RCVaR: an Economic Approach to Estimate Cyberattacks Costs using Data from Industry Reports

Título: RCVaR: Uma Abordagem Econômica para Estimar Custos de Ciberataques Utilizando Dados de Relatórios da Indústria

1. Problema

A digitalização crescente aumentou a exposição das empresas a ciberataques devastadores. No entanto, a gestão de riscos e estratégias de cibersegurança enfrenta um desafio crítico: a dificuldade de quantificar os impactos financeiros específicos de uma empresa.

• Limitações Atuais: Abordagens existentes frequentemente falham em fornecer estimativas monetárias individualizadas e quantitativas. Muitas dependem de simulações baseadas apenas em probabilidades teóricas ou estimativas de especialistas, que podem ser enviesadas, caras e exigir recursos técnicos que PMEs (Pequenas e Médias Empresas) e até grandes corporações não possuem.
• Falta de Dados Reais: Existe uma escassez de dados públicos e ricos sobre os custos reais de violações de dados, dificultando a criação de modelos econômicos precisos. A assimetria de informações e a complexidade de medir custos intangíveis (como perda de reputação) agravam o problema.

2. Metodologia: A Abordagem RCVaR

O artigo propõe o Real Cyber Value at Risk (RCVaR), uma metodologia que estima os custos e riscos de ciberataques utilizando dados quantitativos reais extraídos de relatórios públicos da indústria, em vez de apenas simulações probabilísticas.

O processo é dividido em três camadas principais:

• Camada de Dados (Data Layer):

  • Fontes: Utiliza relatórios de consultorias e empresas de cibersegurança (principalmente Accenture, IBM, Ponemon e Kaspersky) de 2010 a 2022.
  • Extração: Emprega técnicas de visão computacional (OpenCV) e scripts Python para extrair dados de gráficos, tabelas e números brutos desses relatórios, transformando-os em um conjunto de dados estruturado.
  • Fatores de Custo: Identifica 11 fatores-chave que influenciam os custos, como setor de atuação, país, tamanho da empresa, modelo de nuvem, treinamento de funcionários, seguro cibernético e medidas de segurança (ex: MFA, IAM).

• Camada de Modelo (Model Layer):

  • Processadores de Escala (Scalers):
    • Size Scaler: Ajusta os custos com base na avaliação da empresa (usando capitalização de mercado como proxy para o tamanho).
    • Time Scaler: Ajusta os valores monetários ao longo do tempo, considerando a inflação e o valor do dinheiro no tempo.
    • Factor Scaler: Calcula "ratios" relativos para cada fator (ex: o setor bancário tem custos 48% acima da média), permitindo a personalização do custo para a empresa específica.
  • Equação de Custo: O custo estimado é calculado combinando a avaliação da empresa, fatores de desconto temporais e o produto dos ratios dos 11 fatores (Equação 1 no artigo).
  • Distribuição de Risco: Ao contrário de modelos que assumem distribuição normal, o RCVaR identifica que os custos de ciberataques seguem uma distribuição de cauda pesada. Após testes de ajuste (Kolmogorov-Smirnov), a Distribuição Gaussiana Inversa Generalizada (GenInvGauss) foi selecionada como a melhor ajuste para modelar a densidade de probabilidade dos custos.
  • Cálculo do CVaR: O Cyber Value at Risk (CVaR) é derivado dessa distribuição, representando o limite de perda econômica com um certo nível de confiança (ex: 95%).

• Interface Web:

  • Foi desenvolvida uma plataforma web (React/Flask) que permite aos decisores (mesmo sem expertise técnica) inserir as características da empresa e obter previsões de custos esperados e riscos (CVaR).

3. Principais Contribuições

1. Metodologia de Extração e Processamento: Um fluxo de trabalho robusto para extrair e processar estatisticamente informações de relatórios de cibersegurança da indústria.
2. Modelo de Estimativa Ex-Ante: Um modelo capaz de prever custos potenciais de ciberataques antes que ocorram, baseado em dados reais de negócios e medidas de segurança.
3. Cálculo de CVaR Baseado em Dados Reais: Pela primeira vez, o CVaR é calculado utilizando dados quantitativos de relatórios de segurança, em vez de estimativas de probabilidade puramente teóricas, quantificando a desvio do valor esperado.
4. Ferramenta Prática: Disponibilização de uma ferramenta web acessível para análise de custos e riscos, democratizando o acesso a modelos econômicos complexos.

4. Resultados e Avaliação

O modelo foi avaliado comparando suas previsões com dados de relatórios externos não utilizados no treinamento (avaliação "out-of-sample"):

• Precisão de Custos:
  • Ao comparar com o relatório da Kaspersky (2013), o RCVaR estimou um custo anualizado de ~$70.000 (vs. $50.000 reportado), com um erro de 44%. A análise mostrou que a discrepância deveu-se à diferença entre "custo por incidente grave" vs. "custo anualizado".
  • Ao comparar com o estudo de Woods et al. (2021), o erro foi de apenas 9% ($391k vs $428k).
  • O modelo demonstrou alta precisão ao prever custos anualizados quando alimentado com informações suficientes sobre a empresa.
• Avaliação de Risco:
  • A distribuição de custos gerada pelo RCVaR (GenInvGauss) foi comparada com distribuições de outros estudos e simulações da consultoria MARSH.
  • Os resultados mostraram formas de distribuição semelhantes, validando que o RCVaR captura adequadamente a natureza de cauda pesada dos riscos cibernéticos, oferecendo resultados de CVaR realistas.

5. Significância e Conclusão

O RCVaR representa um avanço significativo na interseção entre cibersegurança e finanças:

• Mudança de Paradigma: Transita de modelos baseados puramente em simulação e opinião de especialistas para modelos baseados em dados empíricos reais da indústria.
• Acessibilidade: Permite que empresas, especialmente aquelas sem grandes departamentos de cibersegurança, quantifiquem seus riscos financeiros e tomem decisões de investimento baseadas em dados concretos.
• Gestão de Risco: Funciona como um Indicador Chave de Desempenho (KPI) e Indicador Chave de Risco (KRI) prático, ajudando a equilibrar investimentos em segurança com a tolerância ao risco da empresa.
• Futuro: O artigo sugere que a abordagem pode ser aprimorada com mais dados, inclusão de volatilidade implícita de índices de ações de cibersegurança e integração com aprendizado de máquina (como Federated Learning) para superar a escassez de dados e preocupações de privacidade.

Em suma, o RCVaR fornece uma base sólida e economicamente fundamentada para que as empresas entendam e gerenciem o impacto financeiro real dos ciberataques.