Menos cuesta prevenir
El concepto de riesgo ha adquirido importancia en las sociedades contemporáneas. Su campo de aplicación es multidimensional, conecta con instituciones jurídicas, políticas, económicas o asistenciales. La gestión de riesgos se encuentra en la adopción de medidas de mitigación y adaptación frente a los efectos del cambio climático y, en particular, frente a los fenómenos meteorológicos extremos, como sequías o inundaciones; en la puesta en marcha de medidas frente a ataques de seguridad, tanto en el ámbito de la seguridad física como de la ciberseguridad, un campo que crece en importancia cada día; la mejora global de la seguridad operacional aérea, en un contexto en el que se espera un fuerte aumento del tráfico hasta el año 2050 y una competencia creciente entre operadores.
Debido a la relevancia de estos factores se ha creado el concepto de sociedad del riesgo, con el que se pretende resaltar el carácter incontrolable de los riesgos en una sociedad global donde la incertidumbre no hace sino aumentar. Una sociedad que, en relativamente poco tiempo, ha pasado de tener que enfrentarse a amenazas relacionadas con elementos solo naturales –las nevadas, los terremotos o los leones– a tener que asumir los peligros asociados al cambio climático, al terrorismo global, a la necesidad del refuerzo de la seguridad aérea, a las crisis financieras, a la energía nuclear, a las comunicaciones telemáticas, a la creciente complejidad de nuestras infraestructuras o a las lagunas del sistema legal. Todos los problemas anteriores se caracterizan por la necesidad de responder –con recursos limitados– a posibles amenazas, algunas asociadas a adversarios inteligentes, que pueden conducir a pérdidas severas que ponen en peligro la supervivencia de una organización en un contexto incierto.
Cuando los fallos están gobernados por la aleatoriedad, más que por acciones maliciosas de agentes inteligentes, la situación es diferente. Como herramienta en esas situaciones se emplea el análisis de riesgos, que se describe como el proceso analítico y sistemático para evaluar, gestionar y comunicar el riesgo. Nació en el contexto de los seguros, de la seguridad de los reactores nucleares, la ingeniería aeroespacial y otras aplicaciones. Pretende entender las consecuencias negativas que afectan a la vida humana, la salud, nuestros activos y el medio ambiente, para reducirlas o eliminarlas. Sin embargo, los nuevos escenarios de negocio y Gobierno requieren la consideración de análisis de riesgos que tenga en cuenta el comportamiento de adversarios, la posible disposición a cooperar entre agentes y la transferencia de riesgos.
Un paradigma son los ataques terroristas de gran envergadura o las nuevas amenazas de ciberseguridad. Las organizaciones han de dedicar grandes esfuerzos e inversión en medidas protectoras, pero, ¿cómo de efectivas son dichas inversiones? Un caso prototipo fue la protección contra un eventual ataque bioterrorista con el virus de la viruela en la Administración Bush, cuya gestión generó controversias y debates. Esta preocupación aumenta en el contexto actual de fuertes restricciones económicas. Es la vieja polémica de cañones o mantequilla.
Los problemas con adversarios inteligentes tienen un componente de teoría de juegos. De hecho, la mayor parte de los modelos de lucha contra terrorismo ha seguido los pasos de esta disciplina, nacida de la mente del recientemente desaparecido John Nash. Sin embargo, sus conceptos estándar, como el equilibrio de Nash, tienen poco que decir en este campo, principalmente debido a que la hipótesis de conocimiento común no se suele cumplir en estos problemas, como, por ejemplo, en el caso del terrorismo.
Una de las alternativas más interesantes la aporta el análisis de riesgos adversarios. En esta teoría, se construye un modelo de la toma de decisiones para un agente, que debe incluir una predicción de las posibles acciones del atacante. Esto se consigue desarrollando un modelo de sus decisiones. Las probabilidades y preferencias del atacante se consideran como inciertas y se propaga esta incertidumbre para calcular la alternativa óptima aleatoria para el agente. Estas ideas se combinan con los métodos tradicionales del análisis de riesgos. Gracias a estos desarrollos es posible anticiparse a las amenazas de la sociedad del riesgo, estar mejor preparadas ante ellas, hacer inversiones de seguridad más efectivas y ahorrar fondos para otras actividades más constructivas de las organizaciones. Un uso más efectivo de menos cañones para así disponer de más mantequilla.
David Ríos es AXA-ICMAT Chair en el Instituto de Ciencias Matemáticas, ICMAT-CSIC y Numerario de la Real Academia de Ciencias