Metodologia de scoring de riesgo digital VIP - modelo tipo CVSS

Metodologia de scoring de riesgo digital VIP - modelo tipo CVSS

Nota importada desde Inbox durante consolidacion bulk.

Resumen

Metodología completa de scoring de riesgo digital para VIPs inspirada en el modelo CVSS. Define 5 vectores de riesgo (EPS: Info Personal Sensible, PNOI: Plataformas No Oficiales, CCD: Contenido Controversial, RAD: Riesgo de Ataque Dirigido, HDP: Higiene Digital), con sub-métricas ponderadas que producen scores 1-5 por vector y un score global de 5-25. Incluye fórmula con CEILING para principio de precaución, implementación en 3 hojas de Excel, ejemplo práctico con Bobby Kotick (16/25 = Alto) y próximos pasos para añadir componentes temporales y contextuales al estilo CVSS.

Objetivo

Proporcionar un framework cuantitativo y reproducible para evaluar el nivel de exposición y riesgo digital de personas de alto perfil (VIPs), generando un score comparable entre sujetos y accionable para equipos de seguridad.

Prerrequisitos

  • Herramientas OSINT para recolección de datos (Maltego, Lampyre, búsqueda manual)
  • Excel o herramienta de cálculo equivalente
  • Datos de las sub-métricas recopilados previamente (scores 1-5 por cada sub-métrica)

Pasos

Paso A: Catalogar

Rellenar en el Excel la columna Score (1-5) para cada sub-métrica al analizar un VIP.

Herramientas: Maltego/Lampyre + trabajo manual

Resultado: Fila completa de ratings individuales.

Paso B: Mapear

Cada sub-métrica alimenta 1 de los 5 vectores según la tabla de asignación.

Herramientas: Fórmulas de Excel o script Python

Resultado: Tabla de apoyo "Sub-métrica a Vector".

Paso C: Calcular vector

Para cada vector, aplicar la fórmula ponderada:

Score_vector = CEILING( 5 x (SUM(w_i x s_i)) / (SUM(w_i) x 5) , 1)

En Excel: =CEILING(5*SUMPRODUCT(w,s)/(5*SUM(w));1)

Resultado: Score 1-5 por vector.

Por qué CEILING: Mantiene la escala 1-5, respeta la ponderación (igual que CVSS pondera cada métrica), y un VIP con 3.2 sube a 4 (principio de precaución).

Paso D: Score global

Sumar los 5 vectores para obtener score 5-25 (o dividir entre 2.5 para escala 0-10).

Resultado: Clasificación "Bajo, Moderado, Alto, Crítico".

Asignación de Sub-métricas a Vectores

Vector Sub-métricas (Excel) Rationale
1 EPS - Info Personal Sensible DCOR, ETM, HRS, PDOR, IEB Correos, teléfonos, redes, docs y brechas son piezas clásicas para doxxing o secuestro
2 PNOI - Plataformas No Oficiales "Presencia en Plataformas No Oficiales o Inseguras" El propio constructo de la categoría ya cubre el vector
3 CCD - Contenido Controversial "Contenido Controversial..." Riesgo reputacional puro
4 RAD - Riesgo de Ataque Dirigido IEB, PPiv, CiD, RID Brechas + artefactos para pivotar + identidades convergentes + infraestructura = superficie de explotación real
5 HDP - Higiene Digital PNOI (40%), IEB (30%), DCOR (15%), ETM (15%) Combina malas prácticas (cuentas inseguras) con evidencia de brechas y descuido en correo/teléfono

Los pesos se distribuyen para que cada vector sume 1. Ajustar si el contexto exige priorizar algún componente.

Implementación en Excel (3 Hojas)

Hoja "Ratings":

  • A2:A20 → nombres de las sub-métricas
  • B2:B20 → Score de cada sub-métrica (1-5)

Hoja "Pesos":

  • A2:A20 → mismo nombre de sub-métrica
  • C2:C20 → Peso dentro del vector (0-1)
  • D2:D20 → Nombre del vector (EPS, PNOI, ...)

Hoja "Resumen":

Vector  Score
EPS     =CEILING(5*SUMPRODUCT(Ratings!$B:$B, (Pesos!$D:$D="EPS")*(Pesos!$C:$C))/(5*SUMIF(Pesos!$D:$D,"EPS",Pesos!$C:$C)),1)
PNOI    =CEILING(5*... idem ...,1)
...

Con esas tres hojas se obtiene automáticamente:

  • Score 1-5 por vector
  • Score global 5-25 (=SUM(B2:B6))
  • Indicador rojo/ámbar/verde con formato condicional

Ejemplo: Bobby Kotick

Vector Sub-scores Resultado
EPS DCOR 4, ETM 3, HRS 4, PDOR 3, IEB 4 4
PNOI 3 3
CCD 2 2
RAD IEB 4, PPiv 3, CiD 2, RID 3 4
HDP PNOI 3, IEB 4, DCOR 4, ETM 3 3
Total 16/25 Alto

Coincide con el ejemplo manual (prueba superada).

Verificación

  • Todas las sub-métricas tienen score 1-5 asignado
  • Los pesos de cada vector suman 1
  • La fórmula CEILING produce valores enteros 1-5
  • El score global está en rango 5-25
  • El resultado es reproducible por otro analista con los mismos datos

Próximos Pasos

  1. Revisar pesos si la audiencia (Compliance, Seguridad Física, RR.PP.) valora más un vector que otro
  2. Añadir "Temporal" y "Contextual" al estilo CVSS (p.ej. atenuar RAD si no hay amenazas activas en los últimos 90 días)
  3. Automatizar input: extraer valores 1-5 desde Maltego/Lampyre vía export CSV y volcarlos en la hoja Ratings

Referencias

  • Modelo inspirado en CVSS (Common Vulnerability Scoring System)
  • Herramientas: Maltego, Lampyre
  • Implementación disponible para Excel, Python o dashboard Power BI/Tableau