Modelo de indicadores para evaluar la eficiencia, calidad y capacidad de respuesta ante incidentes de una mesa de ayuda de ciberseguridad tercerizada

Abstract

Cada vez más organizaciones contratan a un proveedor externo para que opere su mesa de ayuda de ciberseguridad: el punto donde los usuarios reportan correos sospechosos, cuentas bloqueadas y comportamientos anómalos. Sin embargo, siguen evaluando ese servicio con los indicadores del soporte técnico convencional (cantidad de tickets, tiempo de atención y cumplimiento de los acuerdos de nivel de servicio), que miden velocidad y volumen, no reducción del riesgo. Una mesa puede cerrar todos sus casos a tiempo y aun así clasificar mal un incidente, de modo que el tablero registra cumplimiento mientras la exposición al riesgo permanece. La participación de terceros en las brechas confirmadas pasó de cerca del 15 % en 2024 al 48 % en 2026, y cuando el ataque entra por la cadena de suministro la organización tarda 258 días en identificarlo y contenerlo, el ciclo más extenso entre los vectores estudiados. Este informe técnico revisa la normativa y la literatura académica disponibles y construye a partir de ellas un modelo de indicadores agrupados en ocho conjuntos temáticos y organizados en cuatro perspectivas: operación, seguridad, servicio y gobierno del proveedor. Cada indicador se documenta con su fórmula, su valor de referencia cuando existe y, deliberadamente, cómo puede ser manipulado. Diez de ellos se ponen a prueba en un caso simulado de seis meses en una entidad financiera vigilada. El hallazgo central es que la seguridad lograda no se puede observar: un día sin ataques es indistinguible de un día en que la prevención funcionó. Por eso todo contrato mide sustitutos, y esos sustitutos se degradan cuando se les asocia una consecuencia económica. Un acuerdo basado solo en penalidades llega a incentivar al proveedor a no detectar incidentes, y el caso de aplicación muestra ese efecto con detalle. La respuesta del modelo tiene tres elementos inseparables: indicadores de segundo orden que revelan la manipulación de los primeros, verificación independiente del reporte y un contrato que premie la detección. Se concluye que en Colombia las entidades vigiladas por la Superintendencia Financiera tienen la obligación regulatoria de contar con indicadores de ciberseguridad, pero no la especificación de cuáles. Este trabajo aporta ese contenido.