Es momento de cuantificar los riesgos cibernéticos

Como seguramente ya lo habrá escuchado, la inteligencia artificial también está siendo utilizada por los cibercriminales. Por medio de esta, y de manera más expedita, se está automatizando el descubrimiento de vulnerabilidades, acelerando el desarrollo de herramientas de explotación e incrementando el volumen y la efectividad de los ataques; panorama que, naturalmente, preocupa cada vez más a las juntas directivas, que ahora incluyen a la seguridad cibernética como un punto recurrente de sus sesiones.

Por esta razón, al tratarse de un tema que ya manejan los líderes empresariales, es necesario que se use el lenguaje que estos emplean: los pesos (o dólares, en su defecto). No se puede seguir hablando en términos de vulnerabilidades, activos expuestos, alertas, controles y niveles de severidad, mientras que los tomadores de decisiones se están preguntando en dónde invertir, qué asegurar o qué riesgo atender primero.

El uso de un lenguaje cuantitativo podría parecer algo sencillo, pero representa un cambio importante, ya que no todas las vulnerabilidades tienen el mismo efecto ni todas merecen necesariamente la misma prioridad.

Una compañía, por ejemplo, puede tener cientos de vulnerabilidades pendientes de subsanar y, aun así, el número por sí solo no dice mucho sobre cuáles amenazan con mayor fuerza su operación, sus finanzas o la continuidad del negocio.

Aquí, justamente, empieza a cobrar relevancia la Cuantificación del Riesgo Cibernético (Cyber Risk Quantification o CRQ). Su propósito es responder a una pregunta cada vez más recurrente: ¿cuánto podría costarle al negocio que una vulnerabilidad se materializara?, y traducir una exposición que tradicionalmente se ha descrito en términos técnicos a escenarios de probabilidad e impacto financiero. Es decir, llevar la ciberseguridad a un lenguaje que también pueda entender la alta dirección.

Esto no significa ponerle un precio arbitrario a cada vulnerabilidad, como si se tratara de un tarifario genérico, pues, de hecho, una cifra sin contexto es tan útil como no tenerla. ¿De dónde salió? ¿Qué variables considera? ¿Con qué información fue calculada? ¿Qué tendría que hacer la organización para reducirla? Por eso, tan importante como cuantificar el riesgo es poder explicar la metodología que sustenta el resultado.

El mayor valor de este enfoque quizá esté en acercar dos conversaciones que durante mucho tiempo han avanzado por caminos distintos. Los equipos de seguridad necesitan saber qué vulnerabilidades existen y cómo mitigarlas; los líderes empresariales deben decidir cuánto invertir, qué riesgos aceptar, cuáles transferir y dónde concentrar los recursos limitados.

Hablar de impacto financiero no reemplaza los indicadores técnicos. Les da contexto. Y permite que la ciberseguridad deje de discutirse únicamente como un asunto tecnológico para incorporarse con mayor naturalidad a la gestión integral del riesgo empresarial. Esa conexión entre los equipos técnicos y la alta dirección es precisamente uno de los objetivos que plantea la cuantificación del riesgo.

Por todo lo anterior, a medida que la operación de las compañías depende más de sus activos digitales, protegerlos seguirá siendo indispensable. Pero la siguiente pregunta ya no debería ser solamente qué tan expuestos estamos. También necesitamos saber cuáles riesgos pueden golpearnos con mayor fuerza, cuánto podrían costarnos y qué decisión reduce realmente nuestra exposición.