Uno no esperaría que un músico de jazz profesional se convirtiera en un experto en políticas de ciberseguridad, pero esa es la historia de Ash Hunt (a continuación), autor de un artículo pionero sobre el análisis de riesgos cibernéticos.
Gracias a él, podemos evaluar los riesgos de ciberseguridad basándonos en cifras, y no en corazonadas.
La evaluación del riesgo cibernético, por supuesto, no es algo nuevo, pero la valoración del riesgo de forma cuantificable y coherente sigue necesitando un impulso. Muchas empresas han tardado en cumplir con la normativa, y diversos organismos reguladores están asumiendo ahora esta causa. Las nuevas normas aprobadas por la Comisión de Valores y Bolsa (SEC), en vigor desde diciembre, exigen a las empresas que cotizan en bolsa que den a conocer sus procesos para evaluar, identificar y gestionar los riesgos significativos. Esto se ajusta a lo establecido por otras autoridades reguladoras que exigen la realización de evaluaciones de riesgos en determinados sectores.
Es posible que eso le resulte música para los oídos a Hunt.
Este erudito británico comenzó a tocar la trompeta a los 5 años, llegó a alcanzar un nivel lo suficientemente bueno como para actuar en locales como el ilustre 100 Club de Londres y, posteriormente, cursó una carrera en filología clásica. Su interés se centró en la política de ciberseguridad, y se formó por su cuenta, en parte asistiendo a charlas en el instituto de políticas Chatham House, con sede en Londres, donde entabló contactos que, con el tiempo, le llevaron a representar a la ONU en una conferencia sobre ciberseguridad. A partir de ahí, ocupó cargos de carácter confidencial en el Ministerio de Defensa del Reino Unido, antes de incorporarse al Foro de Seguridad de la Información (ISF) como responsable de riesgos cuantitativos de la información. Esto le preparó para asumir el cargo de director de seguridad de la información (CISO) global en , en Apex Group, un proveedor de servicios financieros , en 2022.
«. Es un método excelente para evaluar bajo presión qué controles debe abordar antes de iniciar las medidas correctivas.»
Fue durante su etapa en la ISF, entre los años 2016 y 2018, cuando Hunt desarrolló un marco para aplicar datos cuantitativos al análisis de riesgos de ciberseguridad. Lo considera una ruptura con las prácticas tradicionales de gestión de riesgos, que no eran mucho mejores que adivinar a ciegas.
La necesidad de un análisis de riesgos más exhaustivo
Aunque el análisis cuantitativo de riesgos lleva décadas utilizándose en otros ámbitos, su implantación en el mundo de la tecnología ha sido mucho más lenta, afirma Hunt.
«El motor de Monte Carlo es una calculadora matemática gigante que nos permite simular escenarios miles de veces dentro de un modelo matemático.»
«Las personas que trabajaban en esos ámbitos no contaban con experiencia en gestión de riesgos ni en , sino que se trataba de analistas e ingenieros técnicos con amplia experiencia», afirma. Lamenta una forma de análisis de riesgos cibernéticos surgida en las grandes consultoras que él denomina «puntuación tipo semáforo», en la que se asignan de forma subjetiva puntuaciones de rojo, verde y ámbar a los distintos riesgos. Es un método habitual para evaluar el riesgo de ciberseguridad entre las empresas que lo llevan a cabo, explica Hunt. «Eso fue lo que sustentó todo el gasto en tecnología y en las organizaciones, y sigue siendo así hoy en día», afirma, calificándolo de práctica perniciosa.
En su lugar, puso a prueba un método cuantitativo de análisis de riesgos de ciberseguridad basado en el modelo de Monte Carlo « », que utiliza muestreos repetidos para predecir la probabilidad de que se produzcan distintos resultados en escenarios en los que intervienen factores aleatorios —al igual que ocurre en las mesas de juego de los casinos de Monte Carlo, de donde toma su nombre—. Desarrollada originalmente en el 1940s con fines de investigación militar, hoy en día es una técnica habitual en ámbitos que van desde la gestión de carteras financieras hasta la predicción meteorológica.
Aplicación de modelos de Monte Carlo al riesgo cibernético
«El motor de Monte Carlo es una calculadora matemática gigantesca que nos permite simular escenarios miles de veces dentro de un modelo matemático», afirma Hunt.
El modelo de la ISF utiliza este método de modelización estadística para realizar un seguimiento de los riesgos de ciberseguridad.
«Se trata de comprender qué situaciones podrían impedirnos alcanzar nuestros objetivos, determinar con qué frecuencia se producen, cuáles son sus causas y de qué medidas de control disponemos para mitigar sus efectos», explica Hunt.
El marco se estructura, a grandes rasgos, en torno a una ecuación sencilla: la frecuencia de un incidente de seguridad multiplicada por la pérdida que este genera equivale al riesgo. Sin embargo, en la práctica hay más variables que esas. Las pérdidas incluyen otros factores, entre los que se cuentan la pérdida de productividad, el tiempo y los costes necesarios para reparar o sustituir los sistemas afectados, así como las sanciones legales o reglamentarias.
Controles cuantitativos de riesgos en la práctica
Aunque el señor Hunt no puede revelar la cuantía exacta del ahorro que ha conseguido en Apex Group gracias a esta metodología, afirma que ofrece una ventaja considerable a la hora de invertir en tecnología de ciberseguridad. Cuando comenzó a trabajar en Apex, utilizó el marco de trabajo para calcular la exposición a pérdidas mediante el análisis de los tipos de eventos de riesgo en cada ámbito, junto con la frecuencia de los mismos y la exposición mínima a pérdidas para dichos riesgos.
«. Nunca dará un paso atrás [con este modelo].» Se trata de un retorno de la inversión continuo y cada vez mayor para el usuario final, lo que constituye una propuesta sumamente atractiva.»
Hunt introdujo los datos en el modelo de Monte Carlo, que abarcaba desde el entorno empresarial y técnico hasta los activos y las fuentes de amenazas , así como las evaluaciones de los controles existentes. Esto permitió a Hunt y a su equipo estimar un rango de pérdidas para los riesgos en esa zona, junto con la probabilidad de que se produjera dicha pérdida.
«Al analizar los datos de forma global en distintos escenarios, quedó claro que un ámbito concreto era el que más nos preocupaba, debido a su contribución al riesgo de pérdidas», afirma. No ha querido revelar de qué área de las operaciones empresariales o de la tecnología se trataba.
Los resultados de estos cálculos proporcionaron a Apex Group una base para planificar un conjunto de controles de ciberseguridad que permitieran reducir las posibles pérdidas. Al volver a ejecutar el modelo de Monte Carlo como si se hubieran aplicado dichas medidas de control, se puso de manifiesto la diferencia entre la situación actual en materia de ciberseguridad y una situación más avanzada. Al comparar esa diferencia con cada inversión propuesta en ciberseguridad, el equipo obtuvo una posible rentabilidad de la inversión para ese control de seguridad.
«Es un método excelente para someter a pruebas de estrés los controles que se deben abordar antes de poner en marcha las medidas correctoras», afirma Hunt.
No se deja atrás ninguna métrica
Todo esto suena muy bien, pero ¿qué ocurre cuando los CISO no disponen de los datos necesarios?
La falta de datos no debería suponer un obstáculo en el análisis cuantitativo de riesgos, sostiene Hunt. Señala que no existe un umbral de calidad estándar en este tipo de análisis estadístico; simplemente se trabaja con los datos de que se dispone. Todo el proceso consiste en modelar la incertidumbre , y el marco de trabajo proporcionará en sus resultados un rango de pérdidas potenciales que irá ganando precisión progresivamente.
«El día en que sea usted el peor en este enfoque de la modelización de riesgos será el día en que empiece», afirma.
El modelo incluye una puntuación que describe el grado de confianza que se debe tener en sus predicciones. Mejora continuamente este índice de confianza a partir de los comentarios recibidos y de la incorporación de más datos a lo largo del tiempo. «Nunca dará un paso atrás». «Se trata de un rendimiento de la inversión continuo y cada vez mayor para el usuario final, lo cual constituye una propuesta sumamente atractiva».
Los modelos basados en estadísticas siempre superan al instinto, afirma Hunt. Dado que los modelos de seguridad actuales adoptan un enfoque subjetivo y general, afirma que un modelo cuantitativo no puede sino mejorar el rendimiento. Los días en los que la seguridad se basaba en corazonadas han quedado atrás. Bienvenidos a la era de las cifras concretas.
PARA SABER MÁS
Consulte otras entrevistas exclusivas con líderes de seguridad en nuestra serie "Historias de éxito".
- Joseph Karpenko, de Stratascale, habla sobre…
: DE LAS INFRACCIONES A LA ESTRATEGIA EMPRESARIAL - Ken Fishkin, el «evangelista de la privacidad» de Lowenstein Sandler, habla sobre…
FORMACIÓN ABURRIDA EN CIBERSEGURIDAD - Mike Wilkes, el «superhéroe» de Marvel, habla sobre…
EL USO DE LA IA PARA COMBATIR LA DELINCUENCIA INFORMÁTICA - Jeff Aguilar del Condado de LA sobre…
CÓMO CAPACITA (Y RECAPACITA) A LOS TRABAJADORES PARA COMBATIR EL PHISHING - Dennis Leber de Honest Medical Group sobre…
POR QUÉ NO HABLA (MUCHO) DE CIBERSEGURIDAD CON LA JUNTA DIRECTIVA - Stephen Held de Leo A Daly sobre…
EL LADO OPUESTO DEL RIESGO DE TERCEROS - Michael Adams de Zoom sobre…
LOGRAR LA CIBERSEGURIDAD 2.0 CON LA PUNTUACIÓN DE RIESGO CIBERNÉTICO
