En 1939, el químico suizo Paul Hermann Müller descubrió que el diclorodifeniltricloroetano, conocido también como DDT, era un potente insecticida, y desde entonces se utilizó ampliamente para eliminar todo tipo de plagas en todo el mundo.
Sin embargo, uno de los metabolitos del DDT, el DDE, se acumula en el tejido graso de los peces y otros animales acuáticos. De este modo, se va concentrando a lo largo de la cadena alimentaria, un proceso conocido como bioacumulación.
Las aves que ocupan la cúspide de la cadena alimentaria acuática —en este caso, el águila marina (Haliaeetus albicilla)— acumularon altas concentraciones de DDE, lo que hizo que pusieran huevos con cáscaras extremadamente finas y frágiles.
El resultado era que, con frecuencia, los huevos se aplastaban cuando el águila marina progenitora se posaba en el nido. Los huevos aplastados significaban que no habría polluelos; sin ellos, no habría ejemplares jóvenes y, por tanto, el águila marina pasó a formar parte de la lista roja de especies en peligro de extinción.
Acumulación en los seguros
El principio de acumulación es prácticamente el mismo en el contexto de los seguros.
Una compañía de seguros asume numerosos riesgos de distintas partes, y una reaseguradora asume carteras de riesgos de muchas compañías de seguros.
De hecho, esta es la naturaleza y el modelo de negocio de los seguros y reaseguros: asumir y diversificar riesgos.
Sin embargo, la diversificación solo funciona si los riesgos son independientes entre sí.
Si se acumulan en gran medida (por ejemplo, viviendas en una zona sísmica), las aseguradoras suelen definir la cantidad máxima de riesgo que incorporan a sus balances y gestionar su cartera en consecuencia. Esto garantiza la suficiencia de capital ante eventos extremos.
Si la acumulación es un tema cotidiano en los seguros, ¿qué relevancia tiene para el ámbito cibernético la ilustración del águila marina?
El ámbito cibernético tiene algunos puntos en común con el DDT.
Es un riesgo que acompaña a algo útil.
Está, o estuvo, prácticamente en todas partes.
No se puede ver, oler, oír ni tocar.
Pasaron años hasta que se establecieron leyes y reglamentos para impedir su propagación.
Se requiere cooperación internacional para contrarrestar eficazmente la amenaza.
Así, el riesgo de que el águila marina se extinguiera debido al uso del DDT se corresponde con el riesgo de que una aseguradora atraviese dificultades financieras, o de que un sistema económico las atraviese, debido a la acumulación de riesgos expuestos a un evento cibernético.
Hay un par de ejemplos recientes que muestran cómo pueden acumularse los riesgos cibernéticos.
Ataques de malware
El primer ejemplo es un malware general de propagación rápida y amplia, que no está dirigido a una sola empresa.
Veamos Petya/NotPetya.
En apenas un par de días de junio de 2017, este malware infectó los equipos de empresas de sectores tan diversos como el transporte marítimo, la banca, el comercio minorista, la industria farmacéutica, la publicidad, el derecho, los servicios postales, el petróleo, la fabricación de alimentos y la atención sanitaria. Afectó indiscriminadamente a empresas de todo el mundo.
El malware infectó sistemas basados en Microsoft Windows que no tenían instalado un parche para una vulnerabilidad específica. También se infectaron muchos equipos que aún utilizaban versiones antiguas y sin soporte de Windows, para las que no existían parches.
¿Se podría haber sabido que estos riesgos no eran independientes entre sí, que compartían una vulnerabilidad que podía explotarse?
Posiblemente sí, si se hubiera advertido que tantas organizaciones utilizaban equipos antiguos con Windows sin los parches necesarios, quizá sin siquiera saberlo.
Ataques dirigidos
Otro ejemplo de cómo muchas empresas pueden verse afectadas por una misma causa y, por tanto, acumular riesgos es un ataque dirigido contra un servicio de internet vital.
En octubre de 2016, un ataque masivo de denegación de servicio distribuido (DDoS) contra Dyn, proveedor de DNS, hizo que grandes sitios web como PayPal, Netflix, Twitter y Amazon dejaran de estar disponibles durante varias horas.
En este caso, la acumulación se produjo por la dependencia de un único servicio utilizado para operar internet.
El tercer ejemplo aún no ha ocurrido, al menos no con el alcance descrito por los autores del estudio, Business Blackout, publicado por Lloyd’s of London y la Universidad de Cambridge en 2015.
Se trata de un experimento mental sobre un ciberataque dirigido contra infraestructuras críticas de Estados Unidos: la red eléctrica.
Los efectos previstos en las personas, las empresas y toda la economía son bastante aterradores y muestran la gran acumulación de pérdidas que se produciría en un evento así.
Más allá de los seguros
Estos tres ejemplos muestran que los eventos cibernéticos que afectan a muchas personas, empresas e instituciones públicas no son solo un problema para los seguros, sino que podrían afectar a toda una economía.
Volviendo al águila marina, lo que salvó a esta magnífica especie fue el abandono del DDT como insecticida de uso generalizado.
Con los riesgos cibernéticos no es tan sencillo. Si no queremos renunciar a los beneficios de la digitalización, los riesgos cibernéticos han llegado para quedarse.
Por eso, debemos comprender mejor cómo están interconectadas las entidades, dónde se encuentran los puntos neurálgicos de nuestro mundo interconectado digitalmente y cómo se acumulan los riesgos cibernéticos.
Esta mayor comprensión de la acumulación de riesgos debe combinarse con medidas adicionales para aumentar la resiliencia cibernética de los sistemas. Entre ellas figuran una mayor concienciación entre los directivos de las empresas, una mejor higiene cibernética básica en todos los sectores, la adopción generalizada de la «seguridad desde el diseño» y un intercambio sensato de datos, que nos permitirá dar un gran paso adelante.
La extinción no es una opción.
