Las métricas de ciberseguridad más usadas —vulnerabilidades corregidas, alertas cerradas, correos analizados y empleados capacitados— pueden mostrar actividad, pero no necesariamente menor riesgo. Esa es la premisa que guía a varios miembros de Forbes Technology Council, que plantean indicadores más útiles para medir si una organización está realmente reduciendo su exposición.
Flavius Plesu, de OutThink, propone vigilar la tasa de clics repetidos: si con el tiempo baja el grupo de personas que cae una y otra vez en simulaciones de phishing o ataques reales, el riesgo disminuye. Taylor Morgan, de TekStream, sugiere contar las rutas de ataque explotables hacia los activos críticos y seguir su evolución; cuando esas rutas se cierran más rápido de lo que aparecen nuevas, la exposición cae.
Saeed Abbasi, de Qualys, va más lejos y pide medir cuántas opciones prácticas y de bajo costo le quedan a un atacante para comprometer un activo clave con exploits públicos y ya armados. Si ese número baja, dice, el riesgo baja. En cambio, los parches enviados, el tiempo medio de remediación, las alertas cerradas y la cobertura reflejan actividad del defensor, no dificultad para el atacante.
Kapil Bareja, de Deloitte, pone el foco en el tiempo medio para identificar y aislar un sistema comprometido. Su argumento es simple: la prevención perfecta no existe, así que la pregunta relevante es cuánto tarda una organización en detectar, entender y contener un incidente antes de que se convierta en una catástrofe. Antonela Zubak, de viahub, agrega el porcentaje de vulnerabilidades críticas sin mitigar: si esa proporción cae de forma sostenida, la exposición a amenazas significativas se reduce.
Otras métricas apuntan a la cadena de suministro y al diseño de los sistemas. Mario Vuksan, de ReversingLabs, propone contar cuántos lanzamientos salen con una lista de materiales de software verificada frente al producto real; así, la distancia entre lo declarado y lo entregado se estrecha. Claude Mandy, de Edera, pide mirar cuántos sistemas están seguros por diseño, es decir, que bloquean todo por defecto y solo permiten lo necesario. Para él, el riesgo baja cuando cambia la forma en que se construyen los sistemas, no cuando solo se acumulan tareas.
En identidad y accesos, Michael Engle, de 1Kosmos, recomienda medir cuántos momentos de alto riesgo se resuelven con identidad verificada, como recuperación de cuentas, restablecimiento de contraseñas, alta de dispositivos y accesos privilegiados. Michael Beygelman, de Insygna, apunta a las credenciales sin dueño —cuentas de servicio, claves de interfaz de programación de aplicaciones y tokens de agentes— porque cada una abre una puerta que puede quedar abierta indefinidamente. Paul Zolfaghari, de Saviynt, resume el criterio con reducción de accesos excesivos, cuentas huérfanas y privilegios innecesarios.
En el fondo, el mensaje es claro: la seguridad no se mide por cuánto trabajo hace el equipo, sino por cuánto se reduce la superficie de ataque y el radio de impacto. Capital busca reglas claras, y en ciberseguridad eso significa salir del ritual de las métricas de actividad y mirar resultados que de verdad bajen la exposición.
El mercado ya votó por esa lógica: menos opacidad, menos privilegios sobrantes y menos rutas útiles para el atacante. En un entorno donde el daño puede escalar rápido, medir bien no es burocracia; es una condición para proteger productividad, continuidad operativa y capitalización.
