Hace unas semanas, recibimos la revista de la CEA (Compañía de Expertos Autorizados). A raíz de ello surgió un debate sobre los índices (FFB, RI, BM…) y nos preguntamos si existiría un «índice cibernético» (Cyber). Nos pusimos a investigar cómo podríamos crear y proponer dicho índice.

Pero entonces, ¿qué es un índice?

Los índices, que surgieron en la era industrial —inicialmente bursátiles—, se han extendido a todas las actividades, al consumo e incluso, hoy en día, al bienestar. El primer índice bursátil, el Dow Jones, apareció el 3 de julio de 1884 en el «Afternoon News Letter». Nada de fórmulas esotéricas: simplemente tenía en cuenta los precios de cierre de 11 empresas, de las cuales 9 eran compañías ferroviarias y 2, empresas industriales.

Los índices, a menudo compuestos, son herramientas analíticas e indicadores utilizados en numerosos sectores para medir, seguir y prever tendencias o resultados.

En el ámbito de los seguros, los índices influyen en el importe de las coberturas y las franquicias. De hecho, esto permite a las partes disponer de un contrato «dinámico» que se adapta a las fluctuaciones de tal o cual índice, con franquicias y coberturas que varían «en función del índice» o incluso «hasta un máximo de X veces el índice».

Existen varios tipos de índices que se utilizan a diario; entre los más habituales se encuentran:

• El índice FFB (Federación Francesa de la Construcción) permite determinar el precio del seguro de hogar. Este índice lo publica la FFB en función del coste de construcción de un inmueble en Francia.
• El índice RI (Riesgo Industrial) mide el riesgo global asociado a instalaciones u operaciones industriales específicas.
• El índice BM (Avería de Maquinaria) se utiliza para determinar la probabilidad de avería de la maquinaria en un contexto industrial.

El uso de índices es, en el fondo, bastante acertado. Por ejemplo, si la aseguradora asume un mayor compromiso debido al aumento de un índice o de una de sus variables (por ejemplo, el coste de la construcción), es lógico que el asegurado también lo asuma; y, a la inversa, en caso de descenso, que dicho descenso beneficie a quien paga la prima.

El seguro cibernético, relativamente reciente, cubre un riesgo residual frente a amenazas muy cambiantes y, a menudo, nuevas.

En este contexto y, en términos más generales, para realizar un mejor seguimiento del riesgo cibernético, cabe plantearse la creación de un índice cibernético que permita medir, cuantificar y, en definitiva, gestionar mejor los riesgos relacionados con la ciberseguridad, al igual que se hace en la industria, la construcción o incluso en el ámbito de las averías de maquinaria.

La creación de un índice de este tipo supone un reto, siendo el primero de ellos alcanzar el consenso de todas las partes implicadas en la «seguridad informática». Ya sea a nivel operativo, estratégico, financiero, legislativo o normativo...

¡Pues ánimo y abróchense los cinturones, porque el ejercicio resulta intelectualmente interesante!

Vamos a abordar los diferentes elementos que podrían constituir nuestro hipotético índice cibernético y qué podría influir en su variabilidad.

¿Qué incluimos en esta receta?

El nivel de amenaza cibernética internacional es un elemento importante para el índice cibernético, ya que refleja el impacto global de los ciberataques que afectan a las empresas y a las economías. La inclusión del nivel de amenaza cibernética internacional en el índice puede ayudar a predecir las tendencias de los ciberataques. Por ejemplo, un repunte de los ataques de ransomware a escala mundial, como el observado con el ransomware Lockbit, debería influir en el índice, indicando un aumento de los riesgos. No obstante, habrá que establecer una escala de niveles de amenaza.

Las tensiones geopolíticas influyen directamente en el nivel de riesgo cibernético, sobre todo debido a la intensificación de los ciberataques patrocinados por Estados. De hecho, en tiempos de guerra, se observa un recrudecimiento de los ataques: algunos países y tipos de organizaciones se convierten en objetivos prioritarios, mientras que otros dejan de serlo. Por lo tanto, consideramos que el componente geopolítico es un factor importante de un índice cibernético.

El coste de la mano de obra en ciberseguridad es un componente importante, al igual que en la construcción o la industria. A menudo se representa mediante índices como el Syntec, que es un indicador de la demanda de competencias en seguridad y de la presión sobre el mercado laboral. La evolución de estos costes puede indicar tensiones en el mercado (dificultades de contratación, escasez o exceso de personal cualificado). La capacidad global de los mercados para responder a los incidentes de seguridad, y más aún en caso de un ataque sistémico, dependerá también de los recursos disponibles.

La evolución de las actividades maliciosas por sector de actividad a nivel nacional o regional nos parece igualmente relevante para elaborar nuestro índice. Esto permite ajustar el índice para reflejar los riesgos a un nivel más detallado, ofreciendo así una medida más precisa del clima de seguridad por tipo de sector de actividad. Un aumento de los ataques dirigidos al sector bancario en un país concreto podría requerir un ajuste del índice.

El precio medio de los servicios informáticos relacionados con la seguridad para las empresas es un indicador que también nos parece válido para elaborar nuestro índice. Un aumento de los precios de los servicios de respuesta a incidentes podría indicar tensiones en el mercado, ya sea debido a una fuerte demanda (a raíz de los ataques), a dificultades de contratación o a una falta de competencia entre los actores del sector.

La evolución de la media de los CVE registrados por trimestre podría constituir un componente de nuestro índice cibernético. Esta media de los CVE también podría ponderarse en función de su nivel de criticidad. Una evolución en la publicación de nuevas CVE podría reflejar un periodo de debilidades tecnológicas que provoque un mayor riesgo o una mejora de la «calidad» tecnológica.

Los costes del análisis forense proporcionan información importante sobre la complejidad y la gravedad de los ciberataques. Unos costes elevados pueden indicar ataques más complejos o dañinos, lo que influye en el índice cibernético al señalar amenazas más graves. Una serie de ataques que generen costes de análisis forense excepcionalmente elevados podría ser un indicio de un entorno de amenazas agravado, dirigido contra las grandes empresas, lo que repercutiría en nuestro índice.

Se podría considerar la inclusión de muchos otros «ingredientes», pero este breve ensayo de reflexión sobre un índice cibernético pone de relieve la complejidad y la cantidad de parámetros posibles para medir y comprender el nivel de riesgo. También con el fin de prepararnos mejor y anticiparnos en función de las tendencias. Esto no eximirá a la empresa de auditar su sistema de información 

La creación de un índice cibernético capaz de proporcionar evaluaciones fiables y pertinentes dista mucho de ser sencilla. El seguro cibernético, en su forma moderna, es reciente y carece de perspectiva histórica. La rápida aparición de nuevas tecnologías (la IA generativa, por ejemplo) plantea constantemente nuevos retos que no se habían previsto en los modelos de riesgo más antiguos.

A diferencia de los incendios o los edificios, la ciberseguridad evoluciona rápido, muy rápido. ¿Será que nuestro índice ya está obsoleto?

Quizá no, si es lo suficientemente flexible y amplio como para evitar que se ponga en tela de juicio cada año o con cada novedad. La ausencia de marcos de referencia reconocidos y compartidos a nivel mundial complica la creación de un índice válido y aceptado por la mayoría.

Mientras que algunas regiones del mundo adoptan marcos normativos estrictos, otras tienen enfoques menos rigurosos, lo que dificulta la estandarización de las medidas para hacer frente al riesgo cibernético. Desde hace algunos años, la Unión Europea intenta, a través de sus reglamentos, armonizar las distintas normas propias de cada Estado miembro. Por cierto, Francia contribuye activamente a ello. 

El índice cibernético, útil para las empresas y las instituciones, debe conciliar, por tanto, los intereses de numerosos actores, desde las empresas de seguridad informática hasta los reguladores, cada uno de los cuales tiene prioridades y objetivos a veces contradictorios.

Si superamos estos obstáculos, podemos esperar desarrollar un indicador fiable que no solo realice un seguimiento eficaz del riesgo, sino que también ayude a las empresas a gestionar su ciberseguridad.

¿Y tú, qué opinas? ¿Es pertinente plantearse la creación de un índice de ciberseguridad y, en caso afirmativo, con qué componentes?

Enlace a los índices 👉 https://www.expert-cea.com/indices