Cuantificación riesgo cibernético. Stress test y ciberresiliencia

De qué trata

Federico Muller, country manager de Microsoft, expuso en la II Jornada Anual de Riesgos (27 de septiembre de 2024) por qué la ciberseguridad pasó de ser un problema técnico a un asunto de resiliencia y de Estado, y cómo las pruebas de estrés ayudan a cuantificar el ciberriesgo.

Las 26 diapositivas parten de casos de ciberataques con grandes pérdidas, muestran cómo cambió la prioridad de la ciberseguridad entre 2014 y 2024, contrastan prevención con resiliencia (diseñar para recuperarse), enumeran los principales riesgos de resiliencia y cierran con las lecciones de la prueba de resistencia cibernética del BCE de 2024 y las perspectivas del reglamento DORA.

Objetivos

• Explicar por qué el ciberriesgo es hoy un riesgo de negocio, macroeconómico y de Estado.
• Distinguir ciberseguridad de ciberresiliencia y qué significa diseñar para recuperarse.
• Extraer lecciones de una prueba de estrés cibernética supervisada para cuantificar el impacto.

Ideas clave

1. La ciberseguridad pasó de ser un problema técnico en 2014 a una prioridad de negocio en 2020, un asunto de existencia organizacional en 2022 y un problema de Estado y macroeconómico en 2024.
2. El enfoque cambia de prevenir todos los ataques posibles a asumir el compromiso: proteger, detectar y responder a lo largo de toda la cadena.
3. La resiliencia es la capacidad de recuperarse de errores y seguir funcionando; realizar periódicamente pruebas de estrés cibernéticas aumenta la confianza de las partes interesadas.
4. En la prueba del BCE de 2024, el escenario era el cifrado de la base de datos principal del sistema bancario central por un atacante desconocido; los plazos de recuperación a menudo no se cumplieron.
5. Faltan procesos y métodos estandarizados para cuantificar los daños, lo que exige un enfoque multidisciplinario del impacto económico.