La cuantificación del riesgo cibernético era un problema complejo que abordó el grupo de trabajo del Foro Económico Mundial y, tras numerosas conversaciones e intercambio de ideas entre varias empresas asociadas, en Davos 2015 se puso en marcha una estructura sólida para hacer frente al desafío. El modelo de valor en riesgo para cuantificar el riesgo cibernético busca trasladar la conversación sobre ciberseguridad de una cuestión técnica a un riesgo empresarial clave en un registro estándar de riesgos corporativos. Aunque el concepto es muy pertinente y debería cambiar la naturaleza de las conversaciones en las salas de juntas y catalizar las deliberaciones de la alta dirección, conviene comprender sus matices para utilizarlo de manera significativa.
Probabilidad, no certeza: Antes de profundizar, puede ser útil entender qué significa realmente el valor en riesgo (VAR). Se trata de un concepto procedente del mundo de las finanzas que indica la cantidad máxima que podría perderse durante un período determinado con un grado de confianza específico. Es importante prestar atención a la última expresión, «grado de confianza», ya que en un mundo incierto (dada la posibilidad de que se produzcan acontecimientos aleatorios o inesperados) siempre hay acontecimientos poco frecuentes que no pueden tenerse plenamente en cuenta ni modelarse. Por ello, aceptamos un riesgo del 1 % o del 0,1 % de que ocurran tales acontecimientos e intentamos garantizar que, en todos los demás escenarios, los riesgos se mantengan por debajo de un umbral definido (por ejemplo, en el 99 % o el 99,9 % restante). Como cabría esperar, el valor de la exposición al riesgo aumenta de forma desproporcionada a medida que nos acercamos a niveles más altos de certeza.
Orientativo, no definitivo: El objetivo de la cuantificación es ofrecer una visión orientativa del nivel de riesgo, no una medición muy precisa. Dadas la naturaleza de las hipótesis y la falta de datos actuariales sobre la frecuencia de los ataques, el alcance de sus efectos y la magnitud de las pérdidas (tanto directas como indirectas), sería bastante presuntuoso intentar modelar con altos niveles de precisión.
Frecuencia:Dada la naturaleza cambiante de las amenazas, se considera que este ejercicio debería realizarse con frecuencia. Sin embargo, teniendo en cuenta su carácter orientativo y el esfuerzo de gestión que implica elaborar una visión y actuar sobre las recomendaciones, bastaría con realizarlo anualmente o, en casos específicos, cada seis meses.
Cómo abordar los eventos de cisne negro: Todo modelo parte de la hipótesis de que los acontecimientos pasados son un indicador razonable del futuro, con hipótesis específicas sobre la naturaleza de la volatilidad. Los acontecimientos poco frecuentes (por ejemplo, exploits de día cero de gran impacto y riesgos sistémicos inesperados) podrían dar lugar a eventos de gran impacto que no se prestan a la cuantificación. Sin embargo, el hecho de que la mayoría de los riesgos «conocidos» puedan modelarse permite disipar la incertidumbre y centrar la atención en las «incógnitas desconocidas» residuales.
¿Cómo ayuda el enfoque de cuantificación?
Creemos que el enfoque de cuantificación cibernética permite mantener una conversación madura sobre las distintas opciones de gestión del riesgo: desde adoptar medidas de mitigación (mejorar los controles, actualizar la tecnología) y transferir el riesgo mediante seguros, hasta reconocer de manera realista la exposición y estar dispuestos a asumirla. A medida que maduren los mercados de riesgo en este ámbito, habrá un mayor conjunto de datos para la validación, así como más investigación y medidas de control más sofisticadas.
En resumen, si se utiliza adecuadamente, el enfoque de cuantificación del riesgo puede cambiar el diálogo sobre la gestión del riesgo cibernético. Dado el nivel de investigación y colaboración en curso entre las distintas partes interesadas, la calidad de los datos disponibles y la sofisticación de los modelos solo pueden mejorar con el tiempo y ofrecer resultados más útiles.
Para estar al día con Forum:Agenda, suscríbase a nuestro boletín semanal.
Autor: Guha Ramasubramanian dirige el Desarrollo de Negocio Corporativo en Wipro y es miembro de la iniciativa Partnership for Cyber Resilience del Foro Económico Mundial.
Imagen: Una ilustración muestra la proyección de un código binario sobre un hombre que sostiene un ordenador portátil en una oficina. REUTERS/Kacper Pempel.
