Most organizations manage risk like a black box: a register with hundreds of items, scores and traffic lights that no one can quite explain. Yet decisions get made on top of it: accept, avoid, transfer or mitigate.

The trouble starts the moment someone opens the box. The CFO asks what the budget is based on. The auditor questions a missing control. A customer challenges an answer during due diligence. The insurer has to put a price on the risk. Or, after an incident, someone asks what was known, how the risk was assessed, and why you decided what you did.

This talk starts with why heat maps fail as a basis for decisions, then introduces FAIR (Factor Analysis of Information Risk) from the technical side: risk as a scenario (asset, threat, effect), loss frequency and magnitude estimated as ranges instead of single numbers, and the simulation that turns those ranges into an annual loss distribution. Every assumption is visible, dated, and carries its uncertainty.

We then walk through real, anonymized cases: how FAIR-based quantification changed a specific decision, which data and assumptions supported it, and how it held up when challenged.

You will leave with a practical test to tell a risk decision you can explain and defend from one you can only argue about.

Risk can be a black box. Your decision can’t.
El problema aparece cuando alguien quiere abrirla: el CFO que pregunta en qué se sostiene un presupuesto, el auditor que cuestiona la ausencia de un control, el cliente que pone en duda una respuesta durante una due diligence, la aseguradora que tiene que ponerle precio al riesgo, o quien después de un incidente pregunta qué se sabía, cómo se había evaluado ese riesgo y por qué se decidió como se decidió.

La charla empieza por qué los mapas de calor no alcanzan como insumo de decisión y presenta FAIR (Factor Analysis of Information Risk) desde lo técnico: el riesgo como escenario (activo, amenaza, efecto), la estimación de frecuencia y magnitud de pérdida con rangos en lugar de puntos, y la simulación que convierte esos rangos en una distribución de pérdida anual. Los supuestos quedan a la vista, con fecha y con su incertidumbre.

Luego se aplica a casos reales anonimizados: cómo la cuantificación basada en FAIR cambió una decisión concreta, qué datos y supuestos la sostuvieron, y cómo se defendió ante quien la cuestionó.

Quienes asistan se llevarán un criterio práctico para distinguir una decisión de riesgo que puede explicarse y defenderse de una que simplemente puede discutirse.

El riesgo puede ser una caja negra. La decisión no.

Based on anonymized real cases. Vendor-neutral, no product content.
Target audience: CISOs, risk and GRC leads, internal auditors and security leaders who have to defend budgets and decisions to executives, auditors or insurers.
Preferred duration: 40 minutes (30–35 talk, 5–10 Q&A). Session language: Spanish or English.
Technical requirements: standard projector and audio.