Cuánto le cuesta una filtración de datos a una pequeña empresa y dónde se generan los costes

A la pregunta «¿cuánto cuesta una filtración de datos?» se suele responder con una gran media que no le dice nada a una empresa de veinte personas. En realidad, el coste rara vez llega como una única factura grande. Es una serie de partidas pequeñas que coinciden en el tiempo, y justo cuando la organización tiene menos capacidad para gestionarlas.

Aquí está dónde se acumulan los costes, en el orden en que suelen hacerse visibles.

1. La caída del servicio

Lo primero que ocurre en un ataque de ransomware o en una brecha grave es que los sistemas se detienen. No se pueden tomar pedidos, no se pueden enviar facturas, la producción se para. Para una empresa con márgenes ajustados, dos días de parada suelen ser la partida individual más grande, mayor que la propia restauración.

Calcúlelo antes de que ocurra: ¿cuánto cuesta un día sin sus dos sistemas más importantes? La cifra suele ser incómodamente concreta.

2. La investigación y la restauración

Entender qué ha pasado requiere el tiempo de alguien que sepa hacerlo. A menudo implica ayuda externa: análisis forense, restauración desde copias de seguridad, sustitución de cuentas comprometidas, rotación de claves y certificados. Aunque la copia de seguridad funcione, la restauración consume tiempo interno que habría ido a los clientes.

Pregunta de control: ¿cuándo probó por última vez una restauración y cuánto tardó?

3. Los clientes perdidos y la confianza

Los clientes que pasan una semana sin respuesta empiezan a buscar alternativas. Los clientes empresariales con sus propios requisitos de cumplimiento pueden clasificarle como riesgo de proveedor, lo que en la práctica significa auditorías, cambios de contrato o, en el peor de los casos, contratos perdidos.

La confianza es la partida más difícil de medir en cifras y la más difícil de reconstruir. Por eso el trabajo de seguridad demostrable tiene valor de negocio, no solo coste.

4. Las obligaciones regulatorias

Según el sector y el caso, pueden activarse obligaciones de notificación: a la autoridad de control, a las personas afectadas y, en algunos casos, a los socios. La notificación tiene plazos (en NIS2, por ejemplo, 24 horas para la alerta temprana y 72 horas para la notificación) y exige poder describir lo ocurrido. Si no puede hacerlo, la investigación se alarga y se encarece.

Añada asistencia jurídica, comunicación y posibles sanciones o reclamaciones de indemnización.

5. Lo que rara vez se tiene en cuenta

• El tiempo de la dirección. Semanas de foco que habrían ido al desarrollo del negocio.
• El tiempo de la plantilla. Las mismas personas que deberían mantener la operación se ocupan del incidente.
• Las condiciones del seguro. El seguro rara vez cubre todo, y las primas cambian tras una declaración.
• Los proyectos aplazados. Todo lo demás se detiene.

Qué reduce realmente los costes

Ninguna medida le hace invulnerable. Pero algunas cambian cómo se desarrolla un incidente:

1. MFA en cuentas administrativas y en el correo. Cierra el punto de entrada más utilizado.
2. Una copia de seguridad probada con un tiempo de restauración conocido. Convierte una petición de rescate en un detalle molesto.
3. Un inventario de activos públicos. Permite saber qué está expuesto antes de que lo diga otro.
4. Un plan de incidentes de una página. Nombres, números y las tres primeras acciones.
5. Registros que permitan responder a «¿qué ha pasado?». Sin ellos, cualquier investigación cuesta más.

La perspectiva que suele decidir

La mayoría de las empresas gasta más en gestionar las consecuencias de un incidente que en prevenirlo. No es una cuestión técnica, es una cuestión de prioridades. La seguridad continua consiste en poner un coste pequeño y regular en el lado correcto, en lugar de pagar más tarde un coste grande e irregular.

Empiece calculando el coste de un día de caída del servicio. Esa cifra suele hacer que el resto de la conversación sea mucho más sencilla.