La importancia de cuantificar el ciberriesgo. José Seara, Fundador y CEO en DeNexus

En mi época de CEO de una compañía americana de energías renovables, me preocupaban fundamentalmente dos cosas: definir y ejecutar la estrategia más adecuada para hacer crecer a la compañía y obtener el beneficio esperado, controlando el riesgo.

Desde el punto de vista financiero, usábamos diversas estructuras de financiación de proyectos sin recurso al accionista, que confiaban en la generación de flujos libres de caja del proyecto para amortizar la deuda y, además de contar con coberturas financieras para estabilizar los flujos de caja en un mercado altamente dinámico y volátil, era fundamental contar con una operación eficiente e impecable.

Este aspecto constituía un reto nada desdeñable en un negocio industrial que debe funcionar las veinticuatro horas del día, los siete días de la semana y entregar al mercado un producto de calidad, que se consume en tiempo real, además de estar sujeta a complejas estructuras de venta en distintos mercados eléctricos, con regulaciones diferentes y penalidades muy severas si no se entregan.

Tanto en el lado operativo, como en el financiero, descubrí que la clave estaba en entender muy bien los factores que podían afectar negativamente a la operación y desplegar las medidas adecuadas para prevenir su ocurrencia y/o mitigar su impacto, con criterios de rentabilidad, o bien contratar un seguro cuando fuese posible

En el pasado, los factores de riesgo operacional eran complejos de gestionar, pero conocidos. Desde fenómenos meteorológicos, hasta fallos mecánicos o electrónicos, pasando por actos de sabotaje o robo de material, para casi todos teníamos profesionales expertos, regulaciones claras, estándares de mercado que habían sido mejorados a lo largo de muchos años, y un vasto historial de eventos que nos permitía entender e incluso cuantificar el riesgo estadísticamente. El mercado asegurador también era capaz de entender el riesgo y nos ofrecía una amplia gama de productos para cubrir los posibles daños o el lucro cesante, a precios razonables.

Mi trabajo como CEO era sencillo: los expertos me presentaban los posibles riesgos y el presupuesto para su mitigación y yo solo debía decidir hasta donde tenía sentido invertir en medidas de protección y cuándo era preferible aceptar el riesgo o contratar un seguro. Podía dedicarme a la estrategia.

Pero a medida que empezamos a digitalizar nuestros procesos, aparecieron los riesgos de ciberseguridad. Al principio, nos preocupaba la protección de la información, el espionaje y el fraude financiero, pero nuestro equipo de informática parecía tenerlo controlado. Sin embargo, pronto nos dimos cuenta de que también podía afectar a nuestras operaciones industriales, a nuestros activos físicos, e incluso a la seguridad de las personas. En nuestro caso, riesgo exacerbado por ciertas regulaciones del sector eléctrico norteamericano que impedían en la práctica usar soluciones en la nube, y en su lugar exigían la implementación y uso de centros de datos propios, que aumentaban exponencialmente nuestra exposición al riesgo ciber.

Recuerdo que, como CEO, traté de aplicar la misma lógica que siempre me había funcionado para el resto de los riesgos operativos, y que yo mismo aplicaba en mis tiempos de ingeniero. Llamar al experto para que me explicase bien el riesgo en términos de probabilidad de ocurrencia e impacto sobre la operación, entender la rentabilidad de las medidas necesarias para mitigarlo, comparar también con el coste de contratar un seguro, y decidir.

Para mi sorpresa, ninguna de estas premisas se cumplía. Iba a tener que volver a dedicarle más tiempo a la operación.

Nadie, era capaz de explicarme cómo – en concreto – podían afectarnos en la operativa esos aterradores ataques de ransomware, phishing o DDoS que, según me reportaban, se lanzaban por miles cada minuto con terribles pero inciertas consecuencias para muchas empresas y, ni mucho menos la probabilidad de que nos afectase o cuánto nos podría costar si sucediese.

El experto de ciberseguridad, que era del Equipo de Sistemas, y no entendía de nuestras operaciones industriales, me pedía un presupuesto millonario para instalar una serie de medidas fundamentales con el objetivo de protegernos contra esos ataques, pero sin indicar el retorno de esa inversión, y el responsable de operaciones, que no entendía de ciberseguridad, opinaba que era innecesario y que las medidas propuestas impactarían negativamente en la eficiencia.

Debido a esta falta de capacidad para entender la probabilidad de ocurrencia y cuantificar las potenciales consecuencias, las pólizas de seguros tradicionales, que inicialmente ni mencionaban el riesgo ciber (cobertura silenciosa, o fuente de litigio), cuando lo hicieron fue para excluirlo. Y cuando ciertas aseguradoras empezaron a incluirlo, ofrecían pocos productos alternativos con multitud de exclusiones, límites insuficientes, y a precios desorbitados. En definitiva, seguros que no suponían ninguna transferencia real de riesgo.

Decidimos probar algunas soluciones de cuantificación del ciberriesgo que había en el mercado, pero solo abarcaban los entornos TI y estaban basadas en una mera observación externa de nuestro perímetro que, a medida que migrábamos a la nube, se iba desdibujando.

Tanto me obsesionó esta cuestión que, en 2017, y una vez completado el proyecto anterior, decidí fundar DeNexus, una compañía dedicada a cuantificar y gestionar los riesgos de ciberseguridad en entornos industriales con datos reales de ataques, controles y vulnerabilidades, tanto internos, como externos, y que permite priorizar las inversiones necesarias para mitigarlos, con base en su rentabilidad.  

Mi objetivo era ayudar a otros CEOs a entender el riesgo ciber, y tomar decisiones informadas de gestión o transferencia. Pronto encontré una gran acogida entre los responsables de las empresas energéticas. También un gran interés en mi solución por parte de las aseguradoras que, por fin, podían disponer de una estadística real de eventos e impactos en la que basar sus cálculos financieros y ofrecer productos de cobertura a precios razonables. Actualmente, ayudamos a multitud de empresas de diferentes sectores industriales y estamos evolucionando nuestra solución para cubrir también entornos TI, a la vez que seguimos avanzando con el mercado asegurador para poder ofrecer coberturas adecuadas para este importante, pero cada vez menos desconocido riesgo.

José Seara

Fundador y CEO de DeNexus