Riesgo y Controles: Las Matemáticas de la Seguridad

Objetivo de esta Guía

Aprender la habilidad más escasa en el mercado laboral técnico: Hablar el lenguaje del Dinero.

Si eres un Ingeniero de Ciberseguridad y vas a la oficina del Director Financiero (CFO) a pedirle $100,000 dólares para comprar un Firewall nuevo porque "los hackers rusos usan una vulnerabilidad TCP/IP", el CFO te ignorará por completo.

La forma correcta de hacerlo es ir a su oficina y decirle: "Si no compramos este Firewall, tenemos un 40% de probabilidad matemática de perder $500,000 dólares este año". El CFO te dará el cheque inmediatamente. Por qué esto importa: porque los ejecutivos solo entienden un idioma, y no es el técnico.

A esto se le llama Gestión de Riesgos.

Esta guía cubre la filosofía del riesgo, el análisis cuantitativo (SLE, ARO, ALE), el análisis cualitativo, los tipos de controles, los marcos de gestión de riesgos, y cómo los atacantes explotan una mala evaluación de riesgos.

---

1. La Filosofía del Riesgo

Regla #1: Es físicamente imposible eliminar el 100% del riesgo.

Incluso si desconectas la computadora de internet, la metes en una caja fuerte y la tiras al fondo del mar (aislamiento total), existe el "riesgo" de que un submarino ruso la encuentre. Suena ridículo pero la idea es esa.

El objetivo corporativo no es eliminar el riesgo, es Gestionar el Riesgo para que, cuando el ataque inevitablemente ocurra, la pérdida financiera sea aceptable para el negocio.

Componentes del Riesgo

El riesgo de seguridad de la información se define como:

Riesgo = Amenaza x Vulnerabilidad x Impacto

• Amenaza (Threat): Algo que puede causar daño. Ej: Un hacker, un ransomware, un terremoto, un empleado descontento.
• Vulnerabilidad (Vulnerability): Una debilidad que la amenaza puede explotar. Ej: Un servidor sin parche, una contraseña débil, una política de backups inexistente.
• Impacto (Impact): La consecuencia financiera u operativa si la amenaza explota la vulnerabilidad. Ej: $500,000 en pérdida de ventas, 24 horas de inactividad, fuga de datos de 1 millón de clientes.

Ejemplo práctico:

• Amenaza: Grupo ransomware LockBit.
• Vulnerabilidad: Servidor de bases de datos sin parchear contra una vulnerabilidad crítica hipotética.
• Impacto: $2 millones en pérdida de ventas durante el tiempo de inactividad + $500,000 en reputación.
• Riesgo: Si la probabilidad de explotación es del 20%, el riesgo financiero es de $500,000 anuales.

Apetito y Tolerancia al Riesgo

• Apetito al Riesgo (Risk Appetite): Cuánto riesgo está dispuesta a aceptar la empresa en busca de sus objetivos. Una startup fintech tiene un apetito de riesgo alto (quiere crecer rápido). Un banco tradicional tiene un apetito de riesgo bajo (prioriza estabilidad).
• Tolerancia al Riesgo (Risk Tolerance): La variación aceptable alrededor del apetito de riesgo. Ej: El banco tolera un máximo de 1 hora de inactividad al año (tolerancia: 0.01% de downtime).

---

2. Análisis de Riesgos: Metodologías

Análisis Cuantitativo

Usa números concretos (dinero, probabilidades). Produce resultados objetivos.

SLE (Single Loss Expectancy) - El Costo de un Choque

¿Cuánto dinero pierde la empresa si ocurre un ataque una sola vez?

• Ejemplo: Si un ataque de Ransomware encripta tu servidor de ventas, calcularás que las ventas perdidas por 2 días y el daño reputacional suman exactamente $50,000 dólares. Eso es el SLE.

Cálculo detallado del SLE:

Para calcular el SLE correctamente, debes considerar:

• Pérdida de productividad: 200 empleados × $50/hora × 16 horas de inactividad = $160,000
• Pérdida de ventas: $100,000/día × 2 días = $200,000
• Costo de restauración: Honorarios del equipo de respuesta + consultores forenses = $50,000
• Multas regulatorias: GDPR ($30,000), PCI DSS ($10,000) = $40,000
• Daño reputacional: Estimación de clientes perdidos × valor de cliente = $50,000
• SLE Total: $500,000

ARO (Annual Rate of Occurrence) - La Probabilidad

¿Cuántas veces creemos que va a ocurrir este ataque en un año?

• Ejemplo: Basado en los reportes de la industria, sabemos que las empresas de nuestro tamaño sufren un ataque de Ransomware exitoso una vez cada 10 años. Es decir, la probabilidad anual (ARO) es del 10% (0.1).

Fuentes para estimar ARO:

• Reportes de la industria: Verizon DBIR (Data Breach Investigations Report), Mandiant M-Trends, IBM Cost of a Data Breach.
• Datos internos históricos: ¿Cuántas veces nos han atacado en los últimos 5 años?
• Intelligence feeds: Amenazas activas contra nuestro sector industrial.

ALE (Annualized Loss Expectancy) - El Presupuesto Máximo

Esta es la fórmula de oro: ALE = SLE x ARO

• Matemática: $500,000 x 0.1 = $50,000 dólares.
• La Decisión: Matemáticamente, tu riesgo financiero anual por Ransomware es de $50,000 dólares.
• El ROI: Un vendedor toca a la puerta de tu empresa y te ofrece un Antivirus Anti-Ransomware corporativo de última generación por $15,000 dólares al año. ¿Lo compras?
• La Respuesta: ¡SÍ! El control cuesta $15,000 y la pérdida esperada es de $50,000. El ROI es positivo: por cada dólar gastado, evitas $3.33 en pérdidas.

Análisis Cualitativo

Usa escalas subjetivas (Alto, Medio, Bajo) en lugar de dinero. Es más rápido y útil cuando no hay datos históricos.

Matriz de Riesgo Cualitativo:

Impacto \ Probabilidad	Baja	Media	Alta
Alto	Medio	Alto	Crítico
Medio	Bajo	Medio	Alto
Bajo	Bajo	Bajo	Medio

Ejemplo de evaluación cualitativa:

• Amenaza: Fuga de datos por error humano. Probabilidad: Alta. Impacto: Alto. Riesgo: Crítico.
• Amenaza: Terremoto en el centro de datos. Probabilidad: Baja. Impacto: Alto. Riesgo: Medio.

Comparación Cuantitativo vs Cualitativo:

Aspecto	Cuantitativo	Cualitativo
Datos necesarios	Históricos, financieros	Opinión de expertos
Precisión	Alta (números)	Baja (subjetivo)
Tiempo requerido	Semanas	Horas
Comunicación con ejecutivos	Excelente (dinero)	Buena (colores)
Útil para	Empresas grandes con datos	Startups, PYMES

---

3. Las Opciones para Tratar el Riesgo

Cuando la empresa identifica un riesgo, no siempre tiene que mitigarlo. Tiene 4 opciones estratégicas:

1. Mitigar el Riesgo: Comprar el Firewall o el Antivirus para reducir la probabilidad del ataque.

Ejemplo técnico de mitigación:

• Riesgo: SQL Injection en aplicación web.
• Control mitigante: Implementar WAF (Web Application Firewall) + parámetros preparados (prepared statements) en el código.
• Efecto: Reduce la probabilidad de explotación de 80% a 5%.

2. Evitar el Riesgo: "Si vender en China nos genera un riesgo muy alto de espionaje, simplemente cerramos las oficinas en China y dejamos de operar ahí."

Cuándo evitar: Cuando el riesgo supera cualquier beneficio potencial. Ej: Una empresa de defensa decide no usar software de código abierto de países hostiles.

3. Transferir el Riesgo: ¿Tienes miedo de que un ataque de Ransomware te cueste 5 Millones de dólares? Transfiere el riesgo pagándole $100,000 al año a una aseguradora cibernética (Ciberseguro). Si te hackean, ellos pagan.

Tipos de transferencia de riesgo:

• Cyber Insurance: Póliza que cubre pérdidas por ataques cibernéticos (ransomware, fuga de datos, interrupción del negocio, costos legales).
• Contratos con proveedores: El proveedor cloud asume la responsabilidad por la seguridad de la infraestructura (shared responsibility model).
• Outsourcing: Contratar un MSSP (Managed Security Service Provider) para que opere el SOC. El riesgo operativo se transfiere parcialmente.

Limitaciones del Cyber Insurance:

• Las primas han aumentado 300-500% desde 2020 debido al aumento de ransomware.
• Las aseguradoras ahora exigen controles mínimos (MFA, backups offline, EDR) antes de emitir una póliza.
• Exclusiones: Ataques de estados-nación, guerra cibernética, infraestructura crítica.
• Deducibles altos: $250,000 - $1,000,000 en pólizas grandes.

4. Aceptar el Riesgo: Como vimos en el cálculo de arriba, si el parche de seguridad cuesta más que el impacto del hackeo, la empresa firma un documento legal aceptando vivir con el riesgo.

Aceptación formal: La aceptación debe documentarse y firmarse por el dueño del riesgo (no por el CISO). El dueño del riesgo (generalmente el VP del área de negocio afectada) reconoce por escrito que entiende el riesgo y decide no invertir en mitigación.

---

4. Tipos de Controles de Seguridad

Los controles se clasifican por su función y su naturaleza:

Por Función

Tipo	Función	Ejemplo
Preventivo	Evita que el ataque ocurra	Firewall, MFA, políticas de seguridad, parches
Detectivo	Detecta que el ataque ocurrió	IDS, SIEM, logs, monitoreo de integridad de archivos
Correctivo	Repara el daño después del ataque	Backups, DRP, parches de emergencia
Disuasivo	Desalienta al atacante	Cámaras de seguridad, avisos legales, honeypots
Compensatorio	Alternativa cuando el control principal no es posible	WAF como compensación por no poder parchear una vulnerabilidad

Por Naturaleza

• Técnicos: Firewalls, cifrado, EDR, SIEM, MFA.
• Administrativos: Políticas, procedimientos, entrenamiento, concientización, segregación de funciones.
• Físicos: Cerraduras, guardias de seguridad, CCTV, control de acceso biométrico, racks con llave.

Marcos de Controles

NIST SP 800-53 (Rev. 5):

• 20 familias de controles (Access Control, Awareness and Training, Audit and Accountability, Configuration Management, etc.).
• Más de 1,100 controles individuales.
• Utilizado por agencias federales de EE.UU. y contratistas.

CIS Controls (CIS Critical Security Controls):

• 18 controles priorizados. Diseñados para ser prácticos y accionables.
• CIS Control 1: Inventario y control de activos empresariales.
• CIS Control 6: Gestión de acceso, autenticación y MFA.
• CIS Control 7: Gestión continua de vulnerabilidades.
• CIS Control 18: Pruebas de penetración y ejercicios de equipo rojo.

ISO 27001:2022 Anexo A:

• 93 controles en 4 dominios (Organizacional, Personas, Físico, Tecnológico).

---

5. El Proceso de Gestión de Riesgos

Paso 1: Identificar Activos y su Valor

No puedes proteger lo que no sabes que existe. El primer paso es hacer un inventario de activos:

• Activos de información: Bases de datos, documentos, propiedad intelectual, código fuente.
• Activos de software: Aplicaciones, sistemas operativos, herramientas.
• Activos de hardware: Servidores, laptops, dispositivos de red, equipos de backup.
• Activos de personas: Empleados con conocimiento crítico.

Paso 2: Identificar Amenazas

Listar las amenazas relevantes para cada activo:

• Cibercriminales (ransomware, phishing, DDoS).
• Insiders maliciosos (empleados descontentos, ex-empleados).
• Errores humanos (configuración incorrecta, borrado accidental).
• Desastres naturales (incendio, inundación, terremoto).
• Fallas técnicas (corte eléctrico, falla de hardware, bug de software).
• Proveedores (quiebra, breach de seguridad del proveedor).

Paso 3: Identificar Vulnerabilidades

Evaluar qué debilidades existen:

• Escaneo de vulnerabilidades (Nessus, Qualys, OpenVAS).
• Pruebas de penetración (pentesting anual/trimestral).
• Auditorías de configuración (CIS benchmarks).
• Revisión de código (SAST/DAST).
• Evaluación de procesos (falta de políticas, entrenamiento insuficiente).

Paso 4: Evaluar el Riesgo (Análisis)

Asignar probabilidad e impacto. Priorizar con una matriz de riesgo.

Paso 5: Tratar el Riesgo

Seleccionar una de las 4 opciones (Mitigar, Evitar, Transferir, Aceptar). Documentar en un Plan de Tratamiento de Riesgos.

Paso 6: Monitorear y Revisar

El riesgo no es estático. Nuevas amenazas surgen, los activos cambian, los controles se degradan. El monitoreo continuo es esencial.

Frecuencia de revisión:

• Riesgos críticos/altos: Revisión trimestral.
• Riesgos medios: Revisión semestral.
• Riesgos bajos: Revisión anual.

---

6. El Ángulo del Hacker

Un atacante explota la mala gestión de riesgos de las siguientes formas:

• Explotar la asimetría: El atacante solo necesita encontrar una vulnerabilidad. El defensor necesita proteger todas. Si la empresa evaluó mal sus riesgos (subestimó la probabilidad de un ataque a un sistema específico), el atacante encuentra ese punto débil.
• Atacar donde duele más: Un atacante investiga qué sistemas son críticos para el negocio. Si la empresa no segmentó correctamente, el atacante golpea el sistema más sensible (base de datos de clientes, sistema de pagos) y maximiza el impacto.
• Explotar riesgos aceptados: La empresa aceptó el riesgo de tener RDP expuesto a internet (costo de mitigación > pérdida esperada). El atacante sabe que RDP expuesto es vulnerable a fuerza bruta (CVE-2019-0708 BlueKeep) y lo explota.
• Ataque a la cadena de suministro: La empresa evalúa su propio riesgo pero no el de sus proveedores. El atacante compromete a un proveedor pequeño (con peor seguridad) y lo usa como puerta de entrada.
• Ataque fuera del horario de monitoreo: Si el SOC solo opera en horario laboral (riesgo aceptado por la empresa), el atacante programa el ataque para las 3:00 AM del sábado.

---

7. Herramientas para la Gestión de Riesgos

• RSA Archer: Suite de GRC empresarial. Gestión de riesgos, cumplimiento, auditoría, TPRM.
• ServiceNow GRC: Plataforma integrada con el ecosistema ServiceNow. Gestión de riesgos, políticas, auditoría.
• RiskLens: Plataforma de análisis de riesgos basada en FAIR (Factor Analysis of Information Risk). Cuantificación financiera del riesgo.
• SimpleRisk: Herramienta open-source de gestión de riesgos. Ideal para PYMES.
• Eramba: Plataforma de GRC open-source. Gestión de riesgos, cumplimiento, políticas, auditoría.
• Excel: La herramienta más usada (aunque peligrosa). Plantillas de matriz de riesgo, registro de riesgos, plan de tratamiento.

---

8. Criterio de Dominio (Autoevaluación)

Revisa si puedes administrar el presupuesto de una corporación:

1. Un Analista de Inteligencia de Amenazas reporta que una nueva Botnet está atacando servidores en todo el mundo y recomienda invertir de inmediato. Usando la filosofía de "Gestión de Riesgos", ¿Por qué el Director Financiero debe primero calcular el ALE (Expectativa de Pérdida Anual) antes de aprobar la compra de cualquier hardware de defensa?

2. La Base de Datos principal de la empresa guarda todas las tarjetas de crédito de los clientes (Valor estimado de pérdida por robo: $10,000,000 USD). El CISO decide implementar "Cifrado en Reposo" para hacer la base de datos indescifrable si es robada. ¿A cuál de las 4 opciones de tratamiento de riesgo (Mitigar, Evitar, Transferir o Aceptar) corresponde esta acción técnica?

3. Una empresa de zapatos pequeña analiza que el costo total de recuperarse de un ataque DDoS sería de solo $2,000 dólares al año en ventas perdidas. Sin embargo, el servicio de protección Anti-DDoS cuesta $10,000 dólares al año. Como gerente de GRC, ¿Qué estrategia de tratamiento de riesgo adoptarías y cómo lo justificarías matemáticamente?

4. El Seguro Cibernético (Cyber Insurance) se ha vuelto extremadamente popular en las grandes corporaciones. Explica la lógica financiera detrás de la estrategia de "Transferencia de Riesgo" y cómo esto ayuda a la empresa a evitar la quiebra tras un ataque masivo de Ransomware.

5. Un CISO realiza un análisis de riesgos cualitativo y clasifica el riesgo de "fuga de datos por error humano" como "Crítico" (Probabilidad: Alta, Impacto: Alto). Sin embargo, el CFO rechaza invertir en controles. Explica cómo un análisis cuantitativo (cálculo de SLE, ARO, ALE) podría comunicar el riesgo de manera más efectiva al CFO.

6. Una empresa implementa MFA para todos los empleados (control preventivo), pero no tiene logs de autenticación (ausencia de control detectivo). Un atacante compromete una cuenta con MFA mediante un ataque de "fatiga MFA" (MFA bombing). Explica por qué la falta de un control detectivo (logs, alertas de múltiples solicitudes MFA) permite que el ataque pase desapercibido hasta que es demasiado tarde.