Metodología

Resumen

Un sistema, método y aparato para medir, modelar, reducir, desarrollar, abordar y comunicar la estrategia de resiliencia al ciberriesgo es uno de los aspectos esenciales en la gestión del riesgo empresarial, ya que todas las empresas dependen directa o indirectamente de las tecnologías de la información. El riesgo cibernético puede causar un impacto financiero debido a la violación de datos, interrupción del negocio, ransomware y apropiación indebida de propiedad intelectual, fondos y servicios. Este documento contiene información pública sobre el sistema, método y aparato patentados X-Analytics de Secure System Innovation Corporation (SSIC) para medir, modelar, reducir, desarrollar, abordar y comunicar la estrategia de resiliencia cibernética Este sistema, método y aparato forma parte de la marca comercial X-Analytics y del conjunto de productos X-Analytics.Un sistema, método y aparato para medir, modelar, reducir, desarrollar, abordar y comunicar la estrategia de resiliencia cibernética, que se puede utilizar para identificar el riesgo cibernético dentro de una empresa, priorizar las contramedidas de riesgo cibernético dentro de una empresa, y la tendencia de la ruta de una empresa a la resiliencia de riesgo cibernético, y que mejora la eficiencia y la precisión de la medición y modelado de riesgo cibernético. Este sistema realiza modelos de riesgo basados en información sobre la probabilidad de amenazas, el impacto potencial en el negocio de amenazas que explotan debilidades conocidas de la tecnología de la información de la empresa, y datos sobre la eficacia de los controles (contramedidas) implementados por la empresa, que determinan puntuaciones de riesgo (para incluir, pero no limitarse a puntuaciones de riesgo residual, probabilidad de pérdida, impacto de pérdida y pérdida total esperada) para escenarios de riesgo particulares a los que puede enfrentarse la empresa.

Referencia citada

Este sistema, método y aparato para medir, modelar, reducir y abordar el riesgo cibernético es una continuación de las siguientes patentes:

Limitaciones e hipótesis

X-Analytics no puede prever todas las pérdidas posibles ni todas las probabilidades posibles. Por lo tanto, X-Analytics tiene una serie de limitaciones e hipótesis relacionadas con la determinación de la exposición cibernética, la orientación prioritaria y todas las demás determinaciones posteriores.

Aplicación técnica

Este documento se refiere en general a la medición y modelización de riesgos cibernéticos (también conocido como análisis de factores de riesgo cibernético), y más específicamente relacionado con sistemas, métodos y aparatos para mejorar la precisión en la evaluación de riesgos cibernéticos y la priorización de contramedidas de riesgos cibernéticos.Además, hemos integrado este sistema, método y aparato dentro de una aplicación basada en SaaS (basada en la nube), que mejora la eficiencia y la precisión de la medición y modelización de riesgos cibernéticos. Las aplicaciones basadas en SaaS incluyen comprobaciones de integridad y validación, garantizan que entradas idénticas determinarán resultados idénticos (dentro de una versión de software específica), reducen el error humano asociado con los métodos de modelado manuales y fuera de línea, y ofrecen todo el potencial de las capacidades de procesamiento informático para mejorar la eficiencia desde las entradas hasta los resultados determinados.

La aplicación basada en SaaS admite la noción de objetos empresariales padre e hijo, así como terceros y miembros de la cadena de suministro. La estructura padre/hijo permite la pluralidad de ciberriesgos entre unidades de negocio (o perfiles) con diferentes perfiles de ciberriesgo.

El usuario u operador de cada perfil se moverá por el proceso definido en la figura anterior. El usuario u operador de cada relación con el proveedor se moverá a través del proceso definido en la figura anterior. Los resultados de los proveedores se agregarán a la vista del perfil. Los resultados de la unidad de negocio y del proveedor se agregarán en la vista general.

Fondo

Un aspecto importante de la gestión de riesgos para las empresas es la cuestión de cómo deben asignarse los recursos de ciberseguridad y de otros sistemas de información. Muchos tipos de empresas y otras instituciones se enfrentan a amenazas de ciberseguridad y pérdidas categorizadas marcadamente diferentes, y las empresas deben ser capaces de priorizar sus presupuestos finitos y otros recursos empresariales finitos basándose en lo que prevén que son las pérdidas más probables y graves. Si no se priorizan adecuadamente los recursos para combatir las amenazas de menor prioridad, se corre el riesgo de malgastar esos recursos y de no disponer de los suficientes para hacer frente a las amenazas de mayor prioridad.

Con opciones limitadas, las empresas suelen extraer caracterizaciones del riesgo de ciberseguridad de fuentes muy subjetivas, como cuestionarios de cumplimiento y madurez, algoritmos de riesgo algo subjetivos, como la modelización del valor en riesgo, o fuentes de datos objetivas, como la supervisión de registros y los productos de protección de puntos finales. Cada una de estas soluciones representa una parte del cálculo completo del riesgo cibernético, lo que significa que pueden informar incorrectamente a una empresa.

Con las anteriores fuentes subjetivas, algoritmos subjetivos y fuentes de datos objetivos, la calificación o cuantificación del riesgo es incoherente y sólo puede representar una o dos de las tres variables de la fórmula de riesgo tradicional, expresada como Riesgo = Amenaza x Vulnerabilidad x Coste o la fórmula de riesgo modificada (expresada en las patentes estadounidenses 11.379.773, 11.282.018, 10.453.016, 10.395.201 y 9.747.570) expresada como Riesgo = Amenaza x Impacto x (1 - Eficacia del control).

Por ejemplo, una empresa puede utilizar una evaluación subjetiva del Marco de Ciberseguridad del NIST (CSF) para determinar la postura de implementación de las subcategorías del CSF del NIST (comúnmente conocidas como controles) dentro de la empresa. La evaluación NIST CSF puede indicar una puntuación de madurez (0 a 5) o una puntuación de porcentaje de implementación (0 a 100%). En cualquier caso, la puntuación de madurez o la puntuación de implementación sólo se alinea con un subconjunto de la eficacia del control y no proporciona ninguna indicación de amenaza o impacto, por lo que representa una comprensión incompleta del riesgo.

Como segundo ejemplo, una empresa puede utilizar un algoritmo subjetivo, como un simulador VaR o un simulador Monte Carlo, para determinar el impacto de un escenario cibernético específico (como el ransomware). Un simulador Monte Carlo determinará la magnitud y la frecuencia de las pérdidas. Sin embargo, un simulador de Monte Carlo requiere datos históricos (que pueden o no estar disponibles para la empresa), una lista de supuestos (que podrían basarse en la opinión de expertos o en análisis estadísticos), y la definición de un escenario de riesgo cibernético (que puede ser sólo un pequeño subconjunto de todos los riesgos). Además, un simulador Monte Carlo asume que todos los rendimientos son independientes e idénticamente distribuidos, lo que no es cierto cuando se analizan datos empíricos de impacto cibernético. En otras palabras, un simulador Monte Carlo puede contener un sesgo extremo, puede carecer de integridad y puede incluir un déficit de alcance. Incluso el sector de los servicios financieros tiene problemas con el uso de simuladores de Monte Carlo, lo que a veces se conoce como modelización VaR "sin sentido".

Como tercer ejemplo, una empresa puede utilizar una fuente de datos objetiva, como un producto de supervisión de registros, para determinar el volumen de ciberacontecimientos. La empresa puede utilizar el volumen de eventos cibernéticos para comprender mejor su perfil de amenaza. La empresa puede analizar directamente el volumen de cada evento o puede utilizar una fórmula de desviación para determinar fácilmente si los volúmenes de eventos están aumentando o disminuyendo sobre la base de un valor de referencia conocido. Aunque estos datos proporcionan un análisis objetivo de la amenaza, no proporcionan una comprensión del impacto o de la eficacia del control, por lo que representan una comprensión incompleta del riesgo.

Como cuarto ejemplo, una empresa puede decidir no medir y modelizar el riesgo cibernético. Una empresa puede no querer justificar el coste de tal solución y puede no querer entender realmente las realidades del riesgo cibernético. Sin embargo, esta falta de determinación del riesgo no elimina el ciberriesgo empresarial, ni resuelve la existencia del ciberriesgo empresarial.

Las realizaciones de X-Analytics se refieren en general a sistemas, métodos y aparatos para evaluar el riesgo cibernético dentro de un entorno empresarial, más particularmente para aumentar la calibración de modelado mediante la inclusión de datos adicionales, tales como datos históricos, datos de inteligencia de riesgo cibernético y datos específicos de la empresa, en la amenaza global, el impacto, el control y los conjuntos de datos de incidentes, mediante el uso de una serie de simulaciones automatizadas para identificar y priorizar la reducción de riesgos, y mediante el uso de análisis de tendencias para abordar el riesgo cibernético en el contexto del viaje de resiliencia de riesgo de la empresa.

En los sistemas y métodos típicos para modelar el riesgo cibernético, los operadores pueden aumentar los datos de varias maneras para ajustarlos a un resultado concreto. La manipulación de los datos erosiona la calidad y la integridad del sistema, método y aparato en su conjunto, lo que podría informar erróneamente sobre la asignación del presupuesto finito de una empresa y otros recursos finitos de la misma. Esta invención aborda directamente esta preocupación mediante el uso de conjuntos de datos objetivos y representativos y una estructura de datos fija que están fuera del control o manipulación del operador. Además, esta invención proporciona un conjunto de entradas fijas al operador para asegurar que los resultados se alinean con el perfil de la empresa.

Muchas aplicaciones de riesgo cibernético se basan en normas de cumplimiento y regulación que asumen que todos los controles son iguales, y que la violación de datos es la principal categoría de pérdida. Las realizaciones de esta invención muestran que no todos los controles son iguales, que cada empresa tiene un perfil de exposición único, y que el ransomware, la interrupción del negocio, la apropiación indebida de propiedad intelectual, fondos y servicios son categorías de pérdida relevantes junto con la violación de datos.

Resumen

Una empresa puede comprender un sistema, método y aparato mejorados para medir, modelar, reducir y abordar el riesgo cibernético. Según una realización ejemplar, dicho sistema, método y aparato pueden utilizarse para mejorar el rendimiento de uno o más sistemas, aplicaciones, procesos basados en tecnología de la información u otros perfiles empresariales (como una unidad de negocio), mejorando la eficiencia de la asignación de recursos finitos para hacer frente a diversas amenazas a uno o más sistemas, aplicaciones, procesos basados en tecnología de la información u otros perfiles empresariales (como una unidad de negocio) y mejorando la calidad de la información utilizada para gestionar las amenazas.

Sistema, método y aparato X-Analytics

X-Analytics representa un sistema, método y aparato mejorados para la medición, modelización, reducción y tratamiento del riesgo cibernético. El operador (u operadores) de la empresa proporciona elementos de entrada en la sección de medición y reacciona a los resultados proporcionados en los sectores de reducción y tratamiento. Todo el sistema, método y aparato, cuando se construye dentro de una aplicación basada en SaaS, proporciona un medio de automatización que se alinea estrechamente con una velocidad de amenaza en constante cambio, y proporciona a una empresa un medio para asignar el presupuesto finito y otros recursos finitos de la empresa durante todo el viaje de resiliencia al riesgo.

A modo de ejemplo, otras realizaciones descritas en el presente documento ampliarán la sección de medición.

Debido al diseño dependiente y secuencial de este sistema, método y aparato, incluso una ligera modificación en la sección de medición tendrá una asociación directa en la alteración de los resultados determinados observados en las secciones de reducción y tratamiento del riesgo. Basado en datos históricos y datos de inteligencia de riesgo cibernético, hay un cambio constante en la amenaza, impacto, control y pérdida, lo que significa que hay un cambio constante en el riesgo inherente, riesgo residual, pérdida esperada y búsquedas de pérdida. Como se indica en los Antecedentes, cada empresa necesita una comprensión adecuada del riesgo cibernético para priorizar eficazmente el presupuesto finito y otros recursos finitos de la empresa hacia mecanismos de remediación y transferencia de riesgos. Este sistema, método y aparato contempla la forma en que una empresa toma tales decisiones y, además, compara esas decisiones a través de los modelos colectivos (tal como se definen en el sistema X-Analytics). A modo de ejemplo, una decisión aislada del modelo de amenaza puede asignar mal el presupuesto finito, mientras que una decisión del modelo de pérdida esperada refina tal decisión y proporciona un mejor medio de priorización y uso del presupuesto finito.

Descripción detallada

La siguiente descripción y los diagramas, tablas y capturas de pantalla relacionados revelan aspectos del sistema X-Analytics, dirigidos a realizaciones específicas del sistema X-Analytics. Sin apartarnos del espíritu ni del alcance del sistema X-Analytics, podemos idear otras realizaciones. Además, no hemos descrito en detalle elementos bien conocidos de realizaciones ejemplares del sistema X-Analytics para no oscurecer los detalles relevantes del sistema X-Analytics. Además, para facilitar la comprensión de la descripción, a continuación se describen varios términos utilizados en el presente documento. Las realizaciones aquí descritas no son limitativas, sino meramente ejemplares. El lector de este documento no debe interpretar necesariamente las realizaciones descritas como preferidas o ventajosas sobre otras realizaciones. Además, describimos aquí muchas realizaciones en términos de secuencias de acciones llevadas a cabo por, por ejemplo, elementos de la aplicación basada en SaaS X-Analytics. El contenido siguiente amplía el sistema X-Analytics, tal como se describe en el resumen, y amplía las patentes estadounidenses 11.379.773, 11.282.018, 10.453.016, 10.395.201 y 9.747.570.