Modelo para la cuantificación financiera de ciber riesgos basada en la generación de escenarios para las PYMES del Perú

Abstract

Para la realización del proyecto, se llevó a cabo un proceso de investigación el cual permitió identificar una problemática actual y encontrar la causa raíz y las principales consecuencias de este. La investigación permitió conocer y comprender varias metodologías, marcos de trabajos y procesos a utilizar para poder dar solución a la necesidad determinada. Entonces, se realizó una comparativa para poder recopilar lo mejor de cada proceso para el desarrollo del modelo propuesto. Tras realizar esta comparativa se determinó que se tomaría como base la ISO 27005, el Risk IT Framework de ISACA y que el modelo constaría de 5 fases.

Luego, se realizó el diseño del modelo de cuantificación en el cual se definieron 5 fases donde se optimizaron procesos y subprocesos. Además, se diseñaron plantillas y documentación que sirvieron de soporte para poder tener una mejor comprensión del modelo y ayudar a la cuantificación de los ciber riesgos. Adicional a ello, se desarrolló un cuestionario de cuantificación el cual considero los posibles impactos reputacionales, legales, financieros y operativos de la materialización de los riesgos. Por último, se creó un escenario de pruebas y se definió el proceso para llevar a cabo la validación y cuantificar financieramente los ciber riesgos de una organización.

Para la validación del modelo de cuantificación financiera desarrollado, se llevaron a cabo reuniones con las áreas de legal, marketing, tecnología de información y el gerente general donde se presento el modeló y se explicó la importancia de tener los riesgos expresados cuantitativamente. Posterior a ello, se definió el proceso sobre el cual se haría la evaluación y se completó toda la documentación correspondiente. Los responsables de cada área de la organización completaron el cuestionario de cuantificación y se obtuvo el valor cuantitativo de los ciber riesgos. Finalmente se hizo una comparativa de los resultados obtenidos de la nueva evaluación de riesgos con los anteriores y se determinó la eficiencia de los controles actuales.

Por último, se desarrolló un proceso de mejora continua el cual permita potenciar y optimizar el modelo de cuantificación propuesto, En dicho plan se indicó los dominios que podrían ayudar a la mejora del modelo actual.

For the project realization, a research process was carried out which allowed to identify a current problem and find the root cause and the main consequences of this. The investigation allowed knowing and understanding various methodologies, frameworks and processes to be used in order to provide a solution to the determined need. Then, a comparison was made to be able to compile the best of each process for the development of the proposed model. After the comparison performed, it was determined that ISO 27005, the ISACA Risk IT Framework would be taken as a basis, and that the model would consist of 5 phases.

Then, the design of the quantification model was carried out in which 5 phases were defined where processes and sub-processes were optimized. In addition, templates and documentation were designed that served as support to have a better understanding of the model and help quantify cyber risks. In addition to this, a quantification questionnaire was developed which considered the possible reputational, legal, financial, and operational impacts of the materialization of risks. Finally, a test scenario was created, and the process was defined to carry out the validation and financially quantify the cyber risks of an organization.

For the validation of the financial quantification model developed, meetings were held with the legal, marketing, information technology and general manager areas where the model was presented and the importance of having the risks expressed quantitatively was explained. After that, the process on which the evaluation would be carried out was defined and all the corresponding documentation was completed. Those responsible for each area of the organization completed the quantification questionnaire and the quantitative value of cyber risks was obtained. Finally, a comparison was made of the results obtained from the new risk assessment with the previous ones and the efficiency of the current controls was determined.

Finally, a continuous improvement process was developed which allows to enhance and optimize the proposed quantification model. In said plan, the domains that could help to improve the current model were indicated.