KRIs: indicadores clave de riesgo que el CISO debe monitorear

Los indicadores clave de riesgo, o KRIs, son métricas de tendencia que avisan al CISO cuando la exposición a una amenaza está aumentando, antes de que se convierta en un incidente. El informe de seguridad de la semana pasada cuenta lo que ya ocurrió; un buen conjunto de KRIs señala dónde es probable que surja el próximo problema, y eso da tiempo para actuar.

El desafío rara vez es la falta de datos. Es el exceso. Hojas de cálculo fragmentadas, un panel de vulnerabilidades, otro de compliance, un tercero de proveedores, y ninguno conectado con los demás. El resultado es un líder de seguridad que se entera del riesgo por la noticia del incidente, no por el indicador. Este artículo muestra cómo elegir, calibrar y conectar indicadores clave de riesgo para que lleven de la exposición a la decisión.

Qué son los KRIs y en qué se diferencian de los KPIs

Un KRI sigue la probabilidad de que un riesgo se materialice o el tamaño de la exposición a él. Un KPI mide el desempeño de una actividad ya realizada. La diferencia parece sutil, pero cambia la forma de reaccionar.

Piense en una analogía sencilla. El KPI es el velocímetro: muestra a qué velocidad va usted ahora. El KRI es la luz de temperatura del motor: se enciende antes de la avería y da la oportunidad de detenerse y evitar el daño. Ambos son útiles, pero solo el segundo es una alerta anticipada.

Algunos contrastes prácticos en el contexto de seguridad:

• KPI: porcentaje de vulnerabilidades críticas corregidas en el mes. KRI: número de activos críticos expuestos sin corrección desde hace más de 30 días y con explotación activa conocida.
• KPI: cantidad de capacitaciones de concienciación completadas. KRI: tasa de clics en pruebas de phishing por encima de la línea base histórica.
• KPI: número de auditorías cerradas en el trimestre. KRI: cantidad de controles con evidencia vencida o ausente.

La lógica es coherente. El KPI mira hacia atrás y mide entregas. El KRI mira hacia adelante y mide la tendencia de la exposición. El CISO maduro usa ambos, pero es el KRI el que permite actuar antes de la pérdida.

Anticiparse importa porque las brechas tardan en resolverse. En la edición 2025 del informe Cost of a Data Breach, de IBM, el ciclo de vida promedio de una brecha, desde que se identifica hasta que se contiene, fue de 241 días, 17 menos que el año anterior (IBM, 2025). Cuanto antes se enciende un indicador, más corta tiende a ser la ventana en la que el atacante opera sin ser visto.

Cómo definir umbrales y disparadores de alerta

Un indicador clave de riesgo sin umbral definido es solo un número en el panel. Lo que convierte la métrica en decisión son tres elementos: un umbral claro, un disparador de alerta y un responsable que actúe cuando el disparador se activa.

Defina los umbrales combinando tres referencias:

1. Base histórica. ¿Cuál es el comportamiento normal de la métrica en los últimos seis a doce meses? La desviación de esa línea base es la primera señal.
2. Apetito y tolerancia al riesgo. ¿Cuánta exposición aceptan conscientemente la dirección y el directorio? El umbral del KRI debe reflejar esa decisión de negocio, no solo la sensibilidad técnica. El NIST CSF 2.0 pide que las declaraciones de apetito y tolerancia al riesgo se establezcan, se comuniquen y se mantengan (subcategoría GV.RM-02), y la tolerancia es justamente la franja a partir de la cual alguien tiene que decidir. Para llevar el apetito a números, vea Apetito de riesgo: de la frase al número.
3. Exigencia regulatoria. Los plazos normativos fijan techos que no se pueden superar. Según la Resolución CD/ANPD n.º 15/2024 (art. 6), de la ANPD, la autoridad brasileña de protección de datos, el controlador debe comunicar a la ANPD un incidente de seguridad que pueda acarrear un riesgo o daño relevante a los titulares en un plazo de tres días hábiles, contados desde que sabe que el incidente afectó datos personales. Un KRI vinculado a ese plazo debe activarse mucho antes del vencimiento.

Con esas referencias, estructure franjas de semáforo y asocie cada una a una acción:

• Verde: dentro de lo esperado. Ninguna acción más allá del monitoreo de rutina.
• Amarillo: tendencia de empeoramiento. Notificar al responsable del riesgo y abrir una investigación.
• Rojo: umbral crítico alcanzado. Activar el plan de respuesta y escalar a la dirección.

El disparador no tiene por qué ser un valor absoluto. Muchas veces la velocidad del cambio importa más que el número. En un ejemplo hipotético, un salto del 40% en activos expuestos en una semana merece alerta aunque el total siga en la franja amarilla. Para apoyar esa calibración, conviene vincular los KRIs a la priorización inicial de amenazas y seguir en el tiempo las que la matriz de riesgo clasificó como más críticas.

Ejemplos de indicadores clave de riesgo: ciberseguridad, compliance y proveedores

Un buen conjunto inicial cubre tres frentes que concentran buena parte del riesgo material: exposición técnica, cumplimiento y terceros. A continuación, ejemplos prácticos con la métrica y el motivo para seguirla. Los umbrales deben calibrarse con las referencias de la sección anterior.

Riesgo cibernético y exposición

• Activos críticos sin corrección crítica desde hace más de 30 días. Mide la ventana de exposición. El volumen de nuevas fallas presiona este indicador: según el NIST, los envíos de CVE crecieron un 263% entre 2020 y 2025, y el primer trimestre de 2026 quedó casi un tercio por encima del mismo período de 2025 (NIST, abril de 2026). Priorizar la corrección por riesgo, por ejemplo considerando si la falla está en el catálogo KEV de la CISA, y no por orden de llegada, es lo que mantiene este KRI bajo control. El método está en 48 mil CVE al año: por dónde empezar.
• Tasa de clics en simulaciones de phishing. Señala el factor humano. Un umbral amarillo posible es que la tasa supere el promedio móvil de los últimos trimestres.
• Cuentas privilegiadas sin revisión de acceso en el período. Indica acumulación de privilegios y riesgo de movimiento lateral.

Compliance continuo

• Controles con evidencia vencida o ausente. Mide la salud real del programa de cumplimiento entre auditorías, algo que pesa en programas basados en marcos voluntarios como ISO/IEC 27001, SOC 2 y NIST CSF.
• Solicitudes de titulares atendidas fuera de plazo. Es riesgo regulatorio directo. La LGPD, la Ley General de Protección de Datos de Brasil, fija, por ejemplo, hasta 15 días para la declaración completa de confirmación de existencia o de acceso a los datos (art. 19, II), y remite otros plazos a reglamento (art. 18, § 5). El umbral rojo debe activarse antes del vencimiento.
• Desvíos de política abiertos más allá del plazo definido internamente. Muestra la fricción entre el control definido y la operación real.

Riesgo de terceros

• Proveedores críticos sin reevaluación de riesgo en el ciclo. La dependencia de terceros pesa cada vez más en las brechas. En el Data Breach Investigations Report 2026, la 19.ª edición del informe de Verizon, las brechas con participación de un tercero llegaron al 48% del total, un aumento del 60% respecto de la edición anterior, que registraba el 30% (Verizon, DBIR 2026).
• Proveedores con incidente de seguridad reportado en el período. Alerta inmediata para revisar contrato y accesos.
• Concentración de un servicio crítico en un único proveedor. Mide el riesgo de continuidad y resiliencia.

Para que los KRIs de terceros se basen en datos coherentes, conviene estructurar el proceso con buenas prácticas de gestión de riesgo de proveedores.

Cómo vincular los KRIs a planes de respuesta

Un indicador que se enciende sin activar ninguna respuesta es ruido. El valor de los KRIs aparece cuando cada umbral crítico está atado a un plan documentado, con responsable, pasos y plazo. Esa es la diferencia entre monitorear el riesgo y gestionarlo.

Para cada KRI en rojo, defina un flujo mínimo:

1. Responsable del riesgo. Quién recibe la alerta y responde por la decisión. Sin un nombre, el indicador no tiene tracción.
2. Playbook asociado. Qué hacer cuando se activa el disparador, en pasos concretos: aislar el activo, revocar accesos, contactar al proveedor, notificar al área jurídica.
3. Plazo de respuesta. Cuánto tiempo tiene el responsable para actuar antes de que la situación se escale a la dirección.
4. Registro de la decisión. Qué se decidió, quién lo decidió y con base en qué evidencia. Esa trazabilidad es la que respalda la auditoría después.

Este encadenamiento también respalda la comunicación con la alta dirección. Cuando el CISO necesita reportar el riesgo cibernético al directorio, un KRI en rojo con historial y plan de respuesta asociado comunica mucho más que un gráfico técnico aislado. El puente entre el indicador y la decisión ejecutiva es lo que convierte un dato de seguridad en un tema de negocio.

Lo central es mantener la decisión en manos humanas. El indicador prioriza y señala, pero quien decide aislar un sistema o activar un contrato es el responsable, con el contexto de negocio a mano.

Monitoreo continuo de KRIs con una plataforma de GRC

Seguir los KRIs en hojas de cálculo suele funcionar hasta el primer incidente real. Datos desactualizados, cálculo manual y falta de vínculo entre controles, activos y proveedores hacen que el indicador llegue tarde. Una plataforma de GRC que reúna esas fuentes en una visión conectada ataca tres limitaciones del enfoque manual:

• Dato único y actualizado. En lugar de conciliar hojas de cálculo, los KRIs se alimentan de un inventario compartido de controles, activos y proveedores, con historial de cada cambio.
• Contexto de negocio. El riesgo técnico se vincula a procesos, escenarios e impacto, lo que hace que el KRI sea comprensible para el directorio.
• Automatización con decisión humana. Parte de la recopilación de datos y de la priorización puede automatizarse, pero la decisión sigue en manos del responsable, en el modelo human-in-the-loop.

Eagle, la plataforma de Enterprise Risk Intelligence de Futture, fue diseñada para este escenario. Su módulo de riesgos corporativos reúne taxonomía, apetito, tolerancia e indicadores, con dashboards para el directorio, y se conecta con los módulos de GRC, exposición cibernética y terceros. En el módulo de GRC, un control mapeado una vez puede reutilizarse entre marcos, con trazabilidad hasta cada requisito, lo que ayuda a mantener coherentes los KRIs de compliance. La IA sugiere prioridades, pero el usuario revisa, aprueba, rechaza o ajusta cada resultado relevante. Para una visión más amplia de este tipo de herramienta, vea la guía Plataforma de GRC en Brasil: cómo elegir la adecuada.

Próximo paso para su programa de KRIs

Elija tres indicadores, uno de exposición cibernética, uno de compliance y uno de terceros, y defina para cada uno, en las próximas dos semanas, el umbral, el disparador de alerta y el responsable. Ese conjunto pequeño y bien calibrado le enseñará más sobre su riesgo real que un panel con decenas de métricas sin decisión asociada. A partir de él, amplíe gradualmente hasta cubrir los riesgos materiales del negocio y conecte todo a una visión única, en la que cada número en rojo ya llegue acompañado de su plan de respuesta.

Para profundizar: Matriz de riesgo: cómo construirla y priorizar amenazas; Apetito de riesgo: de la frase al número; Cómo el CISO debe reportar el riesgo cibernético al directorio.

Preguntas frecuentes

¿Cuál es la diferencia entre KRI y KPI?

El KPI mide el desempeño de algo que ya ocurrió, como el tiempo promedio de corrección de vulnerabilidades del mes pasado. El KRI anticipa el aumento de la probabilidad de que un riesgo se concrete, como el crecimiento del número de activos sin corrección crítica.

¿Cuántos KRIs debe monitorear un CISO?

Ninguna norma fija un número. Empiece con pocos, por ejemplo tres, uno de exposición cibernética, uno de compliance y uno de terceros, y amplíe a medida que cada nuevo indicador tenga umbral, disparador y responsable. Demasiados KRIs generan ruido y restan capacidad de decisión. El objetivo es enfocarse en los riesgos materiales para el negocio, no armar un panel con decenas de números sin responsable.

¿Cómo se define el umbral de alerta de un KRI?

Combine la referencia histórica, el apetito y la tolerancia al riesgo definidos por la dirección y los plazos regulatorios, como los tres días hábiles de la Resolución CD/ANPD n.º 15/2024 para comunicar incidentes relevantes a la autoridad brasileña de protección de datos. Defina franjas verde, amarilla y roja y asocie cada una a una acción concreta, como notificar al responsable del riesgo o activar el plan de respuesta.

¿Los KRIs reemplazan la matriz de riesgo?

No. La matriz de riesgo prioriza y clasifica amenazas en un momento dado. Los KRIs siguen esas amenazas en el tiempo y avisan cuando la exposición cambia. Los dos instrumentos trabajan juntos en la gestión de riesgos.

Referencias oficiales

• Verizon — Data Breach Investigations Report 2026 (comunicado, mayo de 2026)
• NIST — actualización de las operaciones de la NVD ante el crecimiento récord de CVE (abril de 2026)
• IBM — Cost of a Data Breach Report 2025 (comunicado, julio de 2025)
• CISA — catálogo Known Exploited Vulnerabilities (KEV)
• Resolución CD/ANPD n.º 15/2024 — Reglamento de Comunicación de Incidentes de Seguridad (Diario Oficial de la Unión de Brasil)
• Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (LGPD)
• NIST Cybersecurity Framework 2.0 (NIST CSWP 29)