Calculadora de matriz de riesgos
Valora un riesgo en una matriz de riesgos publicada (5×5 del NHS, NIST SP 800-30, MIL-STD-882E o la 3×3 del INSST) y obtén su nivel y la acción a seguir.
Ejemplos
El ejemplo del NHS es el caso resuelto de la propia NPSA; los demás son evaluaciones típicas.
La matriz de la Agencia Nacional para la Seguridad del Paciente del Reino Unido (2008), que NHS England sigue citando como guía de referencia. Valora la consecuencia y después su probabilidad; la puntuación es consecuencia × probabilidad, de 1 a 25.
Valora el riesgo
Valora primero la consecuencia de un resultado concreto y después la probabilidad de ese resultado con los controles que ya existen.
Matriz de riesgos de la NPSA (NHS) · Tabla 5
| Consecuencia | Probabilidad | ||||
|---|---|---|---|---|---|
| 1 | 2 | 3 | 4 | 5 | |
| 5 Catastrófica | 5 Riesgo moderado | 10 Riesgo alto | 15 Riesgo extremo | 20 Riesgo extremo | 25 Riesgo extremo |
| 4 Mayor | 4 Riesgo moderado | 8 Riesgo alto | 12 Riesgo alto | 16 Riesgo extremo | 20 Riesgo extremo |
| 3 Moderada | 3 Riesgo bajo | 6 Riesgo moderado | 9 Riesgo alto | 12 Riesgo alto | 15 Riesgo extremo |
| 2 Menor | 2 Riesgo bajo | 4 Riesgo moderado | 6 Riesgo moderado | 8 Riesgo alto | 10 Riesgo alto |
| 1 Insignificante | 1 Riesgo bajo | 2 Riesgo bajo | 3 Riesgo bajo | 4 Riesgo moderado | 5 Riesgo moderado |
- 1–3 Riesgo bajo
- 4–6 Riesgo moderado
- 8–12 Riesgo alto
- 15–25 Riesgo extremo
Probabilidad: 1 Rara · 2 Improbable · 3 Posible · 4 Probable · 5 Casi segura
Niveles de riesgo
Tabla 5 de la NPSA. No existen las puntuaciones 7, 11, 13 ni 14: ningún producto de dos valoraciones de 1 a 5 da esos valores.
| Nivel | Puntuaciones |
|---|---|
| Riesgo bajo | 1–3 |
| Riesgo moderado | 4–6 |
| Riesgo alto | 8–12 |
| Riesgo extremo | 15–25 |
Consecuencia: qué significa cada nivel
Tres de los nueve ámbitos de la tabla 1a de la NPSA: daño a las personas, interrupción del servicio y sobrecoste de proyectos. En los niveles 4 y 5, la fila de proyectos también cuenta los objetivos clave no cumplidos.
| Nivel | Daño a las personas | Interrupción del servicio | Sobre presupuesto (proyectos) |
|---|---|---|---|
| 5 Catastrófica | Muerte o daño permanente | Pérdida permanente del servicio | Más del 25 % |
| 4 Mayor | Baja de más de 14 días | Interrupción de más de 1 semana | 10–25 % |
| 3 Moderada | Baja de 4 a 14 días | Interrupción de más de 1 día | 5–10 % |
| 2 Menor | Baja de menos de 3 días | Interrupción de más de 8 horas | Menos del 5 % |
| 1 Insignificante | Sin baja laboral | Interrupción de más de 1 hora | Insignificante |
Probabilidad: qué significa cada nivel
Tabla 3 de la NPSA (frecuencia) y tabla 4 (probabilidad, para proyectos y objetivos con plazo).
| Nivel | Frecuencia | En proyectos |
|---|---|---|
| 5 Casi segura | Al menos una vez al día | Más del 50 % |
| 4 Probable | Al menos una vez a la semana | 10–50 % |
| 3 Posible | Al menos una vez al mes | 1–10 % |
| 2 Improbable | Al menos una vez al año | 0,1–1 % |
| 1 Rara | No se espera en años | Menos del 0,1 % |
Cada matriz se reproduce de su documento publicado a título de referencia. Una valoración es un juicio: aplica los criterios de riesgo de tu organización, y a un evaluador competente, antes de decidir sobre seguridad, cumplimiento o aceptación del riesgo.
Calculadoras Relacionadas
También podrías encontrar útiles estas calculadoras
Calculadora de puntuación CVSS
Puntúa vulnerabilidades en CVSS 4.0 y 3.1, o pega un vector para descifrarlo
Calculadora de Costo de Incidentes
Calcula el costo total de incidentes y interrupciones de TI
Calculadora de Costo de Violación de Datos
Estima el impacto financiero de una violación de datos
Calculadora de Riesgo de Proveedores
Evalúa el riesgo de seguridad y cumplimiento de proveedores externos
Una calculadora de matriz de riesgos basada en matrices publicadas
Elige la matriz que usa tu organización, valora un riesgo por su consecuencia y su probabilidad y lee el nivel que asigna el propio documento, con la puntuación o el código RAC cuando los tiene y lo que indica hacer después. Las cuatro matrices están transcritas celda a celda de sus fuentes: la 5×5 de la Agencia Nacional para la Seguridad del Paciente del NHS (2008), NIST SP 800-30 Rev. 1, MIL-STD-882E (2023) y la 3×3 del INSST. Valora de nuevo el mismo riesgo con los controles previstos para ver dónde queda.
¿Qué es una matriz de riesgos?
Una matriz de riesgos, o matriz de evaluación de riesgos, cruza dos valoraciones del mismo riesgo (su probabilidad y la gravedad de su consecuencia) y asigna a cada combinación un nivel de riesgo. Algunas matrices puntúan: la de la NPSA del NHS multiplica una puntuación de consecuencia por una de probabilidad, ambas de 1 a 5, y clasifica el producto de bajo a extremo. Otras son tablas de consulta: NIST SP 800-30, MIL-STD-882E y el INSST asignan el nivel directamente a cada celda, lo que permite que el impacto pese más que la probabilidad. En ambos casos la matriz ordena los riesgos entre sí; no los mide.
Puntuación de riesgo de la NPSA
Puntuación R = Consecuencia C × Probabilidad L (cada una de 1 a 5)Cómo usar una matriz de riesgos
Elige la matriz que usa tu organización o tu sector. Si no hay ninguna obligatoria, la 5×5 con puntuación del NHS es la más copiada.
Describe un resultado concreto y valora su consecuencia (en algunas matrices, severidad o impacto) con los descriptores de los botones.
Valora la probabilidad de ese mismo resultado teniendo en cuenta los controles que ya existen.
Lee el nivel de riesgo, la puntuación o el código RAC y lo que indica el documento para actuar.
Si quieres, valora de nuevo el riesgo con los controles previstos para ver el nivel objetivo y cuánto se mueve.
Usos habituales
Puntuación del registro de riesgos
Un jefe de proyecto puntúa cada entrada del registro en la 5×5 de la NPSA y ordena por puntuación para decidir qué riesgos reciben primero un plan de mitigación.
Evaluación de riesgos laborales
Un técnico de prevención valora una tarea con el método del INSST y usa su tabla de acciones para decidir si el trabajo puede comenzar.
Evaluación de riesgos de seguridad de la información
Un analista que sigue NIST SP 800-30 combina la probabilidad de un evento de amenaza con su impacto para informar del nivel de riesgo.
Seguimiento de peligros en seguridad de sistemas
Un ingeniero registra el código RAC de un peligro según MIL-STD-882E y, después, el código objetivo una vez aplicadas las mitigaciones.
¿Por qué usar una matriz de riesgos publicada?
La matriz que ya usa tu sector
Los hospitales del NHS trabajan con la matriz de la NPSA, los sistemas de información federales de EE. UU. con NIST SP 800-30, los programas de defensa con MIL-STD-882E y las empresas españolas con el método del INSST. Valorar en la misma tabla que tus auditores evita traducir de una escala a otra.
Niveles tal como se publicaron, no una puntuación casera
Cada celda reproduce su documento, de modo que un «muy alto» de NIST o un «grave» de MIL-STD-882E es el nivel que asigna la propia norma, nunca el resultado de un multiplicador añadido por alguien.
Hoy y tras los controles
Valora el riesgo tal como está con los controles actuales y de nuevo con los que planeas. La matriz marca las dos celdas e indica cuántos niveles se mueve el riesgo.
Definiciones junto a cada opción
Cada nivel lleva su descriptor en el botón: frecuencias, probabilidades, daños y umbrales en dólares. Así dos personas que valoran el mismo riesgo usan la misma escala.
Preguntas frecuentes
Una cuadrícula de cinco niveles de probabilidad por cinco de consecuencia, 25 celdas en total. En la versión de la NPSA del NHS cada valoración va de 1 a 5 y la puntuación de riesgo es su producto, de 1 a 25, clasificado como bajo (1–3), moderado (4–6), alto (8–12) o extremo (15–25). NIST SP 800-30 también es de cinco por cinco, pero lee el nivel en su tabla en lugar de multiplicar.
En una matriz con puntuación se multiplica la puntuación de consecuencia por la de probabilidad. El ejemplo de la propia NPSA: una caída grave valorada con consecuencia 4 y probabilidad 2 puntúa 4 × 2 = 8, riesgo alto. Las matrices de consulta, como NIST SP 800-30 y MIL-STD-882E, no tienen puntuación: la celda da el nivel directamente.
Dependen de la matriz. La de la NPSA tiene cuatro (bajo, moderado, alto, extremo); NIST SP 800-30, cinco (de muy bajo a muy alto); MIL-STD-882E, cuatro (bajo, medio, grave, alto) más eliminado, y el INSST, cinco (trivial, tolerable, moderado, importante, intolerable).
Tres niveles de probabilidad por tres de consecuencia. La más conocida es la del INSST, muy usada en España y en Latinoamérica: probabilidad baja, media o alta frente a consecuencias ligeramente dañinas, dañinas o extremadamente dañinas, con cinco niveles de trivial a intolerable, cada uno con una acción y un plazo.
La tabla I-2 de NIST SP 800-30 Rev. 1 es una consulta de 5×5 entre probabilidad e impacto. Es asimétrica: las filas de probabilidad alta y muy alta son idénticas, y una probabilidad muy alta con un impacto muy bajo sigue siendo riesgo muy bajo. NIST presenta sus escalas como un punto de partida que cada organización puede adaptar.
La tabla III de la norma de seguridad de sistemas del Departamento de Defensa de EE. UU.: cuatro categorías de severidad (de 1 catastrófica a 4 insignificante) frente a cinco niveles de probabilidad (de A frecuente a E improbable). Cada combinación es un código RAC, como 1A, con un riesgo alto, grave, medio o bajo. Un peligro catastrófico nunca es de riesgo bajo, aunque sea improbable.
El riesgo inherente es el nivel antes de cualquier control; el residual, el que queda con ellos. La mayoría de las matrices publicadas, incluida la de la NPSA, se valoran con los controles que ya existen, así que la primera valoración de esta página es el riesgo actual y la segunda, el riesgo objetivo con los controles que planeas.
No. Las escalas son diferentes (la probabilidad moderada de NIST equivale a entre 1 y 10 eventos al año; la posible de la NPSA, a al menos una vez al mes) y ninguno de los cuatro documentos define una conversión. Por eso, al cambiar de matriz en esta página se borra la valoración.
No. La ISO 31000 describe el proceso de gestión del riesgo y pide a cada organización que defina sus propios criterios de riesgo; no publica ninguna matriz. Su norma complementaria de técnicas, la IEC 31010 (2019), describe la matriz de consecuencia y probabilidad como una técnica y muestra un ejemplo, sin convertir ninguna tabla en requisito. Las cuatro matrices de esta página son tablas publicadas que se aplican tal cual.
Una matriz clasifica con categorías ordinales gruesas. Cox (2008) demostró que una matriz típica solo compara correctamente menos de uno de cada diez pares de peligros elegidos al azar, que puede dar la misma valoración a riesgos muy distintos e incluso clasificar más alto un riesgo menor. En la cuadrícula de la NPSA, 25 celdas comparten solo 14 puntuaciones distintas. Úsala para ordenar y comunicar riesgos, y cuantifica los que importan.
La que exija tu organización, tu regulador o tu cliente: la de la NPSA en el NHS, NIST SP 800-30 en los sistemas de información federales de EE. UU., MIL-STD-882E en programas de defensa y el método del INSST para riesgos laborales en España. Si no hay ninguna, elige una y mantén fijas sus definiciones para que las valoraciones sigan siendo comparables con el tiempo.