RCVaR: an Economic Approach to Estimate Cyberattacks Costs using Data from Industry Reports

1. El Problema

La digitalización ha incrementado la exposición de las empresas a ciberataques devastadores, haciendo crucial la gestión de riesgos y estrategias de ciberseguridad. Sin embargo, existen desafíos significativos para cuantificar los costos financieros específicos de un ataque cibernético:

• Falta de datos individualizados: Los enfoques actuales carecen de estimaciones monetarias cuantitativas y personalizadas para empresas específicas.
• Dependencia de simulaciones teóricas: Los modelos existentes (como el CVaR - Cyber Value at Risk) suelen basarse en simulaciones de Monte Carlo que requieren estimaciones de probabilidad subjetivas y expertos costosos, lo que introduce sesgos y errores.
• Dificultad para las PYMES y grandes empresas: La falta de experiencia interna en ciberseguridad y la asimetría de información dificultan la medición de costos directos, indirectos y de oportunidad.
• Escasez de datos reales: La información pública sobre costos de brechas es limitada, fragmentada y a menudo no permite comparaciones directas debido a diferencias en unidades, años y regiones.

2. Metodología: Enfoque RCVaR

El artículo propone RCVaR (Real Cyber Value at Risk), un enfoque económico que estima los costos y riesgos de ciberataques utilizando datos reales extraídos de informes públicos de la industria en lugar de simulaciones puramente probabilísticas.

La arquitectura del sistema consta de tres capas principales:

A. Capa de Datos y Procesamiento

• Fuentes de Datos: Se extraen datos de informes públicos de consultoras y empresas de seguridad (principalmente Accenture, IBM, Ponemon y Kaspersky) que cubren periodos de 2010 a 2022.
• Extracción: Se utilizan técnicas de visión por computadora (OpenCV) para extraer datos de gráficos y tablas, y scripts en Python para datos numéricos crudos.
• Procesamiento: Se identifican 11 factores clave de riesgo (ej. país, sector industrial, tamaño de la empresa, medidas de seguridad, seguros cibernéticos).

B. Capa de Modelo (Escalado y Estimación)

El núcleo del modelo ajusta los costos brutos de los informes para adaptarlos a una empresa específica mediante tres escaladores:

1. Escalador de Tamaño (Size Scaler): Utiliza la capitalización de mercado (en lugar de ingresos o número de empleados) como métrica para definir el tamaño de la empresa, ya que es un dato público y menos volátil. Se calcula una relación cv ratio (costo promedio / capitalización de mercado promedio).
2. Escalador de Tiempo (Time Scaler): Ajusta los valores monetarios a lo largo del tiempo utilizando factores de descuento basados en la inflación (1.8%) y la evolución histórica de los costos de ciberseguridad (9.6% de crecimiento anual).
3. Escalador de Factores (Factor Scaler): Calcula ratios relativos para los 11 factores de negocio. Por ejemplo, si el sector bancario tiene un costo un 68% superior al promedio, se aplica este factor multiplicativo.

Fórmula de Estimación de Costo:
El costo estimado para un año específico se calcula mediante la siguiente ecuación (Eq. 1 en el paper):
$$\text{Costo}_{\text{año}} = \text{Valoración} \times \frac{\text{cv ratio}}{\text{descuento}_{\text{tamaño}}} \times \text{descuento}_{\text{tiempo}} \times \prod_{i=1}^{11} (1 + \text{param ratio}_i)$$

C. Cálculo del Riesgo (CVaR)

• Distribución de Costos: Tras extraer los datos, se realiza una prueba de bondad de ajuste (Kolmogorov-Smirnov). Se determina que la distribución que mejor se ajusta a los datos reales es la Gaussiana Inversa Generalizada (GenInvGauss), que captura la naturaleza de "cola pesada" de los costos de ciberataques (donde eventos raros tienen impactos masivos).
• Cálculo del CVaR: A diferencia del VaR tradicional, el RCVaR calcula el Cyber Value at Risk basándose en esta distribución empírica, proporcionando un límite monetario que los costos no superarán con un cierto nivel de confianza (ej. 95%).

D. Plataforma Web

Se ha desarrollado una herramienta basada en web (React/Flask) que permite a los tomadores de decisiones (incluso sin experiencia técnica) ingresar los parámetros de su empresa y obtener estimaciones de costos y riesgos de forma intuitiva.

3. Contribuciones Clave

1. Metodología de Extracción y Procesamiento: Un marco para extraer y procesar estadísticamente información de ciberseguridad de informes de la industria.
2. Modelo de Estimación Ex-Ante: Un modelo que predice costos potenciales basándose en información empresarial real y medidas de seguridad, no solo en probabilidades teóricas.
3. Cálculo de CVaR Basado en Datos Reales: Es la primera vez que el CVaR se calcula utilizando datos cuantitativos de informes de seguridad en lugar de estimaciones de probabilidad subjetivas, cuantificando la desviación del valor esperado.
4. Herramienta Web Accesible: Una plataforma funcional que democratiza el acceso a modelos de riesgo económico en ciberseguridad.

4. Resultados y Evaluación

El modelo fue evaluado utilizando datos "no vistos" (fuera de la muestra de entrenamiento) comparando sus predicciones con estimaciones de otros informes académicos e industriales:

• Precisión en Costos Anualizados: El RCVaR demostró alta precisión al predecir costos anualizados.
  • Ejemplo Kaspersky: Predicción de $71,997 vs. Informe de $50,000 (error del 44%, explicado por la diferencia entre costo por incidente severo vs. costo anualizado).
  • Ejemplo Woods et al.: Predicción de $391,534 vs. Informe de $428,000 (error del 9%).
  • Ejemplo Deloitte: Predicción de $711,141 vs. Informe de $465,333 (error del 53%, nuevamente debido a la naturaleza de "único incidente" vs. anualizado).
• Validación de Distribución de Riesgo: La distribución GenInvGauss utilizada por RCVaR mostró una similitud significativa con distribuciones generadas por simulaciones de Monte Carlo de consultoras líderes (como MARSH), validando su capacidad para modelar el riesgo de cola pesada.
• Conclusión de la Evaluación: El modelo es robusto para estimar costos anualizados y gestionar el riesgo, aunque su precisión disminuye ligeramente al intentar predecir el costo de un único incidente específico sin suficiente contexto.

5. Significado e Impacto

• Gestión de Riesgos Práctica: RCVaR cierra la brecha entre la teoría financiera y la realidad operativa de la ciberseguridad, permitiendo a las empresas (incluidas las PYMES) integrar la ciberseguridad en su estrategia general de gestión de riesgos empresariales.
• Reducción de la Dependencia de Expertos: Al utilizar datos públicos y un modelo automatizado, reduce la necesidad de contratar consultores costosos para realizar estimaciones básicas de riesgo.
• Base para Futuras Investigaciones: El enfoque sienta las bases para el uso de Aprendizaje Automático (Machine Learning) y Aprendizaje Federado, permitiendo en el futuro incorporar datos de sistemas SIEM y mejorar la precisión de las estimaciones de varianza.
• Indicadores Clave (KPI/KRI): El RCVaR puede servir como un Indicador Clave de Riesgo (KRI) y de Rendimiento (KPI) estandarizado para la planificación de presupuestos de ciberseguridad.

En resumen, el artículo presenta una solución innovadora que transforma datos dispersos de informes de la industria en un modelo cuantitativo robusto, permitiendo a las organizaciones tomar decisiones financieras informadas sobre sus inversiones en ciberseguridad basándose en la realidad del mercado y no solo en teorías.