Es fundamental contar con una comprensión integral del cibercrimen para medir el progreso y el impacto de las actividades utilizadas para combatir el problema.
Cuantificar el cibercrimen beneficia a todos, ya que establece una línea base para evaluar la eficacia de los esfuerzos para combatirlo y mejorar las tasas de éxito.
Crear esa línea base es difícil, debido a la variedad de delitos, a los datos que pueden valorar las distintas empresas y a la facilidad para acceder a esos datos.
Aunque ninguna perspectiva por sí sola puede cuantificar todos los aspectos del cibercrimen, los buenos datos pueden contribuir en gran medida a comprender el panorama general en lo que respecta a la medición del cibercrimen.
Los líderes y las partes interesadas de la comunidad de ciberseguridad deben encontrar puntos en común y establecer definiciones comunes y una forma estándar de presentar las estadísticas. Con indicadores clave de rendimiento (KPI) y un lenguaje común con estandarización y normalización de datos, es posible obtener más información sobre lo que está ocurriendo.
La cuestión es si, aunque es necesaria una única base estadística repetible para cuantificar el cibercrimen, algo así es viable en la práctica. ¿Cuáles son algunos de los desafíos?
¿Cómo podemos crear un lenguaje común para cuantificar el valor de las medidas adoptadas para prevenir el cibercrimen? ¿Cómo podemos mejorar la fiabilidad y la precisión de los informes y estadísticas existentes, y garantizar que sean coherentes con cualquier nueva taxonomía o métrica?
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro para la Ciberseguridad proporciona una plataforma confiable donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
Daños causados por el cibercrimen
A continuación, se presenta un desglose de parte de la información que existe actualmente:
Fortinet Global Threat Landscape Report. Este informe se publica dos veces al año y ofrece una visión de brotes significativos y recomendaciones para ayudar a preparar y proteger a las organizaciones frente a las amenazas.
IBM Cost of a Data Breach Report proporciona información sobre los impactos financieros y de marca de las filtraciones de datos, con información sobre los factores que contribuyen a los costos más altos de las filtraciones, como las vulnerabilidades de la infraestructura crítica, la complejidad de los sistemas de seguridad y la escasez de habilidades.
Verizon Data Breach Investigations Report incluye datos y conocimientos de filtraciones confirmadas.
Centro de Denuncias de Delitos en Internet (IC3) del FBI Internet Crime Report se basa en los incidentes cibernéticos presentados ante el FBI.
La limitación de los informes e información existentes es que se centran principalmente en los resultados de lo que ocurrió. Disponemos de información sobre los ataques y los tipos de delitos, pero medir el negocio directo del cibercrimen es significativamente más complejo.
Análisis del negocio del cibercrimen
Una mejor medición del cibercrimen también requiere una sólida comprensión de la gama de esos delitos. Como lista inicial, el negocio del cibercrimen incluye, entre otros:
Servicios delictivos (CaaS), como:
– Ransomware como servicio (RaaS)
– Modelos de pago por instalación o pago por compra mediante comisión
– Botnets de alquiler
– Servicios de lavado de dineroIngresos y beneficios, incluido el papel de las criptomonedas en el cibercrimen
Redes de afiliados y comisiones
Estructuras empresariales generales y operaciones comerciales ampliadas
Analizar las operaciones comerciales de los ciberdelincuentes es un aspecto fundamental para cuantificar el cibercrimen. Muchos saben que existe el ransomware como servicio, pero actualmente no hay herramientas suficientes para cuantificar este riesgo de cibercrimen y, por tanto, la inversión en ciberseguridad necesaria para combatirlo.
En Estados Unidos, es posible consultar las acusaciones judiciales del Departamento de Justicia para obtener cifras sobre un grupo en particular. Incluso un solo grupo de ransomware puede generar cientos de millones o miles de millones de dólares. Además, suelen tener estructuras empresariales ampliadas y complejas, con programas de afiliados y comisiones. Sin embargo, examinar los documentos judiciales y de investigación requiere mucho tiempo. Revisar estos documentos sin más no ayuda a los líderes a comprender mejor cómo equilibrar el riesgo al que podría enfrentarse su empresa.
La Atlas del Cibercrimen es una iniciativa que reúne a líderes mundiales para combatir las ciberamenazas y trazar el panorama del cibercrimen, incluidas las operaciones, estructuras y redes delictivas. Actualmente, la organización trabaja para mapear el ecosistema del cibercrimen y diferenciar a nivel mundial los grupos, métodos y direcciones de criptomonedas vinculados a la ciberseguridad.
Con más información sobre los grupos de ciberdelincuentes, es posible hacerse una idea de cómo funcionan sus flujos de ingresos y cómo obtienen beneficios. Agregar las cifras y dar estructura a la medición puede ofrecer perspectivas más significativas. Consolidar, validar y agregar estadísticas proporciona una visión del negocio del cibercrimen, cuantificando sus costos operativos, beneficios y pérdidas.
Tener una visión general de cómo funcionan las organizaciones dedicadas al cibercrimen también puede hacer que los esfuerzos de interrupción sean mucho más eficaces. Con un manual detallado de lo que hacen los ciberdelincuentes, resulta más sencillo encontrar formas de frustrar sus esfuerzos.
Las distintas organizaciones necesitan datos diferentes
Otro desafío para cuantificar el cibercrimen es que no todos necesitan ni les interesan los mismos datos. Como muchas organizaciones tienen un interés directo en combatir el cibercrimen, los datos que necesitan no serán los mismos.
Cada organización da un uso distinto a la información recopilada. Por ejemplo, los datos sobre el importe medio del rescate pagado son útiles para las aseguradoras. Pero los KPI que interesan a los cuerpos policiales se relacionan con la recuperación de fondos, el congelamiento de activos, la infraestructura y el crecimiento operativo.
Desde la perspectiva de los cuerpos policiales, en lo que respecta a la presentación de informes, hay una escasez de pruebas claras y publicadas sobre lo que funciona y lo que no. La comunidad policial está interesada en más datos y estadísticas que muestren casos de éxito que envíen un mensaje claro a los ciberdelincuentes.
Sería valiosa una perspectiva basada en datos sobre los elementos comunes del cibercrimen en las organizaciones que logran resultados exitosos, pero hoy en día no existe de forma clara.
Los proveedores de seguridad y los organismos policiales deben colaborar en la investigación, por ejemplo, siguiendo a los grupos criminales, la dark web y los foros. Los cazadores de amenazas que se hacen pasar por ciberdelincuentes pueden infiltrarse en las organizaciones y, cuando interviene la policía, la información de los discos duros puede incluirse en los documentos judiciales.
Adoptar un enfoque unificado frente al cibercrimen
Cuantificar el cibercrimen parece una tarea abrumadora, pero, como cualquier otro proyecto de gran envergadura, comienza cuando los grupos se unen en torno a una idea y dividen el proceso en tareas más pequeñas.
Todas las partes interesadas en la ciberseguridad, incluidos los proveedores, los cuerpos policiales y otros expertos, deben trabajar juntas para crear métodos uniformes y estandarizados de recopilación y presentación de datos.
Los próximos pasos podrían incluir:
Convocar un pequeño grupo de trabajo de expertos de la Alianza contra el Cibercrimen (PAC), que pueda trabajar para acotar el alcance de este debate a un plan viable y razonable específico de las fortalezas únicas de la PAC.
Analizar los esfuerzos de intercambio y consolidación de datos y las contribuciones basadas en datos de determinados miembros de la PAC.
Determinar las normas de medición y las definiciones, y cómo sería un enfoque unificado para cuantificar el cibercrimen.
Cuantificar el cibercrimen beneficia a todos. Al establecer una línea base, podremos ver qué tan eficaces son realmente nuestros esfuerzos para combatir el cibercrimen y cómo podemos ajustarlos para aumentar la fricción y mejorar la tasa de éxito.
