Los sistemas de gestión de riesgos y fraude a menudo se ven invadidos por falsos positivos, pero la ciberseguridad se trata de tener menos falsas alarmas para tener más seguridad.
en su libro megatendencias publicado en 1982, John Naisbitt escribió: “Estamos ahogados en información, pero hambrientos de conocimiento. » Esta es una de mis citas favoritas porque creo que captura perfectamente el estado de muchas cosas en nuestra vida moderna.
En particular, describe el estado de muchos programas corporativos de gestión de riesgos y fraude. Desafortunadamente, muchos de estos programas tienen una gran cantidad de falsos positivos que reducen su efectividad.
Para entender por qué esta “desinformación” es un problema tan grande en el fraude y la gestión de riesgos, primero debemos entender sus consecuencias para la empresa. Aunque la lista no es exhaustiva, aquí hay algunos ejemplos:
* Ciclos perdidos:Cuando los equipos de fraude crean un flujo de trabajo en torno a una cola centralizada, todos los eventos en la cola deben priorizarse y revisarse. El ruido llena esta cola con elementos que deben revisarse, pero no agrega valor al programa de fraude y riesgo. En otras palabras, demasiadas alertas desperdician los preciosos ciclos del equipo.
* Aspectos positivos reales que se quedan en el camino: la frase “encontrar una aguja en un pajar” describe acertadamente lo que es buscar un fraude entre el gran volumen de datos y eventos que reciben las empresas. En esta analogía, la aguja representa verdaderos positivos (incidentes de fraude), mientras que el pajar representa falsos positivos que no son fraude. Cuantos más falsos positivos haya, más difícil será encontrar los verdaderos positivos.
* Un aumento en los costos de infraestructura: la cantidad de falsos positivos también conlleva un costo de infraestructura. Todos los registros, todas las alertas y todos los eventos, ya sea que agreguen o no valor al programa de gestión de riesgos y fraudes, deben conservarse. Entonces, si el equipo está recopilando mucha información que agrega poco o ningún valor, simplemente está utilizando un exceso de infraestructura. El coste de esta infraestructura priva de presupuesto a otras áreas en las que podría aportar un valor añadido importante.
* Métricas sesgadas:los falsos positivos generalmente sesgan las mediciones. Ciertas métricas, incluidas las relacionadas con el porcentaje de tiempo dedicado a incidentes de fraude genuinos, la proporción de verdaderos y falsos positivos, el volumen de eventos, la cantidad de eventos procesados, el tiempo de análisis por evento y otros análisis se verán fuertemente afectados. Cuanto menor sea la tasa de falsos positivos, más precisos y favorables serán los resultados de estas mediciones.
Basándonos en estos ejemplos, desarrollamos un plan para remediar el problema. Aquí hay algunas sugerencias que me parecen útiles para compartir con ustedes:
* Comience con el riesgo: Evaluar los riesgos y amenazas para el negocio, comprender lo que afectan dentro del negocio y conocer los costos/pérdidas potenciales asociados con cada uno es clave.
* Establecer metas y prioridades: Elegir qué procesar y cuándo procesarlo es una de las decisiones estratégicas más importantes que puede tomar un equipo de fraude. Esto requiere priorizar los riesgos y amenazas enumerados en el paso anterior y establecer metas y prioridades que se abordarán a corto y largo plazo.
* Evaluar el impacto: identificar activos críticos, recursos clave y almacenes de datos importantes, entre otros, ayuda al equipo a comprender el impacto potencial de un incidente. Saber cómo identificar los activos, recursos y datos más sensibles e importantes permite al equipo centrarse en las brechas de telemetría.
* Identificar datos y lagunas: Comprenda la recopilación de telemetría existente y evalúe si cada fuente de datos contribuye al programa de riesgo y fraude. Si este no es el caso, la recolección solo aumenta los costos de infraestructura sin aportar ningún valor agregado. Identifique las brechas en la telemetría que ciegan al equipo ante posibles fraudes y desarrolle un plan para abordarlas.
* Considere la tecnología y las brechas:revise detenidamente la tecnología existente y determine qué tan útil es, por ejemplo, para detectar fraudes de manera confiable con un bajo número de falsos positivos, recopilar datos de telemetría valiosos y/o hacer que los procesos y el flujo de trabajo sean más eficientes. Esté atento a las áreas en las que la tecnología está obstaculizando al equipo de fraude en lugar de ayudarlo, así como las brechas en la telemetría y la detección.
* Deshazte de las reglas y firmas ruidosas: las reglas, firmas y otras técnicas de detección que generan mucho ruido no agregan valor al programa de fraude. Por el contrario, ahogan al equipo en falsos positivos y dificultan activamente la detección rápida y precisa de incidentes de fraude. Puede sonar drástico, pero deshacerse de esos ruidosos mecanismos de detección tiene muchas más ventajas que desventajas.
* Configurar una detección rigurosa: Adoptar la filosofía de «menos es más» implica comprender la necesidad de interrogar los datos de manera incisiva y producir alertas y eventos de alta confiabilidad. Aunque la implementación de enfoques de detección más sofisticados requiere una inversión inicial significativa, el retorno de la inversión es significativo. Cuanto más eficaces sean las alertas y los eventos, más señales recibirá la cola y menos ruido recibirá.
* Centrarse en el proceso: la mejor cola del mundo será inútil si los procesos están rotos o no existen. Un equipo de fraude global tiene procesos maduros, efectivos y eficientes que guían y rigen su trabajo.
* Mejorar continuamente: ningún equipo de fraude es perfecto, y los mejores equipos son muy conscientes de sus debilidades y oportunidades de mejora. Aprender de cada uno de los puntos anteriores y usarlos para mejorar continuamente el programa contra el fraude es fundamental para el éxito a largo plazo del equipo dedicado.
La idea errónea de que más datos, más eventos y más alertas conducen a una mejor detección del fraude es obsoleta e infundada. Al centrarse estratégicamente en el riesgo y adoptar un enfoque metódico para reducir la cantidad de falsos positivos, las empresas pueden mejorar tanto el estado de su detección de fraude como la madurez de sus programas antifraude. Al mejorar la relación señal-ruido y adoptar la filosofía de «menos es más» para la detección de fraudes, las organizaciones pueden identificar más fraudes mientras desperdician muchos menos recursos tratando con falsos positivos. Un reto para todas las organizaciones para luchar contra el riesgo y el fraude.
___________________
Par Josué GoldfarbArquitecto de soluciones antifraude (EMEA y APCJ) en F5
[
