AVATAR: un nuevo paradigma para medir la criticidad de activos en ciberseguridad

La fragilidad invisible en la infraestructura digital

En los mapas estáticos de seguridad corporativa, los activos más brillantes suelen recibir toda la atención: bases de datos centrales, portales de clientes, sistemas de facturación. Son los íconos visibles del negocio digital. Sin embargo, las crisis reales rara vez se originan allí. Se propagan desde lugares olvidados: un switch en una sala técnica, un servidor con una tarea marginal, un firmware sin monitoreo que nadie clasificó como importante. Esta es la paradoja de la criticidad mal entendida: lo que no se ve como esencial puede desmoronar todo el sistema.

Durante años, los equipos de ciberseguridad han confiado en modelos como CIA (Confidencialidad, Integridad, Disponibilidad) o el clásico Business Impact Analysis para priorizar riesgos. Son marcos útiles, sí, pero también rígidos, anacrónicos y frecuentemente divorciados de la dinámica real de los entornos operativos. Sus clasificaciones son estáticas, sus categorías vagas, su lenguaje poco apto para la velocidad de los incidentes modernos.

La pregunta ya no es qué tan “crítico” es un activo en teoría. La pregunta es: ¿qué tan fácil es que ese activo se convierta en el punto de entrada de un incidente mayor? ¿Cuántos procesos dependen de él? ¿Podemos reemplazarlo sin perder continuidad? ¿Sirve de puente hacia sistemas más delicados? Estas preguntas no encuentran respuesta en los modelos tradicionales. Por eso nace AVATAR.

Más allá de la etiqueta: el vacío operativo de los modelos actuales

Las etiquetas de criticidad que dominan el mundo corporativo fueron diseñadas para entornos centralizados, con sistemas monolíticos y equipos homogéneos. Se basan en entrevistas, workshops y supuestos. Un servidor es clasificado como “crítico” porque lo dice la política interna, no porque alguien haya medido su atacabilidad, su rol en la transitividad lateral o su nivel de aislamiento. Se asume que lo crítico está bien custodiado y que lo no crítico puede esperar. Pero en la práctica, esas fronteras son difusas, móviles, engañosas.

El modelo CIA ofrece un marco conceptual sólido, pero adolece de aplicabilidad operativa. Las métricas son demasiado genéricas y, frecuentemente, están mal entendidas por quienes deben implementarlas. BIA, por su parte, intenta cuantificar impacto de negocio, pero resulta insuficiente para sistemas distribuidos, microservicios, entornos OT y arquitecturas híbridas donde el valor de un activo no está en su función declarada, sino en su posición dentro de una red compleja de dependencias.

Peor aún, la mayoría de las metodologías ignoran por completo dimensiones como la capacidad de recuperación, la exposición técnica real o el rol de un activo como nodo de tránsito para un ataque. Ese vacío se traduce en errores de priorización, en presupuestos mal asignados, en equipos agotados enfrentando fuegos donde no había ni humo. Y en incidentes que podrían haberse prevenido si se hubiese entendido a tiempo la verdadera criticidad de los activos.

La génesis de un modelo multidimensional

AVATAR nace de una necesidad práctica que ha sido vivida en terreno por el autor de este blog, desde roles estratégicos y operativos en sectores tan diversos como banca, energía, administración pública y defensa ofensiva. A lo largo de múltiples proyectos, emergía siempre el mismo patrón: los activos que causaban incidentes severos no eran los que figuraban como críticos en los informes, sino aquellos que nadie había modelado correctamente.

Diseñado desde esa experiencia acumulada —no desde un paper, sino desde el borde del caos técnico— AVATAR busca romper con la lógica de los activos “importantes por decreto” y establecer una forma más contextual, dinámica y pragmática de entender la infraestructura digital.

Su nombre no es casual. Cada letra representa una dimensión clave para entender la criticidad de un sistema dentro de un ecosistema digital moderno:

A – Activo: Su valor operacional. ¿Es fundamental para un proceso clave? V – Vulnerabilidad: Qué tan expuesto está técnica y estructuralmente. A – Atacabilidad: Qué tan sencillo sería comprometerlo, considerando vectores reales. T – Transitividad: Si actúa como puente hacia otros sistemas más sensibles. A – Aporte crítico: Qué procesos estratégicos se verían interrumpidos si cae. R – Replicabilidad: Qué tan fácilmente puede reemplazarse o recuperarse.

Estas seis dimensiones se valoran de forma cualitativa, con escalas simples, para generar una criticidad ponderada que va de 0.0 a 5.0. No es una etiqueta. Es un mapa. Un diagnóstico activo que permite observar cada activo como parte de una red de decisiones y consecuencias.

Cómo se valora cada dimensión: entendiendo el mapa detrás del número

Aunque AVATAR se estructura sobre seis dimensiones evaluadas del 0 al 5, su aplicación no depende de reglas matemáticas absolutas, sino de criterios situacionales informados, sostenidos en observación técnica, conocimiento contextual y entendimiento operacional. No se trata de llenar formularios. Se trata de leer el sistema como se lee una red: en su forma, su función y su fragilidad.

Cada dimensión demanda una mirada distinta. El valor de Activo no se define por lo que dice el organigrama, sino por lo que ocurre si ese sistema cae. Vulnerabilidad exige observar no solo los CVEs, sino la realidad de exposición. Atacabilidad requiere pensar como atacante. Transitividad exige diagramar conexiones ocultas. Aporte Crítico invita a mapear dependencias clave. Y Replicabilidad exige brutal honestidad operativa: ¿podemos reemplazarlo sin drama o no?

Todo esto se vuelve más claro cuando se mira un caso de campo concreto. En una central eléctrica del sur de Chile, un equipo de ciberseguridad realizó una evaluación post-incidente tras una caída inesperada en la gestión SCADA. El origen no fue un PLC, ni un sistema de control, ni siquiera un servidor visible en los mapas de activos. Fue un simple gateway industrial que hacía de puente entre sensores y red de gestión.

Este gateway, etiquetado como “medio” en la clasificación tradicional, obtuvo un AVATAR score de 4.2: Activo = 4, Vulnerabilidad = 5, Atacabilidad = 5, Transitividad = 4, Aporte Crítico = 4, Replicabilidad = 3.

La evaluación AVATAR reveló una criticidad que no estaba documentada en ningún informe anterior. La infraestructura había crecido sin planificación, y el gateway había pasado de ser un nodo auxiliar a un punto estructural. La caída no solo afectó la visualización en tiempo real, sino que activó protocolos de emergencia que interrumpieron operaciones durante 17 horas. Ese pequeño dispositivo se convirtió, en la práctica, en un cuello de botella operativo de alto impacto.

Ese es el valor de AVATAR: iluminar lo que los mapas planos no ven. Revelar cómo los sistemas se entrelazan más allá de sus funciones declaradas. Y permitir que los equipos tomen decisiones no solo por urgencia, sino por entendimiento profundo.

El poder oculto de la transitividad

Una de las dimensiones más disruptivas del modelo AVATAR es la transitividad. Hasta ahora, ningún marco formal la había considerado como criterio explícito. Pero en la práctica, es uno de los factores más importantes en campañas de ransomware, espionaje o ataques APT. Un sistema aparentemente banal —como una estación de monitoreo ambiental en una red OT— puede permitir pivotar hacia un PLC que controla procesos críticos. O una interfaz de escaneo de documentos puede permitir acceso a Active Directory si comparte credenciales y segmentación pobre.

La transitividad permite modelar el “efecto dominó” de los activos interconectados. Hace visible el riesgo lateral. Y sobre todo, permite priorizar aislamientos arquitectónicos, no solo parches de seguridad. En ese sentido, AVATAR no es solo una herramienta de evaluación, sino de diseño defensivo.

Replicabilidad: criticidad inversa que los modelos ignoran

Otro de los grandes aportes del modelo es incorporar la replicabilidad como eje de valoración. Muchos activos con alta exposición o función relevante pueden ser rápidamente reemplazados. Una VM con backup diario, un microservicio en Kubernetes o un nodo efímero en la nube pueden ser sacrificables, si el tiempo de recuperación es menor al impacto que genera su caída.

Por el contrario, hay activos con baja exposición, pero cuya pérdida es catastrófica por su naturaleza única: firmware de dispositivos industriales sin reemplazo, sistemas legados sin documentación, llaves criptográficas almacenadas en hardware propietario. AVATAR capta esa asimetría. Evalúa la resiliencia práctica, no solo la importancia declarada.

Esto permite tomar decisiones tácticas más inteligentes. Si dos activos tienen el mismo nivel de exposición, pero uno puede ser restaurado en 15 minutos y el otro requiere 10 días y licencias exclusivas, la priorización debe cambiar. Y esa decisión solo puede tomarse si existe una dimensión explícita que capture esa diferencia.

Casos de uso: desde banca hasta infraestructuras críticas

El modelo AVATAR se ha probado en entornos de alta complejidad operativa. En banca, permite distinguir entre sistemas de backoffice tolerantes a falla y activos de interconexión con la red de pagos que no pueden caer ni un segundo. En sector público, ayuda a identificar plataformas clave para atención ciudadana, y distinguirlas de sistemas administrativos que pueden postergarse.

En entornos OT, su impacto es aún mayor. Activos como concentradores de datos, sistemas SCADA o interfaces HMI pueden parecer similares desde el punto de vista técnico, pero su transitividad, replicabilidad y atacabilidad son radicalmente diferentes. AVATAR permite esa lectura fina. Y lo hace sin necesidad de herramientas costosas o consultorías externas. Se puede aplicar desde hojas de cálculo, sistemas GRC o incluso como parte de un plan de madurez en ciberseguridad.

La adaptabilidad es una de sus principales fortalezas. No requiere software. Solo criterio, conocimiento del entorno y voluntad de observar los activos no por lo que representan, sino por lo que pueden llegar a provocar.

Un lenguaje común entre el SOC y la sala de directorio

Uno de los principales desafíos en seguridad organizacional es el desacople entre lo técnico y lo estratégico. Los equipos SOC viven en el detalle: puertos, parches, logs, CVEs. Los directorios operan en otro plano: continuidad, reputación, regulación, presupuesto. El modelo AVATAR crea un lenguaje puente, capaz de traducir atributos técnicos en decisiones estratégicas comprensibles para todos.

Su escala de 0.0 a 5.0 puede integrarse en dashboards ejecutivos, mapas de calor o indicadores de riesgo. Permite justificar inversiones no por miedo, sino por evidencia. Y sobre todo, prioriza intervenciones no en función del miedo generalizado, sino del análisis concreto.

Cuando un activo marca 4.7 en criticidad AVATAR, hay argumentos sólidos para intervenir. Cuando marca 2.1, se puede esperar. Esa diferenciación es lo que permite eficiencia operativa. Es lo que evita apagar incendios donde solo hay calor residual. Y es lo que permite enfocar los escasos recursos humanos y presupuestarios en donde más se necesita.

Hacia una criticidad con sentido

AVATAR no busca reemplazar todos los modelos existentes. Busca complementarlos desde la experiencia real, desde la urgencia táctica y desde la necesidad de herramientas prácticas que resistan el desgaste del tiempo. Su objetivo es poner en manos de los equipos una forma distinta de observar el riesgo: no como una lista de activos, sino como un mapa de relaciones, fragilidades y puntos de quiebre.

En tiempos donde la complejidad digital aumenta más rápido que los presupuestos, necesitamos herramientas simples pero profundas. AVATAR cumple esa doble condición. Y lo hace desde Latinoamérica, con visión global, y con los pies en la tierra operativa.