Cyber risk quantification (CRQ) is a way of putting cybersecurity risks in objective, empirical business terms to inform strategic decisions.
Table of Contents
De acuerdo con el National Institute of Standards and Technology (NIST) el ciberriesgo se define de una o ambas de estas formas:
- “El riesgo de la dependencia de recursos cibernéticos (por ejemplo, el riesgo de depender de un sistema o de elementos de un sistema que existen de forma permanente o intermitente en el ciberespacio).”
- “El riesgo de pérdidas financieras, disrupción operativa o daños resultantes de la falla de las tecnologías digitales empleadas para funciones informativas y/u operativas que han sido introducidas a un sistema de manufactura por medios electrónicos como resultado del acceso, uso, revelación, disrupción, modificación o destrucción no autorizados del sistema de manufactura.”
Ambas definiciones aplican a la necesidad de las organizaciones para adoptar e implementar un framework proactivo de gestión de la exposición al riesgo cibernético.
What are cyber risks?
Descubrimiento
El primer paso es identificar todas las amenazas potenciales que podrían hacer daño a la organización. Esto requiere de una visibilidad completa de la superficie de ataque, la cual es la suma total de todas las formas en que los actores maliciosos podrían obtener acceso no autorizado a sistemas y a información para lanzar ataques.
Una plataforma de ciberseguridad con la capacidad de escanear la superficie completa de ataque de forma automática y continua es crucial para este paso. Una plataforma tomará en cuenta todos los activos, sistemas, aplicaciones y puntos de acceso conocidos y desconocidos, incluyendo elementos que tradicionalmente no son visibles a los equipos de seguridad como las aplicaciones de shadow IT, tecnologías de terceros y tecnologías desactualizadas u “olvidadas” que han sido omitidas de inventarios anteriores.
Evaluación
Con una vista integral de la superficie de ataque, los equipos de seguridad pueden entonces evaluar las debilidades y vulnerabilidades relativas, como las fallas de configuración, software no parchado, errores en el código y más. De acuerdo con esas vulnerabilidades, la evaluación también entonces puede determinar los tipos de ataques que podrían entonces usarse para explotarlas, ahora y en el futuro, y cuáles podrían ser las metas de esos ataques (por ejemplo, robo de información, interrupción del negocio, extorsión, etc.)
Algunos puntos clave relacionados con la evaluación:
- Idealmente, se evaluarán los riesgos para cada parte de la organización, desde las operaciones internas hasta las ventas y el servicio a cliente, pasando por la cadena de suministro, pipelines de desarrollo de software y más.
- Una vez que se terminan los pasos iniciales de la evaluación, los equipos de seguridad pueden priorizar los riesgos y los activos, determinando cuáles son de mayor valor (tanto para la organización como para los potenciales atacantes), cuáles son más vulnerables al ataque y, crucialmente para CRQ, la probabilidad de un ataque.
- En CRQ, la probabilidad se expresa a menudo como un porcentaje. Por ejemplo, el correo electrónico del CEO en una empresa de servicios financieros podría tener un 85% de probabilidad de sufrir un ataque de BEC, comparado con el 12% para el gerente de la cafetería de la misma empresa. Esta probabilidad se determina de forma estadística, usando simulaciones basadas en modelos (por ejemplo, las simulaciones Monte Carlo), y se calcula usualmente para un periodo de tiempo específico, como un trimestre o año calendario.
Cálculo
De acuerdo con la evaluación, los equipos de seguridad trabajan con los líderes de negocio para estimar el valor financiero o costo potencial de un ciberataque. Esto podría incluir penalizaciones por el no cumplimiento de leyes y regulaciones; pérdidas financieras debido a downtime, recuperación, extorsión y/o robo; daños a la reputación y pérdida de participación de mercado; demandas y más. Los factores específicos cambiarán de acuerdo con la organización y el sector. El resultado final es un número en dólares o la moneda local que exprese el riesgo para el negocio de un ciberataque.
Why does CRQ matter?
La cuantificación de riesgos cibernéticos y la puntuación de riesgos cibernéticos realizan funciones similares. Ambos presentan los riesgos cibernéticos de forma empírica y objetiva para informar la toma de decisiones estratégicas.
Mientras que CRQ calcula el valor monetario potencial de los incidentes (lo que podría costar una brecha o robo al negocio), la puntuación de riesgos cibernéticos asigna una puntuación numérica a cada riesgo y entonces la tabula para obtener una puntuación de riesgo para la organización en general.
Específicamente, la puntuación de riesgos cibernéticos involucra un proceso de dos pasos de perfilar el riesgo: determinar cuáles son los riesgos relevantes y cuáles son los controles requeridos para su gestión, y entonces asignar puntuaciones para cada riesgo de acuerdo con su urgencia relativa y su severidad potencial.
- El paso del perfilamiento depende de unos procesos de descubrimiento y evaluación lo suficientemente profundos para definir la superficie de ataque en general de una organización, y de los riesgos y vulnerabilidades que se identifiquen en esa superficie. De acuerdo con esos hallazgos, una organización entonces puede decidir cuáles son los controles que deben implementarse.
- La fase de puntuación estima el nivel potencial de riesgo y daño para cada vulnerabilidad identificada, incluyendo la posibilidad de que esa vulnerabilidad sea explotada, cuál sería su impacto y qué tan difícil sería remediar un ataque exitoso, entra otras cosas.
- Las puntuaciones de riesgo cibernético también toman en cuenta la inteligencia global de amenazas (ya sea propietaria o abierta), los ratings de seguridad y la inteligencia sobre los conocimientos de los cibercriminales sobre vulnerabilidades específicas, la dificultad de explotarlas, la frecuencia en que las explotan y otra información relevante.
Existen muchos métodos para calcular las puntuaciones de riesgo cibernético, incluyendo un framework sugerido por NIST y el modelo FAIR mencionado anteriormente.
Tanto la puntuación de riesgos cibernéticos como CRQ son un gran apoyo a la gestión de la exposición a riesgos cibernéticos, y ambos involucran pasos similares de descubrimiento y evaluación para proactivamente identificar, evaluar y priorizar los riesgos.
How does CRQ work?
CRQ involves identifying all potential cyber threats to a business, evaluating and prioritizing them to determine which are most urgent and severe, and calculating the possible business impact of a breach, attack, or loss in each case.
This aligns closely with the first two phases of attack surface management: discovery and assessment, and covers the same spectrum of digital, physical, and social/human risks, which can range from malware, weak passwords and misconfigurations, to theft, malicious insider actions, susceptibility to phishing and business email compromise (BEC) schemes, and more.
Discovery
The first step is to identify all potential threats that could harm the organization. This requires a complete view of the attack surface, which is the sum total of all ways bad actors could gain unauthorized access to data and systems to commit theft or launch attacks.
A cybersecurity platform with the ability to perform automatic and continuous scans of the full attack surface is essential for this step. A platform will account for all known and unknown assets, systems, applications, and access points—including elements that traditionally are not visible to security teams such as shadow IT applications, third-party technologies, and outdated or ‘forgotten’ technologies that have been omitted from previous inventories.
Assessment
With a comprehensive view of the attack surface, security teams can then assess relative weaknesses and vulnerabilities such as misconfigurations, unpatched software, coding errors, and more. Based on those vulnerabilities, the assessment can also then determine what kinds of attacks might be used to exploit them—now and in the future—and what the goals of those attacks might be (e.g., data theft, business disruption, ransom and extortion, etc.).
A few key points related to assessment:
- Ideally, risks will be assessed for every part of the organization, from internal operations to sales and customer services, the supply chain, cloud resources, software development (DevOps) pipelines, and more.
- Once the initial assessment steps are done, security teams can prioritize risks and assets, determining which are of the highest value (both to the organization itself and to prospective attackers), which are most vulnerable to attack, and—crucially for CRQ—the likelihood of an attack.
- In CRQ, likelihood is calculated as a probability, often expressed as a percentage. For example, the CEO’s email in a financial services firm may have an 85% probability of a BEC attack, compared to 12% for cafeteria manager in the same enterprise. This likelihood is determined statistically, using model-based simulations (e.g., Monte Carlo simulations), and is usually calculated for a specific time period, such as a business quarter or calendar year.
Calculation
Based on the assessment, security teams work with business leaders to estimate the financial value or cost of potential cyberattacks. This will include penalties for non-compliance with laws and regulations; financial losses due to downtime, recovery, extortion, or theft; reputational damage and loss of market standing; lawsuits; and more. The specific factors will vary by organization and sector. The end result is a dollar figure that expresses the business risk of a cyberattack.
How is CRQ different from cyber risk scoring?
La cuantificación de riesgos cibernéticos es un componente clave de la gestión en general de la exposición a riesgos cibernéticos. La implementación de CRQ requiere de una buena colaboración y coordinación entre los equipos de ciberseguridad y los líderes de negocio, incluyendo tener expectativas y puntos de contacto claros, una comunicación abierta y procesos bien definidos.
Las organizaciones deben escoger un modelo de CRQ (ya sea FAIR o algún otro enfoque), y adoptar herramientas de CRQ para soportar los tipos de simulaciones y cálculos que requieren. Estas herramientas deberían integrarse a una plataforma general de ciberseguridad que pueda brindar todo el contexto necesario para tomar decisiones informadas sobre los riesgos cibernéticos y su prioridad relativa.
Específicamente, eso significa una plataforma capaz de abordar todas las fases de la gestión de la exposición a riesgos cibernéticos: descubrimiento, evaluación y mitigación. La plataforma debería de incluir tecnologías de operaciones de seguridad como SIEM (Security Information and Event Management), EDR (Endpoint Detection and Response) y/o XDR (Extended Detection and Response) para lograr una mitigación de amenazas rápida y efectiva. XDR también es una fuente crucial de información, analíticos e integraciones.
Para minizar el riesgo a largo plazo y fortificar la postura de seguridad de la organización, las estrategias de zero trust también son un complemento importante para CRQ. Zero trust aplica el principio del menor privilegio a cada aspecto del ambiente de TI. Como su nombre lo sugiere, nunca se asume un grado de confianza, y se controlan fuertemente los permisos de forma que incluso los usuarios autorizados solamente tienen acceso dónde y cuándo lo necesitan directamente.
Alternatives to CRQ
CRQ is fairly recent. Many organizations still follow compliance-based risk-management models such as NIST Cybersecurity Framework (CSF). With a compliance-based approach, the focus is on maintaining conformance with regulatory requirements. CRQ tools, on the other hand, focus on putting numbers to cyber risks. Combining the two is most likely to produce the strongest cybersecurity results—in the context of an overall cyber risk exposure management strategy that’s rooted in vigilant attack surface management.
How can we implement CRQ?
Cyber risk quantification is a key component of overall cyber risk exposure management. Implementing CRQ requires good collaboration and coordination between enterprise cybersecurity teams and corporate business leaders, including clear expectations, regular touchpoints, open communication, and well-defined processes.
Organizations will need to choose a CRQ model (whether FAIR or some other approach) and adopt CRQ tools to support the kinds of simulations and calculations required. These tools should be integrated into an overall cybersecurity platform that can provide all the necessary context to make informed determinations about cyber risks and their relative priority.
Specifically, that means a platform capable of all tackling phases of cyber risk exposure management: discovery, assessment, and mitigation. The platform should include security operations technologies such as security information and event management (SIEM), endpoint detection and response (EDR), and/or extended detection and response (XDR) for fast and effective threat mitigation. XDR also is critical as a source of data, analytics, and integrations.
To minimize risk over the long term and fortify the organization’s security posture, zero-trust strategies are also an important complement to CRQ. Zero trust applies the principle of least privilege to virtually every aspect of the IT environment. As the name suggests, trust is never presumed, and permissions are tightly controlled so that even authorized users have access to resources only where and when they directly need them.
Where can I get help with CRQ?
Trend Vision One™ can support your journey of implementing CRQ practices with its Cyber Risk Exposure Management solution—allowing organizations to quantify and communicate cyber risk in business terms with ease.
This is made possible with Trend Vision One’s revolutionary approach of combining key capabilities—like External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), Vulnerability Management, and Security Posture Management—across cloud, data, identity, APIs, AI, compliance, and SaaS applications into one powerful, easy-to-use solution. It empowers you to protect your business proactively with control, clarity, and confidence.
Learn more about how Cyber Risk Exposure Management can help you with cyber risk quantification.