Metodología
De dónde viene el número.
Nada aquí es caja negra. El método es público porque un número que el directorio no puede auditar no vale nada en una reunión.
01El escenario
Siete escenarios, no una lista de amenazas.
La unidad de análisis es el escenario de pérdida: un evento con principio, medio y cuenta. Ransomware con parada de operación es un escenario; "malware" no lo es. Todos salen en reales; la cuenta corporativa comprometida actúa como agravante de la frecuencia de los demás, y la IA no autorizada solo recibe valor cuando hay tráfico observado.
- Cada escenario tiene frecuencia e impacto estimados por separado.
- La frecuencia viene del historial de la propia empresa cuando existe; si no, de la referencia del sector y del tamaño, ajustada por las señales observadas.
- El impacto separa pérdida primaria (siempre que ocurre) de secundaria (solo si alguien de afuera reacciona).
02El rango
Simulación, no cuenta de cabeza.
Cada escenario corre miles de simulaciones y sale como distribución, no como número. Lo que aparece en pantalla es el rango de P10 a P90, la probabilidad de un incidente grave en el año y el costo de un año malo.
- Sin datos, el escenario aparece sin medida y con el motivo, nunca como cero.
- El punto único está prohibido en toda superficie del producto y de este sitio.
- La escala es siempre la misma entre antes y después, para que la comparación sea honesta.
03La confianza
El número carga la calidad de su propia prueba.
La confianza no es opinión: es función de cuántas disciplinas tienen fuente conectada para ese escenario, de qué escalón de prueba alcanzó cada control y de qué tan vieja está la evidencia.
- Declarado, evidenciado y validado pesan distinto, y solo una prueba valida.
- La evidencia vencida deja de contar como prueba, sin que nadie la toque.
- Indene dice cuál próxima conexión aumenta más la confianza.
04Los límites
Lo que el método no hace.
Un método honesto declara dónde para. Indene no predice incidentes, no reemplaza al equipo de seguridad y no emite certificados.
- No es predicción: es distribución de pérdida anual bajo las condiciones observadas.
- No reemplaza GRC, red team ni auditoría independiente; organiza y prueba su trabajo.
- Sin fuente conectada el número existe, pero la confianza es baja, y eso está escrito en la pantalla.