SECAdvisor: a Tool for Cybersecurity Planning using Economic Models

1. El Problema

La planificación de ciberseguridad representa un desafío crítico para las empresas, especialmente para las Pequeñas y Medianas Empresas (PYMES), debido a la dificultad de equilibrar la protección adecuada sin incurrir en gastos excesivos.

• Falta de Inversión y Incentivos Perversos: La falta de inversión y los incentivos económicos inadecuados son causas raíz de los ciberataques, generando impactos económicos directos (interrupción del negocio) e indirectos (daño a la reputación, sanciones legales).
• Complejidad Técnica vs. Económica: Las empresas carecen de presupuestos suficientes y expertise técnico para planificar estrategias de seguridad. Los modelos económicos existentes, como el modelo de Gordon-Loeb (GL), son teóricamente sólidos pero difíciles de aplicar para usuarios no técnicos debido a la complejidad de calcular parámetros como la probabilidad de brecha y la segmentación de la información.
• Necesidad de Herramientas: Existe una necesidad urgente de herramientas que simplifiquen la aplicación de modelos económicos a la ciberseguridad, permitiendo a las empresas tomar decisiones basadas en datos sobre cuánto invertir y en qué proteger.

2. Metodología y Fundamentos Teóricos

El artículo propone SECAdvisor, una herramienta de código abierto y visual que integra modelos económicos con la planificación técnica. La metodología se basa en dos pilares teóricos principales:

A. Modelo de Gordon-Loeb (GL) y Segmentación de Información

• Principio GL: Determina el nivel óptimo de inversión en ciberseguridad ($z$) maximizando el Beneficio Neto Esperado de la Inversión en Seguridad de la Información (ENBIS). El modelo sugiere que la inversión óptima rara vez supera el 37% de la pérdida esperada ($vL$).
• Segmentación: A diferencia de tratar los datos como un bloque único, SECAdvisor aplica una extensión del modelo GL que considera la segmentación de la información. Esto permite calcular la inversión óptima ($z^*_i$) para cada segmento específico (ej. base de datos de clientes, servidor web) basándose en:
  1. El valor monetario del segmento ($L_i$).
  2. La probabilidad de vulnerabilidad ($v_i$).
  3. La función de probabilidad de brecha (BPF), que modela cómo la inversión reduce la probabilidad de un ataque exitoso.

B. Retorno de la Inversión en Seguridad (ROSI)

• Una vez calculada la inversión óptima, la herramienta utiliza la métrica ROSI para evaluar la rentabilidad de soluciones de protección específicas (ej. firewalls, antivirus).
• Fórmula: $ROSI = \frac{\text{Reducción de Riesgo} - \text{Costo de la Solución}}{\text{Costo de la Solución}}$.
• Donde la Reducción de Riesgo se calcula como: $ALE \times \text{Ratio de Mitigación}$ ($ALE$ es la Pérdida Anual Esperada).
• Una solución se considera eficiente si $ROSI \geq 1$.

3. Contribuciones Clave: La Herramienta SECAdvisor

SECAdvisor es la primera herramienta de su tipo que integra estos modelos económicos de manera intuitiva y extensible. Sus características técnicas incluyen:

• Arquitectura Conceptual:
  • Capa de Segmentos: Gestiona la definición de segmentos de negocio, estima su valor monetario (asistido por datos externos) y calcula la inversión óptima por segmento.
  • Capa de Recomendación: Utiliza un motor de recomendación externo (MENTOR) para sugerir medidas de protección basadas en amenazas seleccionadas y el presupuesto óptimo calculado.
  • Capa de Datos: Almacena perfiles de negocio, configuraciones de modelos y ecuaciones en una base de datos MongoDB.
• Funcionalidades Principales:
  1. Definición de Perfiles y Segmentos: Permite a los usuarios definir segmentos (tipo de servidor, base de datos, red) y sus parámetros de riesgo y vulnerabilidad.
  2. Cálculo de Inversión Óptima: Aplica las ecuaciones del modelo GL extendido para determinar cuánto debe invertir la empresa en cada segmento para maximizar el beneficio.
  3. Configuración de BPF: Permite a los usuarios ajustar la Función de Probabilidad de Brecha (BPF) según la realidad de su sector o definir funciones personalizadas.
  4. Evaluación de Soluciones (ROSI): Calcula automáticamente el ROSI para las soluciones recomendadas, permitiendo comparar su eficiencia de costos.
• Implementación Técnica: Desarrollada con AngularJS (frontend) y NestJS (backend), utilizando MongoDB para el almacenamiento. Los cálculos matemáticos complejos se realizan mediante la librería nerdamer en JavaScript. La herramienta está disponible como contenedores Docker.

4. Resultados y Evaluación

El artículo presenta dos tipos de evaluaciones para validar la herramienta:

A. Evaluación de Usabilidad

• Participantes: 13 usuarios con formación técnica (estudiantes, consultores, investigadores).
• Tareas: Se les pidió configurar perfiles, calcular inversiones óptimas y seleccionar protecciones.
• Éxito: La tasa de éxito general fue del 87.2%.
  • Tareas básicas (identificar vulnerabilidades, calcular pérdidas esperadas) tuvieron tasas de éxito del 92-100%.
  • Tareas avanzadas (ajustar la función de probabilidad de brecha) tuvieron una tasa del 69.2%, lo cual se considera aceptable dado el nivel de especialización requerido.
• Puntuación SUS (System Usability Scale): Obtuvo una puntuación de 82.1, clasificada como "excelente", indicando que la herramienta es intuitiva y fácil de usar incluso para conceptos económicos complejos.

B. Actividades Prácticas en el Mundo Real

• La herramienta se utilizó en cursos de formación para consultores de ciberseguridad (proyecto CONCORDIA, 360 participantes), en la Universidad de Zúrich (20 estudiantes de máster) y en la escuela de doctorado NeCS (30 participantes).
• Feedback: Los participantes destacaron la utilidad de la herramienta para visualizar conceptos económicos abstractos y tomar decisiones de inversión basadas en datos. Se consideró un puente efectivo entre la teoría económica y la práctica industrial.

5. Significado e Impacto

• Democratización de la Ciberseguridad Económica: SECAdvisor permite que empresas (especialmente PYMES) y profesionales no expertos en economía apliquen modelos rigurosos (GL y ROSI) sin necesidad de un profundo conocimiento matemático.
• Toma de Decisiones Basada en Datos: Cambia el enfoque de la ciberseguridad de una "gasto necesario" a una "inversión estratégica", ayudando a las empresas a evitar el sobregasto o la subinversión.
• Educación y Formación: Se ha demostrado ser una herramienta pedagógica eficaz para enseñar la intersección entre economía y ciberseguridad.
• Futuro: Los autores proponen futuras mejoras como la integración de simulaciones Monte Carlo, el uso de IA para inferir valores de activos y riesgos automáticamente, y la validación con datos reales de la industria.

En conclusión, SECAdvisor es un avance significativo al proporcionar un marco práctico y visual para la planificación de ciberseguridad, equilibrando la viabilidad técnica con la sostenibilidad económica.