CiberSeguridad en Basilea III

​

Módulo 1: CiberResilencia

​

• CiberRiesgos en la banca

• CiberRiesgos en Latinoamérica y Europa.

• Normas y directrices de ciberresiliencia   

• Caso Estudio 1: iniciativas regulatorias recientes: los requisitos mínimos de Australia, Alemania y EE. UU

• Cibergobernanza   

  • Estrategia de ciberseguridad   

  • Roles y responsabilidades de gestión    

  • Reconocimiento de la importancia de la junta directiva y la alta gerencia 

  • Variedad de enfoques de supervisión con respecto a la segunda y tercera líneas de defensa (3LD)  

  • Caso de Estudio 2: Roles y responsabilidades de los directores de seguridad de la información (CISO) en la cibergobernanza   

  • Cultura de sensibilización sobre el riesgo cibernético   

  • Arquitectura y estándares    

  •  Fuerza laboral de ciberseguridad    

  • Caso de Estudio 3: Marcos para la formación profesional en ciberseguridad y programas de certificación 

• Enfoques de gestión de riesgos, pruebas y respuesta y recuperación de incidentes 

  • Métodos para supervisar la ciberresiliencia    

    • Los especialistas en riesgos evalúan la gestión y los controles de seguridad de la información  

    • Las jurisdicciones se involucran cada vez más con la industria para abordar la ciberresiliencia  

  • Pruebas de controles de seguridad de la información y garantía independiente   

    • El mapeo y la clasificación de los servicios comerciales deben informar las pruebas y el aseguramiento  

    • Prueba de Penetración   

    • Taxonomía de controles de riesgo cibernético   

  • Pruebas de respuesta y recuperación y ejercicio   

    • Evaluación de continuidad del servicio, planes de respuesta y recuperación y aprendizaje continuo  

    • Ejercicio conjunto público-privado   

    • Caso de Estudio 4: “Exercise Resilient Shield”

  • Métricas de ciberseguridad y resiliencia    

    • Las métricas de ciberseguridad y resiliencia 

    • Indicadores emergentes emergentes de resiliencia   

• Comunicación e intercambio de información   

  • Descripción general de los marcos de intercambio de información entre jurisdicciones  

  • Compartir entre bancos o peers información  

  • Caso de Estudio 5: FS-ISAC: características y beneficios clave  

  • Compartir de los bancos a los reguladores   

  • Compartir entre los reguladores   

  • Caso de Estudio 6 - Intercambio bilateral de información sobre seguridad cibernética entre la Autoridad Monetaria de Hong Kong (HKMA) y la Autoridad Monetaria de Singapur (MAS)  

​

Módulo 2: CiberRiesgos

​

• Visión Actual del Ciberriesgo

• identificación de los Ciberriesgos

  • Malware y otras amenazas

• Ciber-Seguridad en la práctica

• • Gobierno de la Seguridad

  • Gestión del Riesgo

  • Políticas de Seguridad

  • Política de Salvaguardas

  • Planes de Contingencias

• Auditorías de Seguridad

• Algunos Ciberriesgos

  • Exploits Kits

  • Fuga de información

  • Pishing

  • Ataque DDoS

  • Internet de las cosas

  • Ataque a infraestructuras

  • Botnets

  • Troyanos

  • Malware Avanzado

  • Ransomware

  • APT´s

• Evitación, Aceptación, Mitigación o transferencias de los Ciber-Riesgos (Ciber-Seguros)

• Respuesta a Incidentes

• Aspectos Legales de la Respuesta a Incidentes

• Informática Forense

• Compliance Digital

• Inteligencia en Fuentes Abiertas

• Defensa de la Marca. Derechos de Propiedad Intelectual

• Reputación Digital. Comunicación de Crisis

• Fraude y Gestión de la Identidad Online

• Derecho Informático y de las TIC´s

• Derecho Procesal y Derechos Humanos en el Ciber-Espacio

• Responsabilidad Penal de las Personas Jurídicas

• Criptografía y Sistemas de Autenticación

• Ciber-Seguridad Industrial (IT/OT)

• Ciber-Seguridad Lógica

• Aseguramiento

• CiberRiesgos en la banca

• Robos financieros

• Ataques en las transacciones bancarias

• Robo de tarjetas de crédito

• Banca Mayorista

• Ciber ataque Lazarus en el sistema SWIFT

• Recursos de los bancos destinados en ciberseguridad 

• Cloud service provider (CSP)

• Análisis de los principales proveedores CSP

• Análisis y duración de los apagones en el servicio Cloud

​

Módulo 3: Gestión del CiberRiesgo

• Enterprise Risk Management en el ciberriesgo

• Involucración de la alta dirección

• Ciberseguridad en los procesos de negocios

• Identificación de:

• Activos críticos del banco

• Funciones de negocio críticas

• Socios comerciales críticos: clientes, proveedores, outsourcing

• Data crítica, conexiones críticas

• Principales amenazas al banco

• Framework for Improving Critical Infrastructure Cybersecurity NIST

• Principales Estándares técnicos

  • NIST 800-53

  • Cobit 5

  • ISO 27001

• Politicas y control del ciberRiesgo

• Gobernanza del CiberRiesgo en la práctica

• ​Líneas de defensa

• Análisis del riesgo

• Mapas de probabilidad e impacto

• Estrategias de mitigación de CiberRiesgo

  • Identidad y gestión de los accesos

  • Protección de la data

  • Security analytics usando machine learning

  • NIST CSF pillars

  • Higiene de seguridad

  • Recovery time objective

  • Recovery point objective

  • SSDLC

  • Gestión del riesgo de la tecnología de terceros

• Arquitectura de seguridad​

• Entorno Cloud y mobile security

​

Módulo 4: Risk Control Self Assessment en Ciber Riesgos

​

• Metodologías de Risk Control Self-Assessment (RCSA)

• Generación y Análisis de Escenarios

• Revisión de validación y conciliación contable

• Cuestionarios de Evaluación

• RCSA Practicas Internacionales

• Enfoque Scenario Based Approach

• Scorecard Approach

• Herramientas Especializadas de Software

• RCSA ventajas e inconvenientes de metodologías

Módulo 5: Base de Datos de Pérdidas internas

• Problemáticas en la captura de eventos de pérdida

• Fuentes de captura

• Información de ERPs

• Procedimientos de validación y conciliación contable

• Tratamiento del evento múltiple

• Definición del umbral de recogida de información

• Definición del pattern de captura de pérdidas

• Conciliación contable

• Herramientas de automatización y captura manual internacionales

• Tratamiento Lucro cesante en bancos Internacionales

• Tratamiento de umbrales bancos Europeos

• Conciliación contable en bancos internacionales

• Herramientas especializadas de Software

• Resultado de Revisiones

• Circuitos de validación y tratamiento de eventos

• Ciclo de vida de un evento

• Consolidación de eventos

• Pérdidas agrupadas

• Gestión de umbrales y seguros

• Validación y controles de calidad de información

• Reporting

• Plan de acción y mejoras

Módulo 6: BBDD de pérdidas externas

• Validación BBDD Externas

• Umbrales

• Escalado

• Homogeneización

• Tratamiento de BBDD de consorcios e información publica

• Tratamiento de datos externos en bancos internacionales

• Resultado de revisiones

• Técnicas estadísticas avanzadas de escalado para pérdidas

• Regresión de Poisson para escalado de eventos

• Plan de acción y mejoras

Módulo 7: Key Risk Indicators en Ciberseguridad 

​

• Tipología de KRIs

• Captura y transformación de KRI

• Métricas de seguridad

• Buenas prácticas para seleccionar métricas

• Gestión de KRI en las unidades

• Enfoques Metodológicos de KRI

• KRI Claves en bancos internacionales

• Herramientas de Software especializadas

• Resultados de revisión

• Indicadores orientados a la gestión de capital

• Business Environment and Internal Control Factors (BEICFs)

• Scorecard KRIs

• Plan de acción y mejoras

​

MEDICIÓN DEL CIBERRIESGO

ENFOQUE LOSS DISTRIBUTION APPROACH

Módulo 8: Estimación de Distribución de Frecuencia y Severidad

• Distribuciones clásicas y modernas de severidad de la pérdida

  • Exponencial

  • Gamma

  • Lognormal

  • Weibull

  • Burr

  • Inversa Gaussiana

  • Pareto

  • Generalizada Beta

  • GB2

  • G y H

  • Lognormal-Gamma

  • Alpha Stables

• Distribuciones de valor extremo EVT

  • Gumbel

  • Frechet

  • Weibull

• Distribuciones generalizadas de Pareto

  • Exponencial

  • Pareto

  • Beta

• Estimación del umbral

• Selección del Modelo

• Gráfico de Hill y Mean Excess

• Selección del óptimo usando el Hill plot

• Estimación EVT bajo enfoque Bayesiano

• Ventajas e Inconvenientes del EVT

• Distribuciones de Frecuencia para ajustar el número de eventos

  • Binomial Negativa

  • Poisson

• Ajustes a la Frecuencia

• Distribuciones con punto de truncamiento

• Distribución logística de truncamiento de Fontnouvelle

• Estimación de Máxima verosimilitud

• Truncamiento de datos

• Mixtura de Distribuciones

• Splicing Pieces en Distribuciones

• Body-Tail Distributions

• Distribuciones subexponenciales

• Revisión Regulatoria

• Revisión de la severidad

  • Asimetría estadística

  • Coeficiente de asimetría de Fisher

  • Leptokurtosis

  • Revisión de dispersión de datos en la cola de la distribución

  • Revisión del umbral en las distribuciones Body-Tail

  • Reducción de variabilidad de los parámetros

  • Intervalos de confianza y p-values

  • Estimadores robustos

  • Uso de distribuciones subexponenciales

• Ejercicio 1: Ajustes de distribución de severidad y estimación de parámetros en R y Python

• Ejercicio 2: Ajuste de distribución de frecuencia: Poisson y binomial negativa en R y Python

• Ejercicio 3: Ajuste de distribución generalizada beta GB2 en R

• Ejercicio 4: Ajuste de distribución G y H en Excel

• Ejercicio 5: Mixtura de lognormales en R

• Ejercicio 6: Mean Excess, Q-Q y Hill plot en Python

• Ejercicio 7: Estimación de parámetros  de GDP en R

• Ejercicio 8: Generación de valores de números aleatorios EVT en R

• Ejercicio 9: Ajuste de cuerpo lognormal y cola de EVT en R

• Ejercicio 10: Revisión regulatoria de distribuciones de severidad

• Ejercicio 11: Revisión de estimadores robustos: eficientes, bajo sesgo y asintóticamente insesgados  

​

Módulo 9: Inferencia Bayesiana y Markov Chain Monte Carlo

• Inferencia bayesiana

• Incertidumbre en los parámetros

• Credibilidad en los parámetros

• Distribución inicial y posterior

• Frecuencia: Gamma-Poisson

• Severidad: Gamma-Pareto y Normal-Lognormal

• Combinación de opiniones de expertos y datos internos y externos

• Bayesian Markov chain Monte Carlo (MCMC)

• Ejercicio 12: Estimación Bayesiana de parámetros de Gamma-Poisson en R

• Ejercicio 14: Estimación Bayesianade parámetros Gamma-Pareto en R

• Ejercicio 15: Estimación Bayesiana de parámetros Normal-Lognormal en R

• Ejercicio 16: Distribución a posteriori usando MCMC en Python

Módulo 10: Pruebas de Bondad de Ajuste

• Selección y Validación del Modelo

• Revisión regulatoria

  • Revisión Body-Tail Distributions.

  • Comparativo del performance entre distribuciones

  • Aproximación a la varianza e intervalos de confianza de los parámetros

  • Gráficos de densidad de distribuciones y Q-Q Plot

• Estadísticos de bondad de ajuste:

  • Kolmogorov-Smirnov

  • Anderson-Darling

  • Cramer Von Mises

  • Chi cuadrado test

• Estadísticos de performance

  • Likelihood Ratio

  • the Akaike Information Criterion

  • the Schwarz Bayesian Criterion

• Estimación de gráficos de densidad de distribuciones

• Ejercicio 17: Gráfico de densidad de distribuciones en R

• Ejercicio 18: Estadísticos de ajustes de K-S, AD, CVM en R

• Ejercicio 19: Intervalos de confianza de parámetros de la Lognormal

• Ejercicio 20: Generación de números aleatorios de distribuciones paramétricas.

• Ejercicio 21: Estadísticos de performance

​

Módulo 11: Análisis de escenarios para CiberRiesgos

• Definición de escenarios

• Identificar el alcance del escenario

• Identificación de factores clave

• Análisis de los factores clave

• Generación de escenarios

• Escenarios cuantitativos y cualitativos en CiberRiesgos

• Baseline y escenarios extremos

• Revisión de la calidad de los escenarios

• Identificación umbrales de frecuencia y severidad

• Uso de data interna y externa

• Ajuste de distribuciones al análisis de escenarios

• Modelización Cola de la distribución

• Test de Bondad de ajuste en el análisis de escenarios

• Valoración exhaustiva de los escenarios

• Ejercicio 22: Análisis de escenarios de CiberRiesgos  

​

​