El riesgo cibernético se ha convertido en una amenaza significativa para el sistema financiero. Un ejercicio de modelización del personal técnico del FMI estima que las pérdidas anuales medias de las instituciones financieras derivadas de ciberataques podrían alcanzar unos cientos de miles de millones de dólares al año, lo que erosionaría los beneficios bancarios y podría poner en riesgo la estabilidad financiera.
Los casos recientes demuestran que la amenaza es real. Los ataques exitosos ya han provocado filtraciones de datos en las que los ladrones accedieron a información confidencial, así como fraudes, como el robo de 500 millones de dólares a la plataforma de intercambio de criptomonedas Coincheck. Además, existe el riesgo de que una institución objetivo quede incapacitada para operar.
No es sorprendente que las encuestas muestren de forma constante que los gestores de riesgos y otros directivos de las instituciones financieras se preocupan sobre todo por los ciberataques, como se muestra en el gráfico siguiente.
Vulnerabilidad del sector financiero
El sector financiero es especialmente vulnerable a los ciberataques. Estas instituciones son objetivos atractivos debido a su papel crucial en la intermediación de fondos. Un ciberataque exitoso contra una institución podría propagarse rápidamente por el sistema financiero, altamente interconectado. Muchas instituciones siguen utilizando sistemas antiguos que podrían no ser resilientes a los ciberataques. Y un ciberataque exitoso puede tener consecuencias materiales directas, a través de pérdidas financieras, así como costes indirectos, como el deterioro de la reputación.
Los casos recientes de gran repercusión han situado cada vez más el riesgo cibernético en la agenda del sector oficial, incluidas organizaciones internacionales. Sin embargo, el análisis cuantitativo del riesgo cibernético todavía se encuentra en una fase temprana, especialmente debido a la falta de datos sobre el coste de los ciberataques y a las dificultades para modelizar este riesgo.
El riesgo cibernético se ha convertido en una amenaza significativa para el sistema financiero.
Un reciente estudio del FMI ofrece un marco para analizar las posibles pérdidas derivadas de ciberataques, con especial atención al sector financiero.
Estimación de las posibles pérdidas
El marco de modelización utiliza técnicas de la ciencia actuarial y de la medición del riesgo operacional para estimar las pérdidas agregadas derivadas de ciberataques. Esto requiere evaluar la frecuencia de los ciberataques contra las instituciones financieras y tener una idea de la distribución de las pérdidas derivadas de dichos eventos. A continuación, pueden utilizarse simulaciones numéricas para estimar la distribución de las pérdidas agregadas por ciberataques.
Ilustramos nuestro marco utilizando un conjunto de datos que abarca las pérdidas recientes debidas a ciberataques en 50 países. Esto proporciona un ejemplo de cómo podrían estimarse las posibles pérdidas de las instituciones financieras. El ejercicio es difícil, y se ve aún más complicado por las importantes lagunas de datos sobre el riesgo cibernético. Además, afortunadamente, hasta la fecha no se ha producido ningún ciberataque exitoso a gran escala contra el sistema financiero.
Por tanto, nuestros resultados deben considerarse ilustrativos. Tomados en su valor nominal, sugieren que las pérdidas potenciales anuales medias derivadas de ciberataques pueden ser elevadas, cercanas al 9 por ciento de los beneficios netos de los bancos a nivel mundial, o alrededor de 100 000 millones de dólares. En un escenario severo, en el que la frecuencia de los ciberataques sería el doble que en el pasado, con mayor contagio, las pérdidas podrían ser de 2½ a 3½ veces superiores a esta cifra, es decir, entre 270 000 y 350 000 millones de dólares.
El marco podría utilizarse para examinar escenarios de riesgo extremo que impliquen ataques masivos. La distribución de los datos que hemos recopilado sugiere que, en tales escenarios, que representan el 5 por ciento de los peores casos, las pérdidas potenciales medias podrían llegar a alcanzar hasta la mitad de los beneficios netos de los bancos, poniendo en riesgo al sector financiero.
Estas pérdidas estimadas son varios órdenes de magnitud superiores al tamaño actual del mercado de seguros cibernéticos. Pese al reciente crecimiento, el mercado de seguros contra el riesgo cibernético sigue siendo reducido, con unos 3 000 millones de dólares en primas a nivel mundial en 2017. La mayoría de las instituciones financieras ni siquiera contratan un seguro cibernético. La cobertura es limitada, y las aseguradoras afrontan dificultades para evaluar el riesgo debido a la incertidumbre sobre las exposiciones cibernéticas, la falta de datos y los posibles efectos de contagio.
El camino a seguir
Hay mucho margen para mejorar las evaluaciones de riesgo. La recopilación por parte de los gobiernos de datos más detallados, coherentes y completos sobre la frecuencia y el impacto de los ciberataques contribuiría a evaluar el riesgo para el sector financiero. Los requisitos de notificación de brechas de seguridad, como los previstos en el Reglamento General de Protección de Datos de la UE, deberían mejorar el conocimiento de los ciberataques. El análisis de escenarios podría utilizarse para elaborar una evaluación exhaustiva de cómo podrían propagarse los ciberataques y para diseñar respuestas adecuadas por parte de las instituciones privadas y los gobiernos.
También es necesario seguir trabajando para comprender cómo reforzar la resiliencia de las instituciones financieras y de las infraestructuras, tanto para reducir las probabilidades de un ciberataque exitoso como para facilitar una recuperación rápida y ordenada. Asimismo, es necesario desarrollar la capacidad del sector oficial en muchas partes del mundo para supervisar y regular estos riesgos.
En suma, es necesario reforzar los marcos regulatorios y de supervisión del riesgo cibernético, y los esfuerzos deben centrarse en prácticas de supervisión eficaces, pruebas realistas de vulnerabilidad y recuperación, y planificación de contingencias. El FMI está prestando asistencia técnica para ayudar a los países miembros a mejorar sus marcos regulatorios y de supervisión.
