Metodología
CIBERECO aplica un proceso estructurado de recogida de información, codificación y predicción para estimar el nivel de riesgo de ciberseguridad de una organización. A continuación se describe cada etapa.
1. Cuestionario estructurado
El diagnóstico se basa en un cuestionario de 30 preguntas agrupadas en dimensiones clave: perfil de la empresa, servicios digitales, gestión de contraseñas, copias de seguridad, seguridad perimetral, formación interna, incidentes previos y medidas correctoras.
Cada pregunta tiene un identificador estable (p. ej., P15_SEGURO)
que garantiza la coherencia entre versiones del cuestionario y el modelo de ML.
El flujo de navegación es adaptativo: ciertas respuestas omiten preguntas
no aplicables, reduciendo el esfuerzo del usuario sin perder información relevante.
2. Codificación de respuestas
Las respuestas en bruto (identificadores de opción, selecciones múltiples, escalas Likert) se transforman en un DataFrame codificado mediante el módulo AnswerEncoder. Cada tipo de pregunta sigue su propia estrategia de codificación:
- Selección única / radio: variable categórica mapeada a valor numérico ordinal.
- Selección múltiple: variables binarias por opción (one-hot).
- Escala Likert: puntuación media de los ítems respondidos.
- Numérico libre: valor entero normalizado al rango del modelo.
3. Construcción de variables predictoras
A partir del DataFrame codificado, el módulo FeatureBuilder deriva las 10 variables predictoras que consume el modelo de ML. Entre ellas se incluyen puntuaciones compuestas de conocimiento en ciberseguridad, índices de adopción de controles técnicos y variables de perfil empresarial.
Las variables con valor ausente (preguntas no respondidas por salto adaptativo) se tratan mediante imputación, emitiendo avisos informativos pero sin bloquear el diagnóstico.
4. Predicción del nivel de riesgo
El núcleo predictivo es un modelo de clasificación binaria entrenado con datos anonimizados de empresas participantes en el estudio CIBERECO. El modelo asigna una probabilidad de riesgo (0–100 %) y una etiqueta cualitativa (riesgo bajo / riesgo elevado).
La probabilidad bruta del clasificador se reescala a un rango operativo mínimo-máximo para mejorar la interpretabilidad del resultado por parte de usuarios no técnicos.
La organización cuenta con controles básicos implantados y muestra buenas prácticas en las dimensiones evaluadas.
Se detectan carencias significativas en uno o más ámbitos. Se recomienda revisar las recomendaciones proporcionadas y contactar con INCIBE para asesoramiento especializado.
5. Privacidad y tratamiento de datos
Ninguna respuesta se almacena en servidores externos. El procesamiento se realiza en memoria durante la sesión y los datos se eliminan al cerrarla. La herramienta no recoge información de identificación personal. Para más detalles, consulte la política de privacidad.
