SECAdvisor: a Tool for Cybersecurity Planning using Economic Models

1. Problema

O planejamento de cibersegurança para empresas, especialmente Pequenas e Médias Empresas (PMEs), enfrenta um dilema crítico: como obter proteção adequada sem gastar recursos excessivos.

• Falta de Investimento e Incentivos Perversos: Muitas empresas não investem o suficiente devido à falta de conhecimento técnico, orçamentos limitados e incentivos econômicos distorcidos, tornando-as alvos fáceis para ataques generalizados.
• Complexidade Técnica e Econômica: A tomada de decisão sobre quanto investir em segurança é difícil. As empresas precisam equilibrar riscos técnicos (vulnerabilidades, probabilidade de ataque) com dimensões econômicas (valor dos ativos, perda financeira esperada).
• Dificuldade de Aplicação de Modelos: Embora existam modelos econômicos consolidados, como o modelo de Gordon-Loeb (GL), sua aplicação prática é complexa para usuários não técnicos. A necessidade de segmentação de informações e a calibração de parâmetros específicos para cada cenário de negócio tornam o processo manual e propenso a erros.

2. Metodologia

O artigo propõe e desenvolve o SECAdvisor, uma ferramenta de código aberto e visual que integra modelos econômicos de cibersegurança ao processo de planejamento. A metodologia baseia-se em três pilares teóricos e técnicos:

• Modelo Gordon-Loeb (GL) Estendido:

  • Utiliza o modelo GL para determinar o nível ótimo de investimento ($z^*$) em segurança.
  • Incorpora o conceito de Segmentação de Informação: em vez de tratar a empresa como um bloco único, o investimento é calculado por segmentos de dados (ex: banco de dados de clientes, servidor de mercado).
  • A ferramenta calcula a Probabilidade de Violação (BPF - Breach Probability Function) para cada segmento, considerando o valor do ativo ($L$) e a vulnerabilidade ($v$).
  • O objetivo é maximizar o Benefício Líquido Esperado do Investimento em Segurança da Informação (ENBIS), onde o investimento ótimo ocorre quando o benefício marginal da redução de risco iguala o custo do investimento. O modelo sugere que o investimento ótimo raramente excede 37% da perda esperada.

• Retorno sobre o Investimento em Segurança (ROSI):

  • Após calcular o investimento ótimo, a ferramenta utiliza a métrica ROSI para avaliar soluções de proteção específicas.
  • A fórmula considera a redução de risco (perda anual esperada * taxa de mitigação) menos o custo da solução, dividido pelo custo da solução.
  • Uma solução é considerada economicamente viável se $ROSI \geq 1$.

• Arquitetura do Sistema (SECAdvisor):

  • Interface Web: Desenvolvida em AngularJS, permite que o usuário defina o perfil da empresa e os segmentos de informação.
  • Camada de Segmentos: Gerencia a valoração de ativos, estimativa de riscos e vulnerabilidades por segmento.
  • Camada de Recomendação: Integra-se com o motor de recomendação MENTOR (via API REST) para sugerir medidas de proteção (ex: firewalls, antivírus) baseadas nas demandas técnicas e no orçamento calculado.
  • Camada de Dados: Utiliza MongoDB (NoSQL) para armazenar perfis de negócios, configurações de segmentos e equações do modelo GL.
  • Cálculo: Utiliza a biblioteca nerdamer para realizar as operações matemáticas complexas necessárias para resolver as equações do modelo GL e encontrar o ponto ótimo de investimento.

3. Principais Contribuições

• Ferramenta Inovadora: O SECAdvisor é apresentado como a primeira ferramenta do seu tipo a integrar modelos econômicos (GL e ROSI) de forma intuitiva e visual para o planejamento de cibersegurança.
• Automação da Valoração e Cálculo: Facilita a estimativa de valor de ativos e a aplicação de funções de probabilidade de violação, permitindo que empresas não especializadas realizem análises econômicas robustas.
• Segmentação de Informação: Implementa a abordagem de calcular investimentos por segmento de dados, permitindo uma alocação de recursos mais precisa e eficiente do que abordagens genéricas.
• Comparação de Soluções: Permite comparar diferentes medidas de proteção não apenas tecnicamente, mas economicamente, através da métrica ROSI, ajudando na seleção da solução mais custo-eficiente.
• Código Aberto e Extensível: A ferramenta é open-source, permitindo que usuários ajustem as funções de probabilidade de violação (BPF) e parâmetros conforme a realidade de seus setores.

4. Resultados e Avaliação

O artigo apresenta duas formas de avaliação: usabilidade e atividades práticas no mundo real.

• Avaliação de Usabilidade (SUS):

  • Um estudo com 13 participantes (com formação técnica) testou a ferramenta.
  • Taxa de Sucesso: A taxa geral de sucesso nas tarefas foi de 87,2%. Tarefas básicas (identificar vulnerabilidades, calcular perdas esperadas) tiveram taxas de 92-100%. Tarefas mais avançadas (ajustar parâmetros da BPF) tiveram taxas menores (69,2%), o que é esperado dada a complexidade do conceito.
  • Pontuação SUS: A ferramenta obteve uma pontuação de 82,1 na System Usability Scale (SUS), classificada como "excelente" (acima de 70 é considerado satisfatório). Os usuários relataram que a ferramenta é fácil de usar e intuitiva.

• Atividades Práticas e Educacionais:

  • A ferramenta foi utilizada em cursos de consultoria em cibersegurança (projeto CONCORDIA), com cerca de 120 participantes, e em cursos de mestrado e doutorado na Universidade de Zurique e na Escola de Doutorado NeCS.
  • Os participantes conseguiram aplicar conceitos econômicos complexos (GL e ROSI) para calcular investimentos ótimos e selecionar proteções.
  • O feedback foi predominantemente positivo, destacando a ferramenta como um recurso valioso para a educação e aplicação prática na indústria.

5. Significado

O SECAdvisor preenche uma lacuna crítica entre a teoria econômica da cibersegurança e a prática empresarial.

• Democratização do Conhecimento: Torna modelos econômicos complexos acessíveis a gestores e consultores que não são especialistas em matemática ou economia de segurança.
• Otimização de Orçamento: Ajuda as empresas a evitar o subinvestimento (que deixa vulnerabilidades expostas) e o superinvestimento (gastos desnecessários), focando recursos onde o retorno é maior.
• Foco em PME: Oferece uma solução escalável e de baixo custo para PMEs, que são frequentemente negligenciadas em estratégias de segurança devido à falta de recursos técnicos.
• Base para Futuras Pesquisas: O trabalho estabelece uma base para futuras investigações, incluindo o uso de simulações de Monte Carlo, integração de Inteligência Artificial para inferir valores de ativos e riscos, e colaboração entre setores para refinar os modelos de risco.

Em resumo, o SECAdvisor demonstra que a aplicação de modelos econômicos estruturados, quando apoiada por ferramentas de software intuitivas, pode transformar o planejamento de cibersegurança de um exercício técnico subjetivo em uma decisão estratégica baseada em dados e custo-benefício.