Resumen Técnico: Evaluación del ROI de la Inteligencia de Amenazas Cibernéticas

1. Planteamiento del Problema

La cuantificación del Retorno de la Inversión (ROI) para los programas de Inteligencia de Amenazas Cibernéticas (CTI) enfrenta un problema de medición fundamental: la prevención exitosa resulta en "no eventos" que no dejan una señal financiera observable. En consecuencia, el gasto en CTI se resiste al análisis tradicional de costo-beneficio. Además, el valor de la CTI es a menudo indirecto, actuando como un multiplicador de fuerza para controles descendentes (por ejemplo, firewalls, EDR, analistas) en lugar de un control técnico independiente. Esto complica la atribución causal y la definición del límite de la inversión. Los modelos económicos tradicionales, como el modelo de Gordon–Loeb (GL), están diseñados para controles técnicos independientes y no logran capturar la reducción de riesgo probabilística y los efectos de apalancamiento inherentes a los flujos de trabajo impulsados por la inteligencia. Sin un modelo defendible, los programas de CTI corren el riesgo de ser percibidos como centros de costos, lo que conduce a la infrafinanciación y a la asignación errónea de recursos.

2. Metodología

El documento propone un marco de múltiples capas que combina métricas cuantitativas, indicadores cualitativos y un enfoque específico de modelado financiero para abordar la brecha de medición.

2.1 El Índice de Efectividad de la Inteligencia de Amenazas (TIEI)

Para operacionalizar la madurez de la CTI, los autores introducen el Índice de Efectividad de la Inteligencia de Amenazas (TIEI). A diferencia de las medias aritméticas ponderadas tradicionales, que asumen linealidad y permiten que puntuaciones altas en un área compensen los fallos en otra, el TIEI utiliza una media geométrica ponderada. Esta formulación penaliza los eslabones débiles, reflejando la realidad de que una deficiencia en una dimensión (por ejemplo, una mala integración) puede anular el valor de las demás.

El TIEI agrega cuatro dimensiones:

1. Calidad de la Inteligencia: Precisión, oportunidad, relevancia y completitud.
2. Enriquecimiento: Mapeo a TTPs (ATT&CK), correlación interna, vinculación de entidades y capacidad de acción (actionability).
3. Integración y Automatización: Cobertura de controles, éxito de la entrega, tasas de automatización y cumplimiento de SLA.
4. Impacto Operativo: Reducciones en el Tiempo Medio de Detección (MTTD) y el Tiempo Medio de Respuesta (MTTR), reducción de falsos positivos y aumento de la cobertura.

Las puntuaciones se normalizan a una escala de [1, 100] utilizando objetivos definidos o normalización de múltiples anclajes (niveles inaceptables, de referencia, de mejora/stretch) para garantizar la reproducibilidad.

2.2 Marco Financiero: Enfoque de Primero el Punto de Equilibrio

El documento cambia la predicción de valores específicos de ROI por la definición de una frontera de viabilidad de punto de equilibrio. Este enfoque reconoce que la probabilidad anual específica de la organización de un evento de pérdida material ($p_0$) y la fracción de mitigación atribuible a la CTI ($M$) son incógnitas que no pueden estimarse de manera fiable mediante informes de prevalencia general del sector.

El modelo define el Costo Total de Propiedad (TCO) para la CTI ($TCO_{CTI}$) para incluir no solo las plataformas y los costos de los feeds, sino también los costos incrementales descendentes necesarios para operacionalizar la inteligencia (integración, ingeniería, automatización).

La condición para un ROI positivo se deriva como:
$$p_0 \times M > \kappa$$
Donde $\kappa = \frac{TCO_{CTI}}{L_M}$, y $L_M$ es la magnitud de la pérdida condicional del evento.

Esto crea una frontera de dos incógnitas: una organización debe sustentar que el producto de su probabilidad de evento específica y su capacidad de mitigación específica excede la relación costo-pérdida.

2.3 Simulación Condicional

Para ilustrar cómo se propaga la incertidumbre, los autores emplean una simulación PERT condicionada a la puntuación del TIEI. El factor de mitigación ($M$) se modela como una distribución PERT donde los límites (pesimista, más probable, optimista) son funciones afines de la puntuación del TIEI. Esto vincula la madurez operativa directamente con el rango de resultados financieros plausibles sin afirmar un único valor determinista.

3. Contribuciones Clave

El documento realiza dos contribuciones principales:

1. El Índice de Efectividad de la Inteligencia de Amenazas (TIEI): Una medida de madurez estructurada y ponderada geométricamente que captura la calidad de la inteligencia, el enriquecimiento, la integración y el impacto operativo. Penaliza explícitamente el rendimiento desequilibrado y proporciona una base reproducible para rastrear la evolución del programa.
2. Un Marco de Decisión Financiera de Primero el Punto de Equilibrio: Un método que trata a $p_0$ y $M$ como incógnitas, caracterizando las combinaciones requeridas para un ROI positivo. Este marco incluye una definición exhaustiva del límite de la inversión (TCO) y demuestra cómo derivar los requisitos de punto de equilibrio ajustados al alcance sin depender de datos de prevalencia de sectores generales que puedan inducir a error.

4. Resultados y Aplicación

El marco se aplicó a escenarios ilustrativos en los sectores de servicios financieros y salud.

• Servicios Financieros: Utilizando un costo de brecha estimado ($L_M$) de $5.82M y una inversión anual total ($TCO_{CTI}$) de $0.40M, la constante de viabilidad $\kappa$ es 6.87%. El análisis muestra que para que un programa de CTI alcance el punto de equilibrio con una capacidad de mitigación del 20% ($M=0.20$), la probabilidad anual de un evento material ajustada al alcance de la organización debe superar el 34.4%.
• Salud: Con un costo de brecha estimado superior de \8.595M y una inversión de \0.60M, $\kappa$ es 6.98%. Del mismo modo, una capacidad de mitigación del 20% requiere una probabilidad de evento que supere el 34.9%.

El documento enfatiza que estas no son predicciones del riesgo del sector, sino fronteras de viabilidad. Definen la evidencia mínima que una organización debe proporcionar para justificar la inversión. La simulación PERT condicionada ilustra además que para un programa maduro (TIEI = 80), la probabilidad de lograr un ROI positivo aumenta significamente a medida que aumenta la probabilidad asumida del evento ($p_0$), pero la simulación depende de que la organización suministre un $p_0$ defendible.

5. Significado y Reivindicaciones

Los autores afirman que este marco proporciona una base reproducible para las decisiones de inversión en CTI al vincular la madurez operativa (TIEI) con un límite financiero auditable.

• Reencuadre del ROI: El documento argumenta que el ROI debe verse como una medida de la "fragilidad evitada" en lugar de la ganancia obtenida, abordando la "paradoja de la prevención" donde la seguridad exitosa es invisible.
• Consistencia Causal: Al negarse a sustituir la prevalencia general del sector por probabilidades de eventos específicas de la organización, el marco evita el "error de categoría" de aplicar modelos tradicionales de control a activos de información.
• Valoración Holística: El enfoque integra indicadores de desempeño cuantitativos (MTTD, MTTR), valor estratégico cualitativo (protección de marca, cumplimiento regulatorio) y modelado financiero (reducción de riesgo basada en FAIR).
• Modestia en las Reivindicaciones: El documento establece explícitamente que no estima un ROI universal del sector. Las fronteras numéricas son límites de sensibilidad deterministas basados en los inputs del escenario, no intervalos de confianza. La simulación PERT condicionada por el TIEI se presenta como una ilustración secundaria y condicionada a supuestos, más que como una herramienta predictiva.

El estudio concluye que, si bien existen desafíos de medición significativos (atribución, sobrecarga de datos, intangibles), un enfoque de múltiples capas que combine el TIEI con un modelo financiero de primero el punto de equilibrio permite a los líderes de seguridad comunicar el valor de la CTI como una inversión estratégica defendible en lugar de un centro de costos.