Attack-Path-Aware Enterprise Risk Quantification for Cloud-Native Financial Data Platforms Using AI and Cybersecurity Graphs

En el mundo de alto riesgo de la banca, proteger el dinero y los datos personales siempre ha sido un juego de dos mitades. Por un lado, los equipos de seguridad utilizan escáneres automatizados para encontrar debilidades en sus sistemas informáticos, clasificándolas según lo peligrosas que parezcan sobre el papel. Por otro lado, los gestores de riesgos intentan adivinar cuánto dinero podría perder el banco si un hacker tiene éxito, recurriendo a menudo a estimaciones aproximadas y gráficos de colores. Durante décadas, estos dos grupos han trabajado en paralelo, hablando rara vez el mismo lenguaje. Los escáneres les indican qué agujero individual es el más grande, mientras que los gestores de riesgos se preocupan por el daño financiero total. Pero en la banca moderna, donde los datos fluyen a través de complejas redes en la nube, un solo agujero grande rara vez es el problema real. En cambio, un hacker suele tener éxito encadenando una serie de pasos pequeños y aparentemente inofensivos, como entrar por una puerta abierta, tomar prestada una llave de un amigo de confianza y luego colarse en una bóveda. La cuestión crítica ya no es solo qué agujero es el más grande, sino qué cadena de pequeños pasos conduce realmente al tesoro más valioso.

Un nuevo estudio del arquitecto de datos Gopinathan Rathinavelu propone una forma de conectar finalmente estos dos mundos. La investigación introduce un sistema que traza todo el recorrido que un hacker podría realizar, en lugar de limitarse a observar debilidades aisladas. Al construir un mapa digital de la red en la nube del banco, el sistema rastrea cómo un atacante podría moverse de un punto a otro, etiquetando cada paso con comportamientos de hackeo conocidos. Luego, utiliza este mapa para calcular la probabilidad real de que una brecha alcance los datos más sensibles, conocidos como las "joyas de la corona", y traduce esa probabilidad en un rango específico de posibles pérdidas financieras. El objetivo es ayudar a los bancos a decidir dónde gastar su limitado presupuesto de seguridad para detener los caminos más peligrosos, en lugar de simplemente reparar los fallos más obvios.

Los investigadores construyeron este sistema para que funcione con las complejas plataformas de datos basadas en la nube que utilizan los bancos modernos para procesar transacciones y ejecutar modelos de inteligencia artificial. Estas plataformas son vastas e interconectadas, lo que dificulta ver cómo una debilidad en un área, como una conexión de un proveedor externo, podría conducir finalmente a una brecha en el almacén de datos principal. La nueva arquitectura comienza recopilando información en tiempo real sobre la postura de seguridad del banco, los permisos de identidad y las configuraciones del sistema. Luego construye un grafo dirigido, un tipo de mapa donde los nodos representan activos y las líneas entre ellos representan los posibles movimientos que un atacante podría realizar. Cada línea está etiquetada con una táctica de hackeo específica, creando un rastro claro y auditable de cómo podría desarrollarse una intrusión.

Para dar sentido a este mapa, el sistema utiliza una forma especializada de inteligencia artificial para estimar qué tan probable es que cada paso en la cadena tenga éxito. Esto se hace cuidadosamente para asegurar que los resultados sigan siendo transparentes y comprensibles. Donde hay suficientes datos, un modelo de aprendizaje automático califica la probabilidad de una transición; donde los datos escasean, recurre a un cálculo más simple y transparente o al juicio de expertos. El sistema también utiliza modelos de lenguaje únicamente para organizar documentos no estructurados, como textos de políticas, dentro de la estructura del mapa, pero solo después de que los expertos humanos hayan verificado el trabajo. Esto asegura que la matemática central detrás del cálculo del riesgo sea inspeccionable y confiable, evitando el problema de la "caja negra" donde nadie sabe cómo una computadora llegó a su conclusión.

Una vez construido el mapa y calificada la probabilidad de cada paso, el sistema ejecuta miles de simulaciones para ver con qué frecuencia un atacante podría alcanzar las joyas de la corona. En lugar de dar un solo número, produce una distribución de las posibles pérdidas anuales, mostrando tanto el resultado más probable como los escenarios más desfavorables. Este enfoque permite a los comités de riesgo ver el panorama completo de su exposición financiera, incluyendo la "larga cola" de eventos raros pero catastróficos que un promedio simple pasaría por alto. La pieza final del rompecabezas es un optimizador que observa los controles de seguridad disponibles y sus costos. Calcula qué controles específicos, si se añadieran, reducirían más la pérdida financiera esperada. Esto significa que el sistema prioriza las reparaciones basándose en cuánto rompen el camino del atacante, en lugar de solo en cuán severa parece la debilidad individual.

Los investigadores probaron este método en una plataforma de datos en la nube simulada que imitaba a una institución financiera típica. Crearon un escenario con trece estados de activos diferentes y dieciocho posibles pasos de ataque, asignando costos realistas y pérdidas potenciales a cada uno. En esta simulación, el sistema identificó que el camino más peligroso hacia los datos más valiosos del banco no provenía de la vulnerabilidad más obvia y de alta severidad. En cambio, el mayor riesgo provenía de una cadena de pasos que involucraba la integración de un proveedor externo. Individualmente, las debilidades en este camino tenían puntuaciones de severidad moderadas, pero al encadenarse, ofrecían una ruta de alta probabilidad hacia las joyas de la corona.

Cuando los investigadores compararon este nuevo método con el enfoque tradicional de simplemente reparar primero las vulnerabilidades con mayor puntuación, la diferencia en la protección financiera fue contundente. Utilizando un presupuesto fijo de trescientos mil dólares, el enfoque tradicional basado en la severidad redujo la pérdida anual esperada en aproximadamente un cuarenta y un por ciento. En contraste, el nuevo método consciente de la trayectoria, que se centró en cortar las cadenas específicas que conducen a las joyas de la corona, redujo la pérdida esperada en un ochenta y cinco por ciento. El sistema identificó correctamente que gastar dinero en aislar al proveedor externo y rotar secretos era mucho más valioso que parchear la única falla con la calificación más alta, la cual se encontraba en un camino menos probable hacia los datos críticos.

El estudio concluye que este enfoque ofrece una poderosa herramienta de apoyo a la decisión para los bancos, cerrando la brecha entre los hallazgos técnicos de seguridad y la gestión de riesgos financieros. No reemplaza el juicio humano ni actúa de forma autónoma; más bien, proporciona un argumento claro y basado en datos sobre por qué se deben priorizar ciertos controles. Al tratar el riesgo como un viaje en lugar de una lista de puntos, el método ayuda a las organizaciones a comprender que la amenaza más peligosa es a menudo la que conecta los puntos, no la que más destaca. Aunque los resultados mostrados aquí se basan en una simulación sintética, el marco está diseñado para ser validado con datos del mundo real, ofreciando un camino hacia una gestión de riesgos financieros más precisa y efectiva en un mundo digital cada vez más complejo.