💻 computer science

A Scalable Game-Theoretic Approach for Selecting Security Controls from Standardized Catalogues

Este artículo presenta un enfoque escalable basado en la teoría de juegos para seleccionar combinaciones efectivas de controles de seguridad de catálogos estandarizados, considerando el presupuesto y las dependencias entre controles, y valida su utilidad mediante una herramienta de software aplicada a un sistema militar canadiense.

Autores originales: Dylan Léveillé, Jason Jaskolka

Publicado 2026-04-22

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Dylan Léveillé, Jason Jaskolka

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

¡Claro que sí! Imagina que eres el capitán de un barco muy valioso (tu sistema informático) que navega por un océano lleno de piratas (los ciberdelincuentes). Tu misión es proteger el tesoro (tus datos) sin gastar todo tu oro en defensas innecesarias.

Este artículo es como un manual de estrategia para tomar la mejor decisión posible, pero con un giro muy interesante: en lugar de solo mirar el mapa, juegas un partido de ajedrez contra el pirata imaginario.

Aquí te explico cómo funciona, paso a paso, usando analogías sencillas:

1. El Problema: Demasiadas Opciones, Poco Oro

Imagina que tienes un catálogo gigante de armas y escudos (llamado "catálogo de controles de seguridad"). Hay miles de opciones: desde un simple candado hasta un dron de vigilancia.

El dilema: No puedes comprar todo. Tu presupuesto es limitado y algunas armas no funcionan bien juntas (por ejemplo, no puedes poner un candado de hierro si no tienes una puerta de madera).
El error común: Antes, los expertos elegían defensas basándose en matemáticas frías o en lo que "parecía" lógico. Pero olvidaban algo crucial: los piratas son humanos y tienen planes. Si no piensas como el pirata, te sorprenderá.

2. La Solución: Un Juego de Ajedrez (Teoría de Juegos)

Los autores proponen tratar la seguridad como un juego de dos jugadores:

Jugador 1 (Tú, el Analista): Quieres proteger el barco al máximo.
Jugador 2 (El Pirata): Quiere robar el tesoro.

En lugar de adivinar qué pirata vendrá, tú creas un "Perfil de Pirata". ¿Es un pirata que solo quiere robar el mapa (confidencialidad)? ¿O uno que quiere hundir el barco (disponibilidad)?

La Estrategia: Tú eliges una combinación de armas (tus controles de seguridad) pensando: "Si yo fuera ese pirata, ¿qué intentaría atacar?". Luego, eliges la defensa que mejor contrarresta ese ataque específico.

3. Las Reglas del Juego (Cómo se calcula)

Para que el juego funcione, necesitan tres cosas:

Eficacia (¿Qué tan bueno es el escudo?): Si pones un escudo de oro, ¿protege el 100%? Probablemente no. Quizás el 80%. El juego asigna un puntaje a cada defensa.
Costo (¿Cuánto oro cuesta?): Cada arma tiene un precio. Si gastas todo en un cañón gigante, no tendrás dinero para reparar el casco.
Dependencias (¿Se necesitan entre sí?): A veces, para usar un arma especial, necesitas tener otra primero. (Ejemplo: No puedes usar un sistema de encriptación si no tienes primero una política de claves).

4. El "Cerebro" del Equipo: CSAT (La Herramienta Mágica)

Aquí viene la parte difícil. Si tienes 40 armas opcionales, las formas de combinarlas son más que las estrellas en el cielo (2 elevado a la 40). Un humano tardaría años en calcular cuál es la mejor mezcla.

Para solucionar esto, los autores crearon una herramienta llamada CSAT (Asistente de Selección de Controles).

La analogía: Imagina que CSAT es un chef robot superinteligente. Tú le das la lista de ingredientes (armas), el presupuesto (dinero) y le dices: "Quiero un plato que resista al pirata que ataca el mapa".
El robot prueba millones de combinaciones en segundos y te dice: "Aquí tienes la receta perfecta: usa el candado A, el escudo B y el dron C. Cuesta justo lo que tienes y protege al máximo".

5. El Ejemplo Real: El Sistema "Ravenclaw"

Para probar si su método funcionaba, lo aplicaron a un sistema militar ficticio canadiense (llamado Ravenclaw), que tiene sensores, drones y bases de datos.

El resultado: Con un presupuesto de casi un millón de dólares y 39 armas posibles, el robot encontró la combinación perfecta en menos de 11 segundos.
La sorpresa: Descubrieron que, dependiendo de qué tipo de pirata esperaran (uno que quiere robar datos o uno que quiere destruir), la mejor defensa cambiaba. A veces, gastar menos en un arma y más en otra era la clave.

En Resumen

Este paper nos dice:

"Dejen de adivinar qué defensas poner. Jueguen a ser el enemigo. Usen un software inteligente para combinar las defensas correctas, dentro de su presupuesto, pensando específicamente en cómo atacaría un humano real, no en números fríos."

Es como dejar de construir muros al azar y empezar a construir un castillo diseñado específicamente para resistir el tipo de asedio que más te preocupa. ¡Y todo gracias a un poco de lógica de juegos y mucha ayuda de la computadora!

Título: Un Enfoque Escalable Basado en Teoría de Juegos para la Selección de Controles de Seguridad a partir de Catálogos Estandarizados

1. El Problema

La selección de la combinación óptima de controles de seguridad para proteger los activos de un sistema es una tarea extremadamente compleja. Los desafíos principales identificados en el artículo son:

Volumen de Datos: Los catálogos de controles estandarizados (como NIST SP 800-53, ITSG-33, ISO 27002) son vastos. En entornos prácticos, es imposible implementar todos los controles posibles debido a restricciones presupuestarias y de tiempo.
Dependencias y Restricciones: Los controles no son independientes; existen dependencias lógicas (ej. un control requiere la existencia de otro) y restricciones de presupuesto que limitan las combinaciones válidas.
Factor Humano y Comportamiento del Atacante: La mayoría de las soluciones existentes se basan en optimización matemática que asume probabilidades fijas de éxito de ataques o tasas de éxito de los controles. Estas probabilidades son difíciles de estimar en escenarios reales. Además, estos enfoques a menudo ignoran la dinámica humana y estratégica entre el defensor (analista) y el atacante, tratando a los atacantes simplemente como vectores de ataque estáticos en lugar de actores racionales que eligen objetivos.
Escalabilidad: Los métodos de fuerza bruta o algoritmos de optimización tradicionales no escalan bien cuando se consideran grandes cantidades de controles y sus interdependencias, lo que hace que la automatización sea necesaria pero difícil de lograr sin un enfoque computacionalmente eficiente.

2. Metodología Propuesta

Los autores proponen un enfoque basado en teoría de juegos para modelar la selección de controles como un juego de suma cero, de un solo movimiento (one-shot) y de dos jugadores (Analista de Seguridad vs. Atacante). El proceso se divide en seis pasos clave:

Identificación de Controles Atómicos: El analista selecciona controles atómicos (indivisibles) de un catálogo estandarizado (ej. ITSG-33) que sean aplicables a los activos y amenazas del sistema, incluyendo controles obligatorios por normativa.
Asignación de Efectividad: Se asigna un valor de efectividad (normalizado entre 0 y 1) a cada control atómico para cada objetivo de seguridad (Confidencialidad, Integridad, Disponibilidad) de cada activo. Esto define la "recompensa" (payoff) del juego.
Asignación de Costos: Se asigna un costo (monetario o de esfuerzo) a cada control atómico.
Generación de Combinaciones Válidas (Álgebra de Controles):
- Se utiliza un álgebra de familia de productos (basada en semianillos) para modelar formalmente las dependencias entre controles (obligatorios, opcionales, requisitos).
- Se define una regla de presupuesto para filtrar las combinaciones que exceden el límite financiero.
- Esto genera el conjunto de estrategias posibles para el analista (combinaciones de controles válidas).
Construcción de la Matriz del Juego:
- Filas: Representan las combinaciones válidas de controles (estrategias del analista).
- Columnas: Representan los objetivos de seguridad de los activos que el atacante podría violar (estrategias del atacante).
- Valores: La efectividad combinada de los controles para proteger un objetivo específico. La efectividad de una combinación se calcula restando la ineficacia compuesta de cada control individual a la eficacia total (1).
Juego y Perfil del Atacante:
- El analista define un perfil de atacante basado en objetivos ordenados (qué activos y objetivos de seguridad son más probables que ataquen).
- El algoritmo busca la estrategia (combinación de controles) que maximiza la efectividad total contra los objetivos del perfil del atacante, respetando el orden de prioridad.
- El resultado es una o varias combinaciones de controles recomendadas que ofrecen la mejor defensa contra el perfil de amenaza definido.

3. Contribuciones Clave

Enfoque Basado en Comportamiento: A diferencia de los métodos de optimización que dependen de probabilidades de ataque desconocidas, este enfoque se centra en los objetivos y comportamientos esperados del atacante, lo cual es más realista y manejable para los analistas.
Manejo Formal de Dependencias: Introduce el uso de un álgebra de semianillos para especificar y generar automáticamente combinaciones de controles válidas, considerando dependencias complejas (requisitos, refinamientos) sin necesidad de enumeración manual.
Escalabilidad mediante Automatización: Desarrollo de una herramienta llamada CSAT (Control Selection Assistant Tool). Dado que el problema de encontrar la combinación óptima es NP-completo (similar al problema de la mochila o Knapsack), CSAT utiliza algoritmos heurísticos y de poda para encontrar soluciones en tiempos razonables sin tener que evaluar todas las combinaciones posibles.
Validación a Gran Escala: Aplicación exitosa del método en un sistema ficticio de gran escala (sistema militar canadiense "Ravenclaw") utilizando el catálogo ITSG-33, demostrando la viabilidad del enfoque en sistemas complejos.

4. Resultados

El estudio de caso en el sistema "Ravenclaw" (con 7 activos y 39 controles opcionales, más 8 obligatorios) arrojó los siguientes resultados:

Viabilidad Computacional: CSAT logró generar soluciones en tiempos aceptables (aprox. 10.6 segundos para un escenario y 16 minutos y 44 segundos para otro con múltiples casos de incertidumbre), a pesar de la complejidad combinatoria ( $2^{39}$ combinaciones potenciales).
Adaptabilidad al Perfil del Atacante:
- Escenario 1: Con un perfil que priorizaba la confidencialidad e integridad de las interfaces y bases de datos, el sistema seleccionó una combinación de 22 controles opcionales por un costo de $940,000.
- Escenario 2: Con un perfil que priorizaba la integridad y disponibilidad de sensores y UAVs, el sistema generó dos combinaciones ligeramente diferentes dependiendo de la incertidumbre en la efectividad de un control específico (AU-12), demostrando la robustez del método ante variaciones de datos.
Eficiencia: El enfoque permitió identificar combinaciones óptimas que habrían sido imposibles de encontrar manualmente debido al volumen de opciones y restricciones.

5. Significado e Impacto

Practicidad en la Toma de Decisiones: Proporciona a los analistas de seguridad una herramienta estructurada y cuantitativa para justificar la selección de controles, reduciendo la subjetividad y el riesgo de errores humanos en la configuración de sistemas seguros.
Superación de Limitaciones de la Optimización Tradicional: Al eliminar la necesidad de asignar probabilidades de ataque (que a menudo son especulativas), el método se vuelve más aplicable en entornos reales donde los datos históricos son escasos.
Escalabilidad para Sistemas Críticos: Demuestra que es posible aplicar modelos teóricos complejos (teoría de juegos) a sistemas de gran envergadura con catálogos de cientos de controles, siempre que se cuente con una automatización adecuada (como CSAT).
Futuro: El trabajo sienta las bases para futuras investigaciones, como jugar el juego desde la perspectiva del atacante para identificar puntos débiles en las defensas propuestas, mejorando así la postura de seguridad proactiva.

En resumen, el artículo presenta una solución innovadora que combina la formalización algebraica de dependencias con la teoría de juegos para resolver el problema de la selección de controles de seguridad de manera escalable, realista y automatizada.