Cómo comparar medidas de seguridad sin basarse solo en el número de alertas

Define qué quieres mejorar

Elige un escenario y un resultado observable: detectar uso indebido de una cuenta privilegiada, impedir un acceso o recuperar un servicio. Distingue prevención, detección y respuesta. Una herramienta que bloquea una acción y otra que la registra no aportan el mismo resultado. NIST recomienda seleccionar medidas para evaluar controles; concreta esa evaluación en preguntas del negocio, sin convertir un indicador aislado en una puntuación universal de seguridad.

Construye una comparación equivalente

Registra activos incluidos, fuentes activas, periodo, reglas y cambios de configuración. Usa el mismo conjunto representativo cuando compares antes y después. Separa equipos sin telemetría de equipos sin incidentes: ambos pueden mostrar cero alertas por razones opuestas. Anota usuarios, operaciones o activos cubiertos como denominadores adecuados al caso. Si aumentó la plantilla o se conectó una nueva fuente, explica por qué el volumen bruto ya no es comparable.

Combina cobertura, calidad y capacidad de actuación

Observa cuántos activos críticos envían datos, si una prueba autorizada produce la señal esperada y si llega al responsable. Revisa una muestra de clasificaciones y casos reabiertos. Mide también tiempo hasta aceptación y acción útil con hitos claros; un cierre automático rápido no demuestra mejor respuesta. Cuando no conozcas falsos negativos, indícalo: no puedes deducir su ausencia del panel. Conserva resultados y limitaciones junto a cada indicador.

Decide con una ficha por alternativa

Para cada medida, escribe escenario cubierto, evidencia, cobertura pendiente, coste operativo y dependencia de personal. En un ejemplo hipotético, una solución con menos avisos puede ser peor si dejó fuera los servidores principales. Fija condiciones de éxito antes del piloto y una revisión posterior con negocio. Elige por resultados demostrados y recursos sostenibles. Si los datos no permiten comparar, encarga una prueba adicional concreta en lugar de presentar como mejora una diferencia que no sabes explicar.

Fuentes y documentación

• NIST SP 800-55 Vol. 1 · Security measures — Selección de medidas para evaluar controles y decisiones.