Cisnes Negros daba por descontado que todos los … Negros... · Usar, en sistemas y entornos...

Isaca Madrid Chapter -- 13 de Noviembre de 2013

Cisnes Negros

Aproximación a la gestión de este tipo de Riesgos.

“Hasta el descubrimiento de Australia, se daba por descontado que todos los cisnes eran blancos porque así lo eran en el Viejo Mundo”



Indice

1. Cisnes negros: ¿Qué son? Ejemplos

2. Cisnes negros y metodologías de A.R

3. Estadística y modelos matemáticos.

4. Estrategias para gestionar cisnes negros

5. Infraestructuras críticas, caso especial

6. Salvaguardas particulares a aplicar

7. Descubrir Cisnes Negros.

8. Conclusiones


1.Definición de Cisne Negro

• Según Nicholas Taleb, que fue el primero que investigó en profundidad este tipo de eventos (Cisnes Negros), para que un fenómeno se pueda considerar un evento tipo “Cisne Negro” tienen que darse tres condiciones:

1. El evento es sorprendente, no había ocurrido hasta entonces y muy pocos (o nadie) podrían haber pensado que podría ocurrir.

2. El impacto es enorme, extremo (positivo o negativo).

3. Una vez ocurrido, la explicación de por qué ocurrió y el mecanismo de cómo podría haber sido predicho es relativamente simple.

• Un “Cisne Negro” por tanto, en el contexto del Análisis de Riesgos se puede definir como una amenaza/oportunidad que no ha ocurrido antes (y que además ni siquiera se contempla), cuyo impacto es muy grande.

• Ejemplos de Cisnes Negros: Negativos: Ataque de las Torres Gemelas. Positivos: Boom de Internet y la web2.0.

• Concepto de Cisne Gris: Suceso que se sabe que puede ocurrir, pero es muy poco probable (ejemplo, un Tsunami, un terremoto, etc.).


2.Cisnes negros y Análisis de Riesgos • Las diferentes metodologías de Análisis de Riesgos elaboran para la toma

de decisiones (nivel de riesgo que asumen, salvaguardas, etc.) un Mapa de Riesgos.

• El Mapa de Riesgo sitúa los riesgos por impacto y probabilidad de ocurrencia (normalmente la probabilidad se asimila a su frecuencia estudiada).



2.Cisnes negros y Análisis de Riesgos • Como podemos ver, con metodologías estándar de Análisis de

Riesgos, los cisnes negros no entrarían siquiera en el mapa de riesgos o lo harían como mucho a un nivel en el que la mayoría de organizaciones lo despreciarían.

• La cuestión es: ¿Merece la pena modificar las metodologías de Análisis de Riesgos actuales para introducir este tipo de “fenómenos raros” y darles un tratamiento adecuado?

• En el punto 4 veremos diversas consideraciones y estrategias.

• Lo primero será poder predecir estos fenómenos y situarlos correctamente en un Mapa de Riesgos con una metodología acorde.


3.Estadística y Modelos matemáticos • Estadísticamente, un Cisne Negro no tiene frecuencia a

priori, por lo tanto, no puede estudiarse con técnicas estadísticas.

• Los humanos no tenemos capacidad de predecir sucesos raros porque estamos acostumbrados a pensar “determinísticamente”, es preciso recurrir a los modelos de simulación matemáticos de tipo dinámicos y estocásticos.

• Ejemplo habitual de este tipo de modelos es la predicción meteorológica, dinámico porque varía en el tiempo y estocástico porque tiene una componente de azar a pesar de existir reglas.

• La Teoría del Caos establece que pequeñas perturbaciones en este tipo de sistemas pueden producir consecuencias tremendamente diferentes que las mismas perturbaciones en sistemas deterministas


4.Estrategias para gestionar cisnes negros

• No podemos predecir de forma sencilla un evento de este tipo pero sí podemos adivinar el impacto y usar estrategias de mitigación del impacto, ahí entra en juego la Continuidad de Negocio y el tener actualizados y a punto todos los planes que conlleva (DRP, Plan de Contingencia, Formación, Pruebas, etc.).

• No podemos predecir lo que no podemos imaginar, pero sí podemos establecer lo que es normal, y detectar cuándo hay un cambio de patrón de la normalidad (aunque todavía no haya ocurrido ningún evento con gran impacto) y saltar las alertas para tener preparadas las medidas de reacción. Algo así como los niveles de alerta DEFCON del Ministerio de Defensa en USA.


5.Infraestructuras Críticas, caso especial

• Un negocio puede soportar quizás la destrucción material de una sede, pero un país no puede soportar la muerte de miles de personas o la paralización de servicios públicos esenciales (caso de las Torres Gemelas, por ejemplo).

• El “apetito por el riesgo” típico empresarial no es de aplicación en el caso de servicios públicos esenciales e infraestructuras críticas.

• Los Mapas de Riesgos deben elaborarse en base a criterios de servicio público y no a objetivos de negocio.

• Las Metodologías estándar de A.Riesgos no sirven o deben ser modificadas para incluir este enfoque.

• En Infraestructuras críticas, tiene mayor ponderación el impacto que la frecuencia. De hecho, se establecen probabilidades empíricas, no basadas en estadísticas. (Por ejemplo, jamás ha habido una guerra nuclear, pero los gobiernos se preparan ante esta posibilidad)


6.Salvaguardas particulares a aplicar

• Sacar a flote los “Cisnes Grises” en el Análisis de Riesgos: ▫ Realizar un análisis de riesgos usando un catálogo de amenazas no basado en lo

que ha ocurrido ya, sino incluyendo lo que puede ocurrir, siempre que sea posible (CISNES GRISES).

▫ No tomar la frecuencia por la probabilidad, si queremos sacar a la luz los Cisnes Grises. Realizar una estimación si no es posible basada en modelos matemáticos, al menos en la estimación subjetiva de la probabilidad, nunca asignar el valor 0 directamente.

▫ Primar el impacto antes que la probabilidad. No usar directamente la fórmula habitual de R=IxP, dar un mayor peso al impacto (¿que tal usar P al cuadrado?).

▫ Nota: La versión 3 de MAGERIT usa esta versión corregida de impacto y probabilidad para aflorar estos eventos de Cisne Gris.



• Sacar a flote las vulnerabilidades ocultas (cisne negro a cisne

gris) ▫ Realizar auditorías periódicas para evidenciar qué debilidades en los sistemas

pueden introducir AMENAZAS OCULTAS con GRAN IMPACTO (Por ejemplo, puertas traseras en los sistemas, ausencia de control durante algunos períodos de tiempo como el cambio de turno de vigilantes, mantenimiento de sistemas, etc.).

▫ Usar, en sistemas y entornos realmente críticos, Test de intrusión, ingeniería social, etc. con equipos externos entrenados en ello. Equipo rojo/Equipo negro.

▫ Contratar personal de seguridad con aptitudes “sanamente paranoicas”, capaces de detectar cambios relevantes que pueden conducir a incidentes graves.

• Usar sistemas de detecccion temprana y reacción inmediata. ▫ Detectar lo antes posible cuando está ocurriendo un IMPACTO alto en un

sistema y poder controlarlo antes de que pase a un estadío más severo (Contener el desastre).

▫ Para ello, debemos haber al menos esbozado una idea de lo que puede llegar a ocurrir (punto anterior).

▫ Definir nivel de Alerta



• Umbrales de Alerta y medidas de protección.

▫ Usar Anomaly Detection Systems para establecer grados de alteración de la “Normalidad”

▫ Revisar dinámicamente la estimación de probabilidad de los “Cisnes Grises” en base a la introducción como input de estas

▫ Una vez determinado un grado de anomalía sustancial, subir el nivel de alerta (similar a como hacen los CERTS respecto a las alertas Antivirus).


7.Descubrir Cisnes Negros

• Los humanos somos deterministas por naturaleza, dado que es lo que nos hace prevenir los riesgos más habituales. Normalmente pensamos que todo lo que nos rodea se rige por una serie de patrones o secuencias que, aunque complejos, pueden llegar a ser predecibles.

• La teoría del caos, sin embargo, dice que hay sistemas que, aunque similares, con diferencias mínimas en las condiciones iniciales, acaban siendo no deterministas (el llamado efecto mariposa).

• Hay personas especialmente dotadas para captar cambios sutiles de comportamiento en patrones aparentemente deterministas. Otras, sin embargo, no detectan estos cambios hasta que están muy avanzados y difícilmente abordables. Los animales son más intuitivos que los humanos ante catástrofes naturales.



• La cuestión es: ¿Se puede saber que algo distinto, importante, está ocurriendo o va a ocurrir? Si es así, ¿cómo?

▫ Evitar errores del Pensamiento Determinista: Dado que la probabilidad de un suceso está condicionada por las causas que la desencadenan, una vez que se ha dado una de estas causas, la probabilidad de que el suceso ocurra es mayor. ¿Es esto válido? Sí pero hay que tener cuidado de no caer en la “Navaja de Ocam” o pensamiento de que la causa más probable es siempre la que realmente ocurre, aunque así sea a menudo.

▫ Pensamiento Lateral (romper el determinismo): ¿Se están escapando causas triviales con gran impacto?



▫ Pensamiento Lateral (romper el determinismo): ¿Se están escapando causas triviales con gran impacto?

▫ Evitar los fallos por falta de consideración de todas las causas que pueden incidir en un fenómeno por muy absurdas que parezcan.

▫ Para producir buenas ideas usar técnicas de “braimstorming” ya que a menudo los árboles no nos dejan ver el bosque y es preciso incluir opiniones no viciadas.

▫ Usar la máxima de Groucho Marx: “Esto es tan simple que lo resolvería un niño de 4 años. Que me traigan uno para que me diga cómo”. A veces las cosas más simples escapan de nuestro pensamiento de adultos condicionados.


8.Conclusiones

• ¿Paranoico, visionario o simplemente mejor informado?

• Información es poder: Un pavo, que no sabe que será cenado en Acción de Gracias es alimentado y cuidado durante los cien días precedentes. Luego es ejecutado. Para él, su ejecución es un evento “Cisne Negro”, una sorpresa brutal. Para su matarife no, ya que sabía cuándo se lo iba cenar.

• Pensar en concreto-abstrato: Generalmente, la gente que ha experimentado más tiempo un fenómeno tiende a crear relaciones causa-efecto que no son tales, son sólo temporales derivadas de varias experiencias. Se tiende a generalizar en exceso.

• Ejemplo: Un turista y un matemático en un tren en Escocia. Ven por la ventanilla una oveja negra. El turista dice al matemático: “Anda, las ovejas en Escocia son todas negras. El matemático corrige: No, al menos una oveja en Escocia tiene un lado negro”.


8.Conclusiones

• ¿Hasta dónde hay que introducir los Cisnes Negros en nuestra Gestión de Riesgos?

• Cisnes Negros Negativos: Como norma general, a la hora de considerar riesgos, hay que introducir

siempre el y si… Pero a la hora de tomar salvaguardas con coste elevado, hay que tener en cuenta el dicho de que “No salga más caro el collar que el perro”.

Hay que tener en cuenta que las buenas prácticas y los buenos procedimientos son más rentables que el abuso de tecnología. De nada sirve instalar la alarma antirobos más moderna en el coche y luego dejarlo abierto por descuido, o sucumbir ante un pícaro que finge un desmayo para robarnos, por ejemplo.

Adoptar medidas de contingencia para minimizar el impacto. Si no tenemos cosas valiosas (que no caras, ojo) en casa, mejor un buen seguro que gastar en un caja fuerte que cuesta una millonada.

Entrenar el “sexto sentido” (o los sistemas de alerta) para detectar cuando “algo no va bien” y tomar acciones preventivas, sin caer en el pánico.


8.Conclusiones

• ¿Hasta dónde hay que introducir los Cisnes Negros en nuestra Gestión de Riesgos?

• Los Cisnes Negros Positivos: Hay que sacarles partido!!! Hasta ahora hemos hablado de efectos negativos, pero los efectos

positivos (Riesgos Positivos u Oportunidades) son muy rentables y hay que saber detectarlos y explotarlos.

Evitar pensar que si se repite algo mal cien veces, al final saldrá bien: Eso sólo ocurre jugando a los dados buscando un seis, no buscando un objetivo en que uno tiene parte y puede influir en el resultado. Desterrar la idea de que cuando más fallas, más cerca estás del éxito.

Dí que Sí: Introducir pequeños cambios en la realización de las cosas, a veces pueden conducir a un éxito rotundo. Por ejemplo, ¿qué hay de ese día que uno decidió aceptar la invitación a salir a bailar a ese sitio tan aburrido y conoció a su actual pareja?

Como dice Osho el secreto del éxito es: Atención, Atención y más Atención. A veces miramos a nuestro alrededor buscando el trébol de cuatro hojas y justo lo acabamos de pisar y no lo vemos.


Gracias por su atención.

Maite Avelino

CISA, CISSP, PMP

[email protected]

Cisnes Negros daba por descontado que todos los … Negros... · Usar, en sistemas y entornos...

Documents

Transcript of Cisnes Negros daba por descontado que todos los … Negros... · Usar, en sistemas y entornos...