Aspectos económicos de la seguridad

[pic 1][pic 2][pic 3]

Introducción

La divulgación de vulnerabilidades “es la práctica de informar fallas de seguridad en el software o hardware de una computadora o programa.” (gb-advisors.com, 2020). Aunque usualmente también se entiende como la práctica de identificar y reportar vulnerabilidades que pueden ser explotadas en software, hardware o incluso servicios.

Vulnerabilidades encontradas en sistemas que sean ampliamente utilizados pueden causar impacto negativo a gran escala. Los incentivos económicos juegan un rol clave para que usuarios, proveedores o investigadores realicen la divulgación de vulnerabilidades una vez que sean descubiertas. Mientras que algunos lo han hecho de forma responsable, otras vulnerabilidades se han dado a conocer solamente después de un ciberataque extendido conocido públicamente. Los aspectos económicos generalmente pasan desapercibidos cuando hablamos de las vulnerabilidades y como se dieron a conocer, sin embargo, endender dichos aspectos ayudan a explicar porque algunas vulnerabilidades son divulgadas de forma responsable mientras otras no lo son.

Principales trabajos y estudios hasta la fecha

En el 2018, la Agencia de la Unión Europea para la Seguridad de las Redes y la Información (ENISA), publicó un estudio que aborda los aspectos económicos de la divulgación de vulnerabilidades. El reporte funciona como un seguimiento a la publicación previa del 2016, donde se ofrecen buenas prácticas para divulgar vulnerabilidades, pero con la diferencia y el claro objetivo de mejorar el entendimiento de los aspectos económicos, con foco en los costos, incentivos e impacto relacionado al descubrimiento y divulgación de vulnerabilidades. (Silfversten, Phillips, Paoli, & Ciobanu, 2018).

El tema ha sido abordado anteriormente por otras instituciones como la IEEE, que en el 2005 publicó un artículo donde se analiza el impacto económico derivado de la explotación de vulnerabilidades y ofrece un marco teórico para ayudar a identificar los elementos clave para desarrollar una forma sensible de manejar la divulgación de vulnerabilidades. (Arora & Telang, 2005).

Desarrollo

Es importante entender que la naturaleza cambiante de la industria de la seguridad de información tiene consecuencias en los aspectos económicos de la divulgación de vulnerabilidades, de cómo se lleva a cabo esa divulgación y también como se comportan las partes involucradas en el proceso. Es decir, cada vez existe una demanda mayor por soluciones funcionales que sean liberadas lo antes posible al mercado, lo que a su vez empuja la complejidad en el desarrollo de dichos sistemas. Y aunque soluciones modernas de automatización y metodologías ágiles de desarrollo sean adoptadas, es poco probable que las vulnerabilidades vayan a desaparecer por completo. En forma de complemento, las organizaciones están utilizando estrategias para incentivar investigadores o especialistas externos, a identificar y remediar vulnerabilidades, es decir, hacer una divulgación de vulnerabilidades que ayuden en la postura de seguridad de los sistemas.

El comportamiento de dichos actores en el proceso de divulgación de vulnerabilidades es influenciado por consideraciones económicas, ya sea a nivel individual o de organización, donde ambas podrían ser complementarias o incluso estar en conflicto. Un resumen de estos factores se muestra en la figura siguiente:

[pic 4]

Fuente: Estudio de ENISA (Silfversten, Phillips, Paoli, & Ciobanu, 2018).

Entonces, dichos factores pueden ser vistos como los incentivos que influencian las decisiones de los actores en alguna de las fases del proceso de divulgación de vulnerabilidades, y pueden surgir de los factores económicos de la industria, aspectos legales y regulatorios, o incluso normas y comportamientos socialmente esperados. No siempre se encuentran asociados a un costo derivado de la divulgación de vulnerabilidades, de hecho, podrían dividirse como financieros y no-financieros. Siendo los primeros aquellos que tienen una recompensa financiera derivada de la divulgación, como por ejemplo los programas de recompensa; y los segundos aquellos que no estan directamente relacionados con dinero, como por ejemplo normas sociales, reconocimiento, valores o comportamientos éticos.

...