Microsoft Secure Score vs CISA CPG — qué mide cada uno y cuándo usar cuál

Microsoft Secure Score y las Cross-Sector Cybersecurity Performance Goals (CPG) de CISA suelen aparecer en el mismo párrafo de un reporte de auditoría, pero responden preguntas distintas. Uno es relativo, uno absoluto. Uno cambia con cada anuncio de Microsoft, el otro está anclado al riesgo nacional. Cuándo citar cuál, y qué pasa cuando un reporte los mezcla.