En casi todos los comités de ciberseguridad o juntas de consejo donde participo se repite la escena: una lámina con indicadores de ciberseguridad, gráficos en verde y rojo, porcentajes que parecen transmitir control… o alarma.
Y entonces surge la pregunta incómoda:
¿Lo que estamos viendo es un KPI o un KRI?
La diferencia no es académica. Es estratégica.
Un KPI mide desempeño.
Un KRI mide exposición al riesgo.
Cuando el consejo no distingue entre ambos, no solo interpreta mal la información: gobierna mal.
Tomemos uno de los indicadores más frecuentes: el número de vulnerabilidades críticas abiertas. En muchos comités se convierte en el termómetro central. Se establecen metas como “reducirlas al mínimo” o “cerrarlas en cierto plazo”. A simple vista, suena responsable. Pero ahí comienza la distorsión.
Primero, es importante entender por qué la gestión de vulnerabilidades es crítica. No se trata de cumplir con una lista técnica. Se trata de evitar que fallas conocidas se conviertan en puertas de entrada para intrusiones, ransomware o accesos indebidos. Una vulnerabilidad no atendida en el activo equivocado puede escalar rápidamente de hallazgo técnico a crisis reputacional u operativa.
Gestionarlas bien evita incidentes. Medirlas mal puede generar una falsa sensación de control.
Las vulnerabilidades nunca desaparecerán. Cada mes surgen nuevas. El ecosistema digital evoluciona constantemente. Pretender que el KPI sea “tener pocas vulnerabilidades” es establecer una meta estructuralmente imposible. Y peor aún, convierte un fenómeno permanente en un indicador de desempeño.
Lo relevante no es cuántas existen, sino cómo se clasifican y priorizan.
Lee más: La identidad es hoy el verdadero perímetro de la ciberseguridad
No toda vulnerabilidad crítica representa el mismo riesgo. ¿Es explotable activamente? ¿Está expuesta al exterior o aislada internamente? ¿Afecta un activo estratégico o uno secundario? ¿Su corrección es inmediata o requiere cambios complejos que deben probarse sin interrumpir la operación como pedir cambios a los desarrolladores?
Ahí está la diferencia entre gestionar y reaccionar.
Un KPI adecuado debería medir si la organización cumple con su propia política de gestión de vulnerabilidades: si prioriza correctamente lo que realmente impacta al negocio y actúa dentro de los tiempos definidos según el nivel de exposición.
Un KRI, en cambio, debería alertar cuando aumenta la exposición real: por ejemplo, cuando aparecen nuevas vulnerabilidades de alto impacto en activos estratégicos o cuando el entorno externo incrementa la probabilidad de explotación.
Uno mide disciplina operativa alineada a estrategia.
El otro mide aumento de riesgo.
Confundirlos genera incentivos equivocados. Se presiona para “bajar el número” en lugar de reducir exposición. Se cuestiona al responsable de ciberseguridad porque el total creció, cuando en realidad pudo haber mejorado la visibilidad o ampliado el inventario tecnológico.
He visto juntas donde el incremento en vulnerabilidades se interpreta como deterioro. Sin contexto, el número alarma. Con contexto, puede reflejar mayor madurez y mejor capacidad de detección.
Medir sin clasificar es una forma silenciosa de gobernar a ciegas.
También lee: Ciberseguridad financiera en 2026: prioridades para una región interconectada
Cuando el consejo mide volumen en lugar de exposición, termina supervisando tareas operativas en vez de ejercer gobierno estratégico. Y esa confusión tiene consecuencias: recursos asignados donde el indicador luce mal, no donde el impacto sería mayor; métricas en verde que tranquilizan, aunque la superficie crítica siga expuesta.
La gestión de vulnerabilidades bien diseñada evita que pequeñas grietas se conviertan en crisis. Pero solo si está basada en criterios de riesgo claros y entendidos por la alta dirección.
Por eso, los comités no necesitan más dashboards. Necesitan mejores preguntas:
¿Estamos clasificando correctamente lo que importa?
¿Nuestra política prioriza activos estratégicos o solo cumple con estándares genéricos?
¿Estamos midiendo exposición real o simplemente contando hallazgos?
La ciberseguridad no falla porque existan vulnerabilidades. Falla cuando el gobierno corporativo no comprende qué significan.
Y en ese punto, el problema ya no es técnico.
Es de dirección.
Sobre el autor:
Correo: [email protected]
LinkedIn: https://www.linkedin.com/in/andresvelazquez/
Las opiniones expresadas son sólo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes México.
