La (in)seguridad y los Estados Financieros

(Este artículo se publicó originalmente en n+1 tiende a infinito, el blog de n+1 Intelligence & Research)

En la última edición de la rooted tuve la oportunidad de participar con una ponencia titulada: "¿Y si la seguridad afectara al valor contable de la empresa?" en la que se exploraba la posibilidad de que los fallos de seguridad tuvieran reflejo en la contabilidad de las empresas, mediante una reducción del valor de su activo.

Lógicamente se trataba de un ejercicio teórico y así se comentó durante el turno de preguntas al final de la charla, pero no es menos cierto que hay más ejemplos de metodologías que están tratando de acercar la seguridad a los estados financieros. En particular, esta entrada la vamos a dedicar a comentar brevemente el Modelo de Valor de Seguridad de la Información desarrollado por Ed Ferrara (Analista Principal de Forrester en materia de riesgo y seguridad).

Básicamente el modelo trata de aportar una herramienta a los CISOs para que puedan determinar dónde invertir tomando como punto de partida la valoración de los ingresos generados por la información gestionada por la organización. Aunque no vemos muy novedoso este enfoque (al fin y al cabo, es lo que hacemos en cualquier análisis de riesgos: valorar la información y las TIC por los procesos de negocio que posibilitan), sí que nos resulta interesante la forma en la que trata la seguridad de la información como cualquier otra función de negocio y como aplica los conceptos contables a la valoración de la seguridad (depreciación, métodos de valoración, activos, pasivos, etc.). En particular respecto a los pasivos, más que considerar la información"tóxica", cuya valoración siempre resultará compleja, una estimación del pasivo como una depreciación del activo si no se encuentra bien protegido nos parece más directa y más fiable.

Lógicamente quedaría por determinar la manera en que se calcula ese nivel de inseguridad:

• ¿Qué mecanismo de valoración se utiliza? Debe ser objetivo, verificable y consistente a lo largo del tiempo.
• ¿En qué medida se deprecia el valor del activo? ¿Lineal, exponencial...?
• ¿Cuál es el rol del CISO, del CFO, del auditor interno y/o externo?
• ¿Qué ocurre con los zero days?

En definitiva, muchas incógnitas que habría que establecer / consensuar, pero que, en mi opinión, proporcionarían un esquema que, al igual que el método propuesto por Ed Ferrara, proporcionaría una guía ligada al negocio para que los CISOs pudieran tomar decisiones sobre dónde invertir en seguridad y que las áreas de negocio valoraran mejor las inversiones en seguridad.

Ya veremos cómo evoluciona la relación entre la seguridad de la información y la contabilidad de las organizaciones...

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

NOTA: Para analizar en detalle el modelo propuesto por Forrester, puedes consultar los siguientes documentos:

• "Determine the Business Value of an Effective Security Program - Information Security Economics 101", http://goo.gl/caSFOl
• "Determine the Value of Information Security Assets and Liabilities - Information Security Economics 102", http://goo.gl/SJ1DxC

Aplicar velocidad a la seguridad

Tras la lectura de "Velocidad" que comentamos la semana pasada, me hice la pregunta de si podrían aplicarse estos principios al mundo de la seguridad.

Y desde luego, hay una lectura que creo que puede ser de mucha utilidad para los profesionales de la seguridad. Derivado del principio de TOC de que lo que importa es la maximización del rendimiento del sistema en su totalidad y no los óptimos locales [y que, precisamente, es la causa principal del fracaso de Lean en la mencionada novela], los profesionales de la seguridad deberíamos preguntarnos si las medidas que estamos proponiendo contribuyen a un mayor rendimiento del sistema global (es decir, la organización en todo su conjunto) o si, por el contrario, nos estamos limitando a generar óptimos locales.

Es decir, tendríamos que centrarnos en la organización en su conjunto, identificar la limitación del sistema y:

• trabajar para que dicha limitación siempre esté operativa. Es decir, implantar los mecanismos preventivos para que dicha limitación no sufra percances, pero también medidas detectivas para identificar la materialización de incidentes y, finalmente, medidas reactivas para que el impacto sea el menor posible. Lo que en terminología TOC se denominaría subordinarse a la limitación.
• valorar las nuevas medidas en función de si contribuyen a un mayor rendimiento o a menores costes operativos o inventarios. Estas son las tres principales medidas utilizadas por TOC para la contabilidad y que, en el fondo, afectan a todas las decisiones empresariales.

En este contexto, habría que considerar que:

• Posiblemente, la limitación no estará aislada y puede ser que se vea afectada por un fallo de seguridad de algo que, no siendo propiamente la limitación, esté conectado a ella. Por ejemplo, si la limitación fuera nuestra página web, quizás podamos tener una intrusión no directamente sobre el servidor web, sino cualquier otro sistema en la misma DMZ (por ejemplo). Por tanto, tendremos que analizar vías para reducir los elementos que pueden afectar al correcto funcionamiento de la limitación del sistema.
• Existirá legislación que tengamos que cumplir y que, como condición necesaria para operar en un mercado haya que cumplir, con independencia de su relación con la limitación.

Por otra parte, es interesante como los principios de lean hablan de minimizar el despilfarro, como la "eliminación de todas las actividades que no son de valor añadido y redes de seguridad", es decir, que por aligerar los procesos no debemos hacerlos inseguros...

Finalmente, se pueden aplicar todos los principios lean a los procesos de seguridad que diseñemos, eliminando todo tipo de desperdicio: movimiento, sobreproducción, espera, transporte, procesado extra, corrección, inventario y el conocimiento desconectado. Pero sin olvidar que todo lo hacemos subordinados a la limitación del sistema...

¿Qué os parece el planteamiento? ¿Arriesgado?

... ¿todavía no me sigues en twitter.com/antonio_ramosga?

El precio del riesgo

Me ha llamado la atención las declaraciones de ayer en Cinco Días del responsable de banca de consumo de Citibank para España y Bélgica, Joel Korneich, sobre los cambios que ha sufrido el banco tras su rescate por el Gobierno de EE.UU. (32.500 millones de dólares inyectados, nada menos). Básicamente han sido dos las frases que querría resaltar, además del titular de la entrevista ("No se debería dar bonus a quien asuma riesgos altos"):

"La experiencia ha hecho que nos concentremos más en la gestión del riesgo y en la estructura de gastos de la empresa"
"Todas las áreas de los bancos tendrían que restringir su ambición y su riesgo"

Aunque suena muy bien, la verdad es que no encaja con el cortoplacismo instaurado en todos los ámbitos de nuestra sociedad actual, tanto en la política, como en la economía o en el ámbito privado. 

Para abordar realmente el problema y que las empresas no asuman riesgos excesivos (y esto aplica tanto para prácticas de negocio, como para la gestión de la seguridad) la solución debe pasar porque los usuarios y los negocios paguen por el coste real de lo que consumen y producen (al estilo de lo que propone Don Tapscott en MacroWikinomics para abordar el cambio climático y los productos ecológicos).

Es decir, los productos y servicios que no implantaran mecanismos de seguridad deberían incorporar el coste de los perjuicios que estarían creando (difusión de malware, vulneración de la privacidad de las personas, etc.) de forma que aquellos productos y servicios que sí estuvieran actuando de manera segura fueran competitivos. De esta forma, el propio mercado regularía esta situación, penalizando las actitudes demasiado arriesgadas para la sociedad en su conjunto.

Mientras esto no sea posible y las conductas arriesgadas sigan siendo rentables, va a ser difícil que lo que Joel nos propone pueda tener continuidad en el mundo actual: Los comportamientos arriesgados serán más rentables y serán los que subsistan en nuestra economía de mercado.

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

También he estado en la rooted2011

Como siempre, todo un lujo... ponentes alucinantes, organización fresca y diferente y una gran afluencia de congresistas... espero que también acepten mi paper para la rootedCON de 2012.


Por el momento, os dejo con la presentación que utilicé este año. Espero que os resulte interesante:

Asimetría en el mercado de la seguridad [rooted2011]

View more presentations from Antonio Ramos.

... ¿Todavía no me sigues en twitter.com/antonio_ramosga?

Las multas como mecanismo de seguridad

Interesante reflexión en "El Blog Salmón" sobre las multas:

Las multas deben hacer daño
Por otra parte, aunque muchos piensan que la razón por multar es aumentar la recaudación, y por qué no, al final son multados por infringir la ley, el objetivo principal real de toda multa es que tiene un efecto disuasorio para que no se repitan las infracciones. Esto no tiene efecto si el monto de la multa no tiene en cuenta la capacidad de pagar.

Me ha hecho recapacitar sobre el efecto que han tenido las sanciones de la LOPD en la cultura empresarial española. Y es que, como he comentado en varias ocasiones, hay que dar las gracias a esta ley porque si no fuera por ella pocos, muy pocos, habrían establecido medidas para proteger nuestra privacidad. Y no porque les hubiera convencido, sino por las sanciones que ha impuesto la AEPD: no entro a valorar su justicia o injusticia, me importa más el hecho de que dichas sanciones han hecho plantearse a más de uno, el coste de la inseguridad.

La posibilidad de la sanción ha modificado la ecuación en su análisis de riesgos y ha hecho que la externalidad lo sea un poco menos.

Technorati Tags: privacidad, security economics

Proyecto eCID, ¿es la certificación la única vía?

Acabo de estar leyendo en el número de noviembre de la revista SIC el artículo publicado por J. Fernando Carvajal y Carlos F. Molina sobre el Proyecto eCID.

Para los que no lo hayáis leído todavía, se trata de un proyecto de investigación a nivel nacional orientado a la mejora en la protección de las infraestructuras críticas, de hecho, su nombre es el acrónimo de "enlightened Critical Infraestructures Defense" en el que participan 12 empresas, 4 organismos de investigación y también una asociación y en el que están representados los principales actores, junto con la Administración, de este asunto: las empresas que gestionan / administran dichas infraestructuras críticas. Podéis consultar toda la información que se vaya liberando sobre el proyecto en su propia página web (enlace aquí).

De todas formas, yo no quería entrar ahora en el tema de la protección de las infraestructuras críticas (aunque sabéis que lo hemos comentado brevemente con anterioridad); en lo que quería centrar mi comentario es en el enfoque de certificación del modelo que se ha establecido en el proyecto.

No es que no me guste la idea de la certificación, sino que creo que no es suficiente para solventar la problemática existente [eso sí, es un excelente punto de partida]. El inconveniente que le veo a la certificación es que es un modelo de absolutos: o cumples o no cumples. En este sentido, no permite situaciones de 'casi cumples' o 'cumples sobradamente'. Esta circunstancia que, podría parecer trivial, tiene en mi opinión importantes consecuencias en el comportamiento de las empresas que, enfrentadas a la decisión de invertir en medidas de seguridad no tienen incentivos (en referencia a este modelo, no a su estrategia en general) para invertir más allá de conseguir el nivel mínimo requerido por la certificación, lo cual nos lleva a que el mercado no ofrezca un óptimo a sus actores [siempre considerando que los usuarios de estas infraestructuras críticas desearan tener el mayor nivel de protección posible].

Quizás deberíamos intentar buscar otras vías para resolver este problema que, al final, no es más que un problema de asimetría de información (lo que los economistas, denominamos "mercados con información imperfecta") aderezado con un poco (bastante) de externalidades negativas.

En definitiva, que me surge la pregunta de: ¿hay otra vía diferente a la certificación que nos permita conseguir los objetivos del proyecto?

NOTA: Mi más sincera enhorabuena a Fernando y a Carlos por este proyecto y a los autores de la idea por el planteamiento que han realizado.

Tags Technorati: infrestructuras críticas, eCID