del CSF
- T1Parcial
- T2Informado por el riesgo
- T3Repetible
- T4Adaptativo
La brecha entre ambos perfiles se convierte en un plan de acción priorizado, no en una lista de deseos.
Fuente: NIST Cybersecurity Framework · NIST CSWP 29 (CSF 2.0)
02 · Severidad de vulnerabilidadesCalculadora didáctica
CVSS: de un puntaje técnico a una prioridad de negocio
El Common Vulnerability Scoring System de FIRST mide la severidad de una vulnerabilidad de 0 a 10. No mide el riesgo por sí solo: para priorizar hay que cruzarlo con qué tan crítico es el activo afectado. Prueba cómo cambia el resultado.
9.8Crítica
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Traducción a prioridad de negocioEjemplo de política
P1: atender de inmediato, con responsable y fecha comprometida.
+ ATv4.0 añade Attack Requirements: condiciones del entorno necesarias para el ataque.
UI: P / ALa interacción del usuario se divide en pasiva y activa.
− ScopeSe retira “Alcance”; el impacto se mide en sistema vulnerable y sistemas subsecuentes.
B · BT · BE · BTEGrupos Base, Threat, Environmental y Supplemental, con nomenclatura explícita.
La calculadora usa la fórmula oficial del puntaje base de CVSS v3.1, aún muy presente en escáneres e inventarios. CVSS v4.0 (FIRST, noviembre de 2023) usa otro método de cálculo: para puntuarlo, usa la calculadora oficial. La matriz de prioridades es un ejemplo de política, no un estándar.
Fuentes: Especificación CVSS v3.1 · Especificación CVSS v4.0 · Calculadoras oficiales de FIRST: v3.1 y v4.0
03 · Riesgos de inteligencia artificial
NIST AI Risk Management Framework 1.0
Publicado en enero de 2023 (NIST AI 100-1), estructura la gestión de riesgos de IA en cuatro funciones y 72 subcategorías. Gobernar es transversal; Mapear, Medir y Gestionar se recorren en ciclo durante toda la vida del sistema de IA.
- GOBERNARCultura, políticas, roles y rendición de cuentas para gestionar el riesgo de IA en toda la organización.
- MAPEAREstablece el contexto: propósito del sistema, usuarios, terceros y riesgos asociados a ese contexto.
- MEDIRAnaliza, evalúa y da seguimiento a los riesgos identificados con métodos cuantitativos y cualitativos.
- GESTIONARPrioriza y trata los riesgos según su impacto proyectado, con monitoreo tras el despliegue.
Para IA generativa aplico además el Perfil de IA Generativa (NIST AI 600-1, julio de 2024), que describe 12 riesgos propios o agravados por estos sistemas, como la confabulación, la privacidad de datos o la seguridad de la información. NIST indica que el AI RMF está en revisión como parte del Plan de Acción de IA de la Casa Blanca; el trabajo se ajusta a la versión vigente.
Herramienta propiaKit AI RMF 1.0 en español
Mockup · datos demoTraducción completaLas cuatro funciones y sus 72 subcategorías, en español.
Playbook traducidoLas acciones sugeridas del AI RMF Playbook, listas para aterrizar.
Tracker de avanceRegistro por subcategoría vs. un perfil objetivo, con dashboard.
Fuentes: NIST AI RMF · NIST AI 100-1 · NIST AI 600-1
04 · Proceso y sistema de gestión
ISO/IEC 27005 e ISO/IEC 27001
ISO/IEC 27005:2022 es la guía para gestionar riesgos de seguridad de la información y respalda los requisitos de evaluación y tratamiento de riesgos de ISO/IEC 27001:2022. Es el esqueleto del proceso que sigo.
01
Establecer el contexto
Alcance, partes interesadas y criterios de aceptación del riesgo.
02
Evaluación del riesgo
IdentificaciónAnálisisValoración
03
Tratamiento del riesgo
ModificarRetenerEvitarCompartir
04
Aceptación del riesgo residual
La dirección acepta formalmente lo que queda, con evidencia.
ISO/IEC 27005:2022
Guía del proceso de gestión de riesgos de seguridad de la información.
ISO/IEC 27001:2022
Requisitos del sistema de gestión (SGSI). Soy Auditor Interno ISO 27001.
ISO/IEC 42001:2023
Primer estándar de sistemas de gestión de IA; referencia cuando la IA es parte del alcance.
Fuentes: ISO/IEC 27005:2022 · ISO/IEC 27001:2022 · ISO/IEC 42001:2023
05 · Riesgo en monedaSimulación ilustrativa
FAIR: cuánto podría costar, en dinero
FAIR (Factor Analysis of Information Risk) descompone el riesgo en frecuencia de eventos de pérdida y magnitud de la pérdida, y lo expresa como un rango de pérdida anual. Es el idioma que entiende un directorio.
P10—
Mediana—
P90—
Monte Carlo simplificado (5 000 años simulados) con supuestos didácticos. No es una estimación para tu empresa.
En BCP apliqué FAIR con RiskLens para cuantificar escenarios de riesgo de aplicaciones. El estándar vigente del FAIR Institute es la versión 3.0 (enero de 2025).
Fuentes: FAIR Institute · FAIR Standard v3.0
03Qué incluye
Seis entregables para gobernar el riesgo
Se ajustan al alcance: puedes empezar solo por ciberseguridad, solo por IA, o por ambos.
Evaluación de riesgos
Identificación y análisis de riesgos de ciberseguridad e IA en el alcance acordado, con mapa de calor y criterios explícitos.
Informe ejecutivo + técnicoPerfil actual y objetivo NIST CSF 2.0
Dónde estás hoy en cada función, dónde deberías estar según tu contexto y qué brechas cerrar primero.
Perfiles + brechasPriorización de vulnerabilidades con CVSS
Los hallazgos existentes (escáneres, pentests, auditorías) ordenados por severidad CVSS y criticidad del activo.
Backlog priorizadoEvaluación de riesgos de IA con AI RMF
Inventario de casos de uso de IA, riesgos por sistema y brechas frente a un perfil objetivo, con mi kit en español. Si aún estás adoptando IA, conecta con Empresas AI-Native.
Perfil AI RMF + trackerRegistro y plan de tratamiento
Cada riesgo con dueño, opción de tratamiento (mitigar, transferir, evitar o aceptar), acciones, fechas y riesgo residual esperado.
Registro de riesgosTablero de seguimiento
Indicadores de avance del tratamiento y evolución del riesgo residual, para revisar en comité sin rehacer el análisis.
Tablero + indicadores¿Necesitas medir antes la madurez tecnológica general? Consultor de Diagnóstico
04Proceso
Cuatro pasos para que el riesgo deje de ser niebla
Desplázate: cada paso ordena un poco más los mismos riesgos, desde una nube sin forma hasta un portafolio tratado y monitoreado.
Portafolio de riesgosPaso: —
- Paso 01
Contexto y alcance
Definimos qué procesos, activos, datos y sistemas de IA entran; quién es dueño de qué; y el apetito y los criterios de aceptación del riesgo.
ISO/IEC 27005 · CSF: Gobernar · AI RMF: GobernarAlcance y criterios de riesgo - Paso 02
Identificación y análisis
Levantamos amenazas, vulnerabilidades y casos de uso de IA; estimamos probabilidad e impacto con entrevistas, evidencias y hallazgos técnicos.
CSF: Identificar · CVSS · AI RMF: MapearRegistro de riesgos inicial - Paso 03
Evaluación y priorización
Contrastamos con el apetito de riesgo, cuantificamos en dinero los escenarios clave y ordenamos por prioridad de negocio.
FAIR · CVSS + criticidad · AI RMF: MedirMapa de calor y ranking - Paso 04
Tratamiento y monitoreo
Plan de tratamiento con responsables y fechas, aceptación formal del riesgo residual y un tablero para seguir la evolución.
ISO/IEC 27005 · AI RMF: GestionarPlan de tratamiento y tablero
05Por qué Jefferson
Riesgo evaluado desde dentro de la banca
- Desde oct. 2026
Arquitecto de Seguridad · Credicorp Capital
Diseño de seguridad en un grupo financiero regional.
- May. 2019 – sep. 2026
Application Security · BCP
Evaluó y priorizó riesgos de aplicaciones con CVSS y FAIR/RiskLens, traduciendo hallazgos técnicos a decisiones de negocio.
- Desde 2023
Especialista en Evaluación · ProInnóvate
Consultor evaluador de proyectos de innovación.
- Docencia
Universidad ESAN
Docente del curso de Hacking Ético y Seguridad.
13+años en tecnología y ciberseguridad
2certificaciones ISO 27001: Auditor Interno y Foundation
72subcategorías del AI RMF traducidas en su kit propio
Llevo años haciendo lo que este servicio propone, pero del lado del cliente: decidir qué riesgo atender primero cuando el presupuesto y el tiempo no alcanzan para todo. Esa mirada práctica es la que aplico en cada evaluación.
Para IA, trabajo con un kit propio del NIST AI RMF 1.0: traducción completa al español, acciones del Playbook traducidas y un tracker de avance frente a un perfil objetivo. Tu equipo puede seguir usándolo cuando termine el proyecto.
- NIST CSF 2.0
- NIST AI RMF 1.0
- CVSS
- FAIR / RiskLens
- ISO/IEC 27005
- ISO/IEC 27001
- ISO/IEC 42001
06Preguntas frecuentes
Antes de agendar
Una evaluación de vulnerabilidades prueba técnicamente una aplicación. La gestión de riesgos mira el conjunto: procesos, proveedores, datos, IA y los hallazgos técnicos que ya existen, y decide qué tratar primero según el impacto en el negocio. Si lo que necesitas es la prueba técnica, revisa Ciberseguridad.
No. Los marcos se usan como referencia y se escalan al tamaño y al contexto de tu empresa. Si más adelante quieres certificarte, el registro de riesgos y el plan de tratamiento son una base directa para el SGSI.
También aplica. El AI RMF considera a quienes usan sistemas de IA, no solo a quienes los desarrollan: se inventarían los casos de uso, se evalúan riesgos como fuga de datos, errores del modelo o dependencia del proveedor, y se definen políticas y controles de uso.
Según el alcance: informe ejecutivo y técnico, perfiles CSF actual y objetivo, backlog de vulnerabilidades priorizado, evaluación AI RMF, registro de riesgos con plan de tratamiento y un tablero de seguimiento. Todo en español y listo para presentar en comité.
Depende del alcance: número de procesos, sistemas y casos de IA, y de cuántos marcos se apliquen. Tras una llamada inicial recibes una propuesta con costo y cronograma cerrados. Toda la información se trata con confidencialidad.
07Siguiente paso
Pongamos tus riesgos en el mapa
Cuéntame qué te preocupa: ciberseguridad, proveedores o el uso de IA. En una llamada definimos el alcance y qué marcos tienen sentido para tu empresa.