Usted está aquí:
Cómo se calculan los puntuajes de riesgo para el cumplimiento de TI
Agentforce IT Service calcula dos puntuajes para cada riesgo: un puntuaje inherente que refleja la gravedad bruta antes de cualquier salvaguarda y un puntuaje residual que muestra lo que queda después de que se tengan en cuenta los controles asignados. Ambos puntuajes se calculan automáticamente por el Motor de reglas de negocio utilizando el conjunto de expresiones de puntuaje de riesgo activo.
Ediciones necesarias
| Disponible en: Lightning Experience |
| Disponible en: Ediciones Enterprise, Performance y Unlimited con Agentforce IT Service. |
Los puntuajes proporcionan a su equipo de cumplimiento una forma objetiva y repetible de comparar amenazas entre unidades de negocio, productos y activos de TI. En vez de basarse en juicios subjetivos, la fórmula de puntuaje convierte las puntuaciones de encuestas de partes interesadas en números que su equipo puede seguir, aplicar tendencias y actuar.
Los dos puntuajes en cada riesgo
Cada riesgo conlleva dos puntuajes que se actualizan automáticamente en base a diferentes cambios en su entorno.
- Puntuaje de riesgo inherente: La gravedad del riesgo antes de considerar cualquier control. Responde a la pregunta: ¿Qué tan grave es esta amenaza por sí sola? Utilícelo para priorizar qué riesgos necesitan más atención, independientemente de las protecciones ya existentes.
- Puntuaje de riesgo residual: La gravedad que queda después de que se tengan en cuenta los controles asignados al riesgo. Responde a la pregunta: ¿Cuánta exposición queda después de todo lo que su equipo está haciendo para gestionar el riesgo? Utilícelo para decidir si las protecciones actuales son suficientes o si se necesita más tratamiento.
Ambos puntuajes son valores numéricos. Una tabla de decisiones en el conjunto de expresiones asigna cada número a una banda de gravedad (como Baja, Media, Alta o Crítica) que aparece en registros de riesgo, tableros y el Mapa de calor de riesgo.
Cómo lee el conjunto de expresiones sus datos de riesgo
El Motor de reglas de negocio no lee campos de registro directamente. En su lugar, utiliza una definición de contexto, una asignación estructurada que indica al conjunto de expresiones exactamente qué campos leer desde qué registros y en qué campos redactar los resultados de nuevo.
La definición de contexto de puntuaje de riesgo predeterminada conecta tres tipos de registros con el conjunto de expresiones.
| Tipo de registro | Lo que lee el conjunto de expresiones (Entrada) | Lo que escribe el conjunto de expresiones (Salida) |
|---|---|---|
| Evaluación de riesgos | ImpactNumber: el puntuaje de impacto numérico recopilado de encuestas de partes interesadas. LikelihoodNumber: el puntuaje de probabilidad numérico recopilado de encuestas de partes interesadas. |
InherentRiskScore: el puntuaje inherente calculado, redactado de nuevo en el registro Evaluación de riesgo. ResidualRiskScore: el puntuaje residual calculado, redactado de nuevo en el registro Evaluación de riesgo. |
| Versión de control (una fila por control asignado) | EffectivenessRatingNumber: la valoración de eficacia numérica asignada a la versión de control. ControlWeightPercentage: la ponderación asignada al control, que determina cuánta influencia tiene en el puntuaje residual en relación con otros controles asignados. |
WeightedEffectivenessValue: el puntuaje ponderado por control, calculado como efectividad multiplicada por peso. Este valor intermedio alimenta la fórmula de puntuaje residual. |
| Riesgo | Metadatos de riesgo que proporcionan contexto para la evaluación, como la categoría de riesgo y el propietario. | Ninguna salida escrita directamente en el registro Riesgo por la fórmula predeterminada. |
Los atributos marcados como de solo entrada se leen por el conjunto de expresiones pero nunca se sobrescriben. Los atributos marcados como entrada-salida pueden leerse y actualizarse, que es como el conjunto de expresiones escribe los puntuajes finales de vuelta en el registro de evaluación.
Cómo se calcula el puntuaje de riesgo inherente
El puntuaje inherente se calcula primero, antes de que se consideren los controles. La fórmula predeterminada multiplica las dos puntuaciones que las partes interesadas proporcionan en la encuesta Evaluación de riesgos.
Inherent Risk Score = Likelihood × Impact
Por ejemplo, si las partes interesadas califican un riesgo como Probabilidad 4 sobre 5 e Impacto 5 sobre 5, el puntuaje inherente es 20. La tabla de decisiones asigna a continuación 20 a la banda Gravedad crítica.
El conjunto de expresiones escribe este resultado en el campo Puntuaje de riesgo inherente en el registro Evaluación de riesgo como una salida.
Cómo se calcula el puntuaje de riesgo residual
El puntuaje residual comienza desde el puntuaje inherente y lo reduce basándose en la efectividad colectiva de los controles asignados al riesgo. La fórmula predeterminada se ejecuta en cuatro pasos.
| Secuencia | Paso | Explicación |
|---|---|---|
| 1 | Calcular un valor de efectividad ponderado para cada control | Para cada versión de control asignada al riesgo, el conjunto de expresiones multiplica el puntuaje de efectividad del control por su porcentaje de ponderación asignado. Esto produce un valor de contribución ponderado para ese control. |
| 2 | Agregar los valores ponderados entre todos los controles | El conjunto de expresiones suma los valores de contribución ponderados de todos los controles asignados para obtener un puntuaje de efectividad ponderado total. |
| 3 | Calcular la efectividad ponderada media | El conjunto de expresiones divide la efectividad ponderada total por la suma de todos los porcentajes de ponderación de control. Esto produce una cifra media única que representa lo bien que está reduciendo el riesgo el conjunto combinado de controles. |
| 4 | Aplicar la fórmula residual | El conjunto de expresiones aplica la efectividad ponderada media como un factor de reducción al puntuaje inherente: Puntuaje de riesgo residual = Puntuaje de riesgo inherente × (1 − Efectividad de control ponderada media ÷ 100) |
Una mayor eficacia de control media significa una mayor reducción y un menor puntuaje residual. Si no se asignan controles, la efectividad media es cero y el puntuaje residual es igual al puntuaje inherente.
Personalización de la fórmula de puntuaje
Agentforce IT Service proporciona un conjunto de expresiones de puntuaje de riesgos predeterminado de modo que su equipo pueda empezar a puntuar riesgos en cuanto se active Gestión de riesgos. Un administrador activa el conjunto de expresiones predeterminado durante la configuración.
El conjunto de expresiones predeterminado es un punto de inicio, no una restricción. Si su organización necesita una metodología de puntuaje diferente (por ejemplo, ponderar los riesgos financieros más fuertemente que los operativos, o utilizar una escala de 1 a 10 en vez de 1 a 5), un administrador puede duplicar la expresión predeterminada establecida en el Motor de reglas de negocio y modificar las fórmulas.
Los conjuntos de expresiones personalizados pueden utilizar diferentes ponderaciones, agregar lógica adicional para controles ineficaces o introducir un suelo de puntuaje residual mínimo. Cuando se activa la versión personalizada, todas las evaluaciones utilizan la lógica actualizada.
Cómo se vuelven a calcular los puntuajes automáticamente
Los puntuajes se actualizan de forma dinámica a medida que cambian las condiciones.
- Cuando una encuesta Evaluación de riesgo alcanza su umbral de respuesta, el Motor de reglas de negocio vuelve a calcular la probabilidad y la repercusión en la evaluación principal, y se actualiza el puntuaje inherente.
- Cuando un control se asigna o no se asigna desde el riesgo, el puntuaje residual se vuelve a calcular para reflejar el nuevo conjunto de salvaguardas.
- Cuando se completa un plan de tratamiento y se asignan nuevos controles al riesgo, el puntuaje residual se actualiza para reflejar la postura mejorada.
- Cuando Monitoreo de riesgo continuo está activado, el agente en segundo plano observa cambios (como un control que se vuelve ineficaz o se agrega un nuevo ámbito) y desencadena una nueva evaluación cuando los puntuajes pueden haber cambiado.
Cómo se realiza el seguimiento de los puntuajes
- La página de detalles de cada registro Riesgo muestra los puntuajes inherentes y residuales, junto con la tendencia en evaluaciones pasadas.
- Cada registro Evaluación de riesgo muestra los puntuajes producidos por ese ciclo de evaluación específico.
- El Mapa de calor de riesgo traza cada riesgo en una tabla de probabilidad por impacto, utilizando los puntuajes inherentes para posicionar riesgos de modo que el liderazgo pueda ver la gravedad de un vistazo.
El equipo de cumplimiento de Cumulus Bank registra un riesgo de ataque de phishing para la unidad de negocio de ventas de Norteamérica y ejecuta una evaluación del primer trimestre. A continuación le mostramos cómo fluyen los números por el conjunto de expresiones.
Paso 1: Recopile valoraciones de encuestas. Las partes interesadas responden a la encuesta Evaluación de riesgos. Las calificaciones agregadas vuelven como Probabilidad 4 e Impacto 5.
Paso 2: Calcule el puntuaje inherente. El conjunto de expresiones lee los LikelihoodNumber (4) y ImpactNumber (5) del registro Evaluación de riesgo y los multiplica. Puntuaje de riesgo inherente = 4 × 5 = 20. El conjunto de expresiones escribe 20 en el campo InherentRiskScore. La tabla de decisiones asigna 20 a Crítico.
Paso 3: Calcule la efectividad ponderada para cada control asignado. El equipo de cumplimiento asignó tres controles al riesgo.
| Control | Valoración de eficacia | Peso (%) | Eficacia ponderada |
|---|---|---|---|
| MFA clave de hardware | 60 | 40 | 2,400 |
| Pasarela de seguridad de email | 65 | 35 | 2,275 |
| Programa de concienciación sobre phishing | 50 | 25 | 1.250 |
| Totales | — | 100 | 5,925 |
Paso 4: Calcule la efectividad ponderada media. Suma de efectividad ponderada (5.925) ÷ Suma de ponderaciones de control (100) = Efectividad ponderada media de 59,25.
Paso 5: Calcule el puntuaje residual. Puntuaje de riesgo residual = 20 × (1 − 59,25 ÷ 100) = 20 × 0,4075 = 8,15, redondeado a 8. El conjunto de expresiones escribe 8 en el campo ResidualRiskScore. La tabla de decisiones asigna 8 a Mediano.
El resultado indica a la directiva que, aunque la amenaza de phishing es inherentemente crítica, los controles existentes han reducido la exposición residual a Media. El riesgo aún se monitorea de forma activa, y cualquier cambio en la efectividad de un control, como la caducidad del programa de concienciación de phishing, desencadena un nuevo cálculo que podría empujar el puntuaje residual de nuevo hacia arriba.
