Pérdida anualizada esperada vs. distribución de pérdidas

La pérdida anualizada esperada (ALE, por sus siglas en inglés) multiplica la frecuencia con que ocurre una pérdida por lo que cuesta y entrega un solo número: el año promedio. Una distribución de pérdidas conserva todos los años: con qué frecuencia no pasa nada, cuánto cuesta un año malo típico y hasta dónde llega la cola. Dos riesgos pueden tener la misma pérdida anualizada esperada y aun así pedir decisiones opuestas. El promedio no los distingue; la distribución sí.

¿Qué calcula la pérdida anualizada esperada?

La pérdida anualizada esperada es el costo por evento multiplicado por los eventos por año. El NIST la formalizó en 1979 en FIPS PUB 65, su guía de análisis de riesgos para el procesamiento automático de datos, a partir del trabajo de Robert Courtney en IBM. La guía la llamaba exposición anual a pérdidas: el impacto estimado en dólares multiplicado por la frecuencia estimada de ocurrencia por año. Los cursos de seguridad todavía enseñan el mismo producto con los nombres de expectativa de pérdida individual y tasa anualizada de ocurrencia.

Pérdida anualizada esperada = costo por evento × eventos por año

FIPS 65 la concebía como una herramienta de orden de magnitud. Las frecuencias salían de una escala que iba de una vez cada 300 años a 100 veces por día, y los costos, de potencias de diez. La propia historia del NIST sobre su trabajo en gestión de riesgos registra que los resultados se seguían leyendo con más precisión de la que se justificaba. Ahí está todo el problema. Un producto aproximado se convirtió en un número de apariencia exacta, y el número perdió el rango del que venía.

Open FAIR conserva los mismos dos factores y abandona el valor puntual. El estándar Open FAIR de análisis de riesgos (O-RA) de The Open Group trabaja con rangos calibrados para Loss Event Frequency (frecuencia de eventos de pérdida) y Loss Magnitude (magnitud de la pérdida). Los insumos resultan familiares. El resultado es otro tipo de objeto.

Dos escenarios con el mismo promedio

El mismo promedio no significa el mismo riesgo. Tomemos dos escenarios ilustrativos. El primero es un ataque de ransomware que cifra los servidores de facturación, con los rangos de nuestra página de metodología: de 0,2 a 0,6 eventos de pérdida por año y de 300.000 a 1.200.000 USD por evento. El segundo es un compromiso del correo corporativo que desvía pagos a proveedores desde cuentas por pagar: de 3 a 6 eventos por año, de 20.000 a 115.000 USD cada uno.

Simulamos 100.000 años de cada uno, tomando la frecuencia y el costo por evento de rangos lognormales en los que cada valor bajo y alto delimita un intervalo del 90 %. Las cifras son ilustrativas, no datos de clientes.

Un reporte basado en la pérdida anualizada esperada pondría los dos en 239.000 USD y los daría por empatados. No lo están. El escenario de fraude cuesta más o menos su promedio casi todos los años, así que ese promedio es una partida de presupuesto razonable. El de ransomware no cuesta nada la mayoría de los años y, uno de cada diez, cuesta más de tres veces y media su promedio.

Por qué ningún año se parece al promedio

En el escenario de ransomware, el promedio describe un año que casi nunca ocurre. Siete años de cada diez no tienen ninguna pérdida, así que el año mediano es cero. Cuando sí hay pérdida, la mediana de esos años es 675.000 USD, casi el triple del promedio. La cifra de 239.000 USD queda en el hueco entre los dos resultados, donde caen muy pocos años simulados.

Aquí es donde se tuerce la conversación sobre el presupuesto. Un CFO que reserva 239.000 USD al año para este riesgo ve la reserva sin usar durante varios años y, de pronto, un solo año se lleva tres veces y media esa cantidad. Como promedio, el número nunca estuvo mal. Respondía a la pregunta equivocada para un riesgo que llega pocas veces y sale caro.

La curva de excedencia se lee de izquierda a derecha: para cada monto, la probabilidad de que la pérdida de un año sea mayor. Arranca en 30 %, no en 100 %, porque la mayoría de los años nunca sale de cero. Todavía marca 1 % en 1.850.000 USD. Esa es la parte del riesgo que le importa a una aseguradora, a un tesorero y al directorio, y la que el promedio deja fuera.

Qué pregunta responde cada una

La pérdida anualizada esperada responde bien a una sola pregunta: ¿cuánto cuesta este riesgo, en promedio, a lo largo de muchos años? Casi todo lo que un directorio decide sobre riesgo cibernético depende de otra cosa.

Un apetito de riesgo formulado como «no más de una probabilidad de uno en diez de perder más de 1 millón de USD en un año» se puede contrastar con una distribución. El escenario de ransomware lo cumple por poco: su año de uno en diez es de 850.000 USD. Ese mismo enunciado no se puede contrastar con un promedio, y eso basta para dejar de reportar el promedio solo.

Cuándo sigue siendo útil la pérdida anualizada esperada

La media es un número incompleto, no un número equivocado. Para pérdidas frecuentes, pequeñas y bastante independientes entre sí, como las del escenario de fraude, la mediana y la media quedan cerca, en 220.000 USD y 239.000 USD, y presupuestar según el promedio funciona. Las medias además se suman: la pérdida esperada de una cartera es la suma de las pérdidas esperadas de sus escenarios. Los percentiles no se suman así.

Así que conviene conservar la media, como una lectura más de la distribución, junto a la probabilidad de un año sin pérdidas y los percentiles de la cola. Lo que no conviene es dejar que ocupe su lugar. Un único valor esperado esconde cuán ancha es la incertidumbre y con qué frecuencia pasa un año sin ninguna pérdida. En un riesgo raro y costoso, esos dos datos son la decisión.

Cómo pasar de un número a una distribución

Para empezar no hacen falta datos nuevos; hace falta escribir como rangos las estimaciones que ya existen. Si una pérdida anualizada esperada salió de «más o menos una vez cada tres años, unos 600.000 USD», la versión honesta es un rango para cada factor: la frecuencia más baja y la más alta que resultan creíbles, el costo más bajo y el más alto, con una nota sobre de dónde sale cada extremo.

Después, simular. Se toman una frecuencia y un costo para cada uno de muchos miles de años y se cuenta lo que pasa; la metodología muestra cómo lee Sentrio el resultado de un escenario. Se reportan cuatro lecturas: la probabilidad de un año sin pérdidas, la mediana, el año de uno en diez y el de uno en cien. Los supuestos van al lado, en una frase.

Que falten datos no es motivo para volver a una estimación puntual. La falta de datos ensancha el rango; nunca esconde un número, y nunca es cero. Un rango ancho el primer día es honesto, y además indica en qué insumo trabajar después. En el ejemplo del ransomware, la frecuencia es una estimación declarada y el costo por evento está documentado, así que lo que angostaría la cola es mejor evidencia sobre la frecuencia con que atacan los servidores de facturación.