En 1946, mientras se recuperaba de una enfermedad, el matemático Stanislaw Ulam volvió a jugar al solitario y, durante aquellas partidas, se planteó una pregunta aparentemente sencilla, ¿cuál era la probabilidad de completar con éxito el juego? Calcular todas las combinaciones posibles resultaba extraordinariamente complejo, pero repetir muchas partidas y observar cuántas terminaban bien ofrecía una aproximación razonable. Aquella intuición, basada en utilizar el azar para estudiar un problema difícil de resolver directamente, acabaría convirtiéndose en uno de los métodos más influyentes de la ciencia, las finanzas y, décadas después, la gestión del riesgo ciber.
El método recibió el nombre de Monte Carlo en alusión al famoso casino de Mónaco, pues su lógica se apoya en números aleatorios, repetición y probabilidad, aunque su objetivo no es dejar una decisión en manos del azar, sino utilizarlo de manera controlada para comprender sistemas complejos.
La idea tenía antecedentes, ya que en el siglo XVIII, el problema de la aguja de Buffon ya había demostrado que era posible aproximar el valor de π mediante lanzamientos repetidos. Sin embargo, el verdadero salto se produjo cuando esa lógica probabilística se encontró con los primeros ordenadores electrónicos.
Ulam compartió su idea con John von Neumann en Los Álamos, el laboratorio estadounidense vinculado al desarrollo nuclear y, junto con Nicholas Metropolis, Robert Richtmyer y otros científicos, comenzaron a aplicarla a la simulación del comportamiento de los neutrones. El recorrido de una partícula podía verse afectado por múltiples colisiones, absorciones y cambios de dirección y calcular todas las trayectorias posibles era prácticamente imposible, pero simular muchas trayectorias aleatorias, en cambio, permitía estimar el comportamiento global del sistema.
La aparición de ENIAC hizo viable esa visión y, por primera vez, una máquina podía repetir miles de operaciones a una velocidad imposible para un equipo humano. Por eso en 1949, Metropolis y Ulam publicaron The Monte Carlo Method, un trabajo que ayudó a formalizar y difundir el enfoque.
Más adelante, el algoritmo de Metropolis y su generalización por W. K. Hastings impulsaron los métodos MCMC (métodos de Monte Carlo mediante cadenas de Márkov, que básicamente construye una secuencia en la que cada valor depende del anterior) hoy fundamentales en estadística bayesiana e inteligencia artificial.
Por tanto, la gran aportación de Monte Carlo a la gestión del riesgo consiste en sustituir las cifras únicas por distribuciones de forma que una simulación puede indicar que la mediana es de diez millones, que existe un veinte por ciento de probabilidad de superar los catorce y un cinco por ciento de superar los dieciocho. Es decir, el método no ofrece una certeza imposible, sino un mapa probabilístico de resultados.
Y esta lógica no sólo ha transformado la gestión del riesgo financiero, operativo y asegurador, sino que también está cambiando la forma en la que las organizaciones analizan el ciberriesgo.
Y esto no es incompatible con los análisis de riesgos mediante matrices de calor en donde la probabilidad se califica de uno a cinco, el impacto se valora del mismo modo y el resultado se representa con un color, si bien permite elevar la conversación y formular otras preguntas más útiles como ¿cuál es la pérdida anual esperada por ransomware?, ¿qué probabilidad existe de superar diez millones de euros?, ¿cómo cambia la exposición si mejora la segmentación de red?, ¿cuánto riesgo permanece después de contratar un seguro?
Ahora bien, para responderlas, primero debe construirse un modelo del escenario, pues en un ataque de ransomware pueden existir incertidumbres sobre la frecuencia de los incidentes, la probabilidad de éxito, la duración de la interrupción, el coste diario de la parada, los gastos de recuperación, las sanciones o la pérdida de clientes y, en lugar de asignar una cifra fija a cada variable, se definen rangos o distribuciones plausibles.
La simulación selecciona repetidamente valores posibles, calcula la pérdida de cada iteración y construye una distribución final, de forma que el resultado puede mostrar la pérdida media, la mediana, distintos percentiles y la probabilidad de superar determinados importes.
Sin embargo, Monte Carlo no es una metodología de riesgo por sí sola, sino un motor matemático para otros modelos como FAIR u Openfair en donde Monte Carlo propaga la incertidumbre de esos datos de entrada.
Una simulación no predice el futuro ni corrige un modelo mal construido, por lo que si las estimaciones iniciales son arbitrarias, incompletas o excesivamente optimistas, el resultado será matemáticamente preciso, pero poco fiable. Es decir, Monte Carlo no convierte una mala suposición en un buen dato.
Por eso, la buena práctica no consiste en afirmar que la exposición es exactamente de 12.436.728 euros, sino que resulta más responsable indicar que la pérdida anual mediana es de seis millones y que existe un diez por ciento de probabilidad de superar los diecisiete.
Hoy, Monte Carlo evoluciona en varias direcciones, pues la computación en la nube permite ejecutar simulaciones más rápidas y complejas, los modelos bayesianos facilitan actualizar estimaciones cuando aparecen nuevos incidentes o datos sobre controles, la automatización ayuda a pasar de evaluaciones anuales a modelos continuos y la inteligencia artificial puede mejorar la calibración y la generación de escenarios, aunque también puede amplificar la falsa precisión si se utiliza sin transparencia, pero casi ocho décadas después de su nacimiento, Monte Carlo conserva la misma esencia y, en el riesgo ciber, esta aportación es especialmente valiosa pues las organizaciones no necesitan saber qué ocurrirá con absoluta certeza, porque esa certeza no existe, necesitan comprender qué podría ocurrir, con qué probabilidad, cuánto podrían perder y qué decisiones pueden modificar esa exposición.