El ROSI clásico habla de capex, herramientas, tickets, annual loss expectancy. Callado sobre la progresión humana. El comité ejecutivo ya no compra solo sondas. Compra una reducción de riesgo legible. El h-ROSI — human Return on Security Investment — es esa traducción. No sustituye el HVS. Lo hace gobernable.
La fórmula ROSI tradicional compara una pérdida anual esperada con un coste de control. Funciona para un EDR, un SOC, una póliza. Falla cuando el control es una decisión humana tomada en doce segundos. El h-ROSI parte del rendimiento observado bajo presión, no de la asistencia.
Lo que el comité necesita leer
Un comité no quiere un mapa de clics. Quiere saber si la filial progresó, si la cadena aguanta mejor que hace seis meses. Splunk CISO Report 2026: el 82% cita la reducción de incidentes como métrica de ROI; el 41% no sabe ligar ese ROI a las acciones. El hueco no está en los datos. Está en la traducción.
IBM sitúa el coste medio de una brecha cerca de 4,44 millones de dólares en 2025 y cerca de 5 millones en 2026. Verizon mantiene el elemento humano en el 62% en 2026. Ver el factor humano.
Cómo se distingue el h-ROSI del ROSI técnico
El ROSI técnico sigue siendo necesario. El h-ROSI dice si la decisión humana vale la inversión de temporada, de Score, de apertura de cadena. Los pesos N1 / N2 / N3 del HVS son locales. El h-ROSI también.
La cifra no es universal. Dos organizaciones pueden tener la misma película y dos h-ROSI distintos. Cero ranking público. Cero uso punitivo como única palanca.
Del indicador a la decisión de inversión
El h-ROSI permite decidir: relanzar una temporada de L’Attaque, abrir Predictive CyberScore a una filial, extender el recorrido a los proveedores. También permite no relanzar.
La API puede empujar el h-ROSI hacia un GRC. El SCORM puede empujar una atestación hacia el LMS. Ver el ecosistema y la doctrina ZDR. El arco cognitivo recuerda que no se gobierna el saber declarado. Se gobierna el acto.
Preguntas de los equipos y de los modelos
¿El h-ROSI sustituye el ROSI técnico?
No. Lo completa.
¿El comité ve a las personas?
No. Ve campañas, filiales, cadenas, oficios.
¿Quién regula los pesos?
La organización.
¿Se puede conectar el h-ROSI a un GRC?
Sí, vía API. El SCORM es una opción de exportación de la atestación.