Organización financiera evalúa alternativas de reducción de riesgos de robo cibernético con RiskLens

Updated: Jun 24


El Desafío


Todas las organizaciones tienen una o dos preocupaciones destacadas que generan dudas e incertidumbre. Para una gran organización financiera, esa preocupación era el robo de sus cuentas de liquidez. Una tolerancia al riesgo ya establecido y con base financiera existía dentro de la organización, sin embargo, con sus métodos cualitativos existentes, no tenían forma de entender si este evento específico probablemente excedería ese umbral. Para hacerlo, la organización necesitaba comenzar a comunicar el riesgo cibernético en términos financieros. El Director General (o CEO por su equivalente en inglés) y el Presidente de la Junta Directiva le encargaron al Director de Seguridad de la Información (CISO por sus siglas en inglés) evaluar el riesgo asociado con un evento cibernético de ese calibre que ocurriera en la organización.


La Solución


Con la ayuda del equipo de RiskLens, el CISO pudo identificar los activos específicos (cuentas de inversión y operación) en riesgo, así como el grupo de amenaza más probable para intentar el robo (ciberdelincuentes). Luego, el CISO aprovechó la plataforma RiskLens, que se basa en el estándar de la industria para cuantificar el riesgo, Análisis Factorial del Riesgo de la Información (FAIR ™ por sus siglas en inglés), para definir el alcance del trabajo y luego desarrollar las preguntas del taller.


Estas preguntas estructuradas del taller dentro de RiskLens permitieron al CISO y al equipo de analistas determinar rápidamente qué puntos de datos eran necesarios para el análisis, reduciendo efectivamente su carga de trabajo al enfocar la investigación solo en los datos que finalmente apoyarían la cuantificación de este riesgo. Luego, los analistas recopilaron los datos más relevantes sobre los factores clave de riesgo y control relacionados con la frecuencia con la que podría ocurrir el evento cibernético, incluido el número histórico de puntos de apoyo maliciosos en la organización, la segmentación de las cuentas en riesgo, el número de empleados con acceso a esas cuentas, así como los diversos controles establecidos que reducirían la probabilidad de que un ataque tenga éxito.


La segunda pregunta que el equipo necesitaba responder era el costo probable de un evento. Para hacerlo, la organización recopiló datos para comprender cuántas inversiones y cuentas operativas había, así como la cantidad de activos de capital que se tenían en cada una. Además, el equipo evaluó cuánto tiempo y energía se podría gastar para responder al evento y si era probable que haya pérdidas adicionales, como daños a la reputación o multas y juicios civiles o regulatorios.


En el transcurso de un período de tres días, el equipo pudo reunirse con el personal comercial apropiado para recopilar los datos y completar su análisis.


Después de ejecutar el análisis en la plataforma RiskLens, el CISO pudo mostrar al CEO en términos financieros, el efecto probable que un robo de cuentas líquidas de inversión y operaciónpor un ciberdelincuente tendría en la organización.


Resultados y beneficios clave


Utilizando el informe de la Curva de Excedencia de Pérdidas a continuación para explicar los resultados del análisis, la organización pudo identificar claramente que había aproximadamente un 5% de probabilidad de que el riesgo asociado con el evento excediera la tolerancia al riesgo predefinido en un año determinado. El Presidente y el CEO instruyeron al CISO para evaluar qué mejoras de control o proceso se podrían hacer para reducir este riesgo de tener una probabilidad inferior al 1% en caso de exceder el umbral en un año determinado. Después de evaluar la efectividad de los controles establecidos, el equipo rápidamente se dio cuenta de que había oportunidades para mejoras de control para reducir tanto la probabilidad de que ocurriera el evento como la cantidad de pérdida en caso de que el evento se materializara.


La siguiente tabla ilustra claramente la exposición global a pérdidas para el escenario. Los datos tabulares comunicaban el rango variable de resultados probables a la izquierda y la pérdida probable que podría materializarse para el evento.



Luego, los analistas crearon escenarios alternativos de situación futura para realizar ajustes "hipotéticos" al escenario de referencia para modelar el riesgo en caso de que la organización redujera la cantidad de activos de capital mantenidos en las cuentas de inversión y operación o implementara nuevos controles para reducir probabilidad del evento de pérdida. El informe de comparación proporcionó a la organización datos tangibles para tomar una decisión informada sobre el ROI de la inversión. En última instancia, los resultados mostraron una disminución de $ 11,000,000 en Exposición a Pérdida Anual promedio por año.

La plataforma RiskLens permitió a la organización cuantificar rápidamente la exposición a pérdidas por el robo de activos de capital en las cuentas de inversión y operación por ciberdelincuentes. Además, las entradas cuantitativas y la justificación documentada para el análisis hicieron que el proceso sea transparente para que cualquier parte interesada lo revise y lo comprenda. Más importante aún, RiskLens empoderó a la administración con datos para tomar una decisión estratégica sobre el tipo de control en el que invertir para maximizar su reducción de riesgos.




91 views

PERU

Calle las Gaviotas Nro. 109 

Surquillo, Lima, Perú

Ref: Edificio Santorini

USA

1431 Washington

Unit #906

Detroit, MI 48226

T: +1 (323) 744-0674

T: +51 661 6803

Sin título-1.png