El Instituto Nacional de Ciberseguridad (INCIBE) en su informe “Balance de ciberseguridad 2022” remarca el hecho de que en el año 2022 se gestionaron un 9% más de incidentes de seguridad. La tendencia futura será la de crecimiento continuado por lo que es imprescindible la inversión en ciberseguridad.
Los ciberataques afectan tanto a particulares como a empresas, en un porcentaje similar. En el ámbito empresarial se debe desterrar el mito de que no se ejecutan ciberataques contra las pequeñas empresas. Se podría pensar que una pequeña empresa carece de interés para los ciberatacantes. Sin embargo, éstos se aprovechan de que estas organizaciones no suelen contar con las defensas más eficaces en materia de ciberseguridad. Así mismo, esa posible debilidad defensiva atrae a los ciberatacantes noveles para ensayar las técnicas de ataque recién adquiridas.
Uno de los ciberataques que prolifera entre las pequeñas y medianas empresas es el conocido como “Fraude del CEO”. Los ciberdelincuentes suplantan la identidad de clientes o proveedores, falsificando facturas con el fin de desviar a sus cuentas bancarias los importes acordados. Así, la apropiación de, por ejemplo, un importe de 50.000€ puede suponer un serio problema para la contabilidad de una pequeña empresa. Además, al evidente perjuicio económico, hay que sumar la problemática derivada de la gestión de estas situaciones que habitualmente acarrean tensiones en las relaciones entre las partes afectadas.
Consecuencias de un ciberataque
En los medios de comunicación es habitual encontrar noticias relacionadas con ciberataques dirigidos contra grandes compañías y entidades públicas, siendo predominantes los cometidos mediante ransomware. Es este uno de los ataques más extendidos y que peores consecuencias ocasiona a las organizaciones afectadas. Cualquier organización puede verse afectada, independientemente de su tamaño.
Un ataque basado en ransomware sirve de claro ejemplo para determinar las enormes consecuencias que puede acarrear un ciberataque. Las operaciones de la organización puede paralizarse o verse afectada durante tiempo indefinido. En el mejor de los casos pueden ser únicamente horas, si bien es frecuente que sean días o, incluso, semanas.
Para que esto ocurra no es necesario desencadenar un complejo ataque masivo contra todos los sistemas de información de la organización. El sólo hecho de comprometer una parte de los sistemas de información, como por ejemplo el ERP de gestión financiera, puede obligar a paralizar el resto de los sistemas para verificar su estado.
Por otra parte, más allá de las consecuencias que un ciberataque tenga sobre la propia organización. Habrá que tener en cuenta las que se puedan desencadenar debido a aspectos relacionados con el sector al que pertenezca o a la actividad que desarrolle. Las consecuencias pueden llegar a ser extremas. A continuación, se describen algunos ejemplos:
- Empresas suministradoras: el hecho de que una empresa de suministro energético, de telecomunicaciones o de servicios básicos, como el agua, vea afectada su actividad puede impactar gravemente sobre la actividad de empresas y particulares.
- Empresas de transporte: compañías dedicadas al transporte de viajeros o de mercancías son esenciales para mantener la actividad cotidiana. Cualquier afección en sus servicios tiene efectos negativos evidentes.
- Hospitales: lamentablemente, ya se han producido ciberataques que han impactado sobre hospitales provocando afecciones sobre su infraestructura que han provocado el fallecimiento de personas.
- Entidades públicas: la actividad diaria de empresas y particulares está asociada a procesos en los que interviene la Administración. La alteración de su habitual funcionamiento puede acarrearles importantes afecciones.
Costes de un ciberataque
Todas estas consecuencias tienen una traslación económica evidente. El coste económico que conlleva un ciberataque es la principal preocupación para las organizaciones afectadas. Sin embargo, cuantificar ese coste implica realizar un análisis profundo, dado que son muy diversas las circunstancias que se deben contabilizar para conocer el coste real de un ciberataque. Es más, algunas son difíciles de identificar.
Así pues, a la hora de valorar la realización de una inversión en ciberseguridad, deberemos asegurar que, al menos, se tienen en cuenta los costes derivados de los siguientes aspectos:
- Pérdida económica derivada de la afección a la producción: la pérdida de ingresos fruto de estas afecciones suele ser el mayor coste que debe soportar la organización.
- Pérdida de confianza externa por parte de los clientes y los proveedores: sufrir un ciberataque puede generar cierta desconfianza en aquellos que mantienen relación con la organización afectada. Pueden pensar que las afecciones pueden extenderse.
- Daño reputacional: la filtración, por ejemplo, de información que incluya datos personales, tarjetas de crédito o números de cuentas bancarias supone un enorme descrédito para la organización comprometida, viéndose afectada su marca.
- Adquisición no prevista de equipamiento informático (software y hardware) para sustituir el afectado o desplegar medidas de protección.
- Contratación de recursos expertos en IT o ciberseguridad: se encargarán de hacer frente al ciberataque y recuperar el normal funcionamiento de los sistemas.
- Contratación de servicios jurídicos especializados: gestionarán posibles incumplimientos contractuales o normativos.
- Contratación de servicios de comunicación externa: determinarán cómo se debe informar a terceros afectados.
- Desviación de recursos a tareas no previstas: la gestión de un ciberataque puede requerir la realización de tareas no previstas por los equipos de la organización, dejando aparcadas las que estuviesen planificadas.
- Multas o sanciones: éstas suelen derivase del incumplimiento de normativas o acuerdos privados.
Adicionalmente, no conviene olvidar otro tipo de coste que las organizaciones deben soportar a la hora de gestionar un ciberincidente. Se trata del desgaste en los equipos humanos generado por la situación de crisis desencadenada.
Inversión en ciberseguridad
La inversión en ciberseguridad supone un esfuerzo adicional para las empresas que requiere de una adecuada planificación. En muchas ocasiones resulta difícil determinar el retorno de la inversión (ROI) dado que se da la paradoja de que, esa inversión está orientada a evitar un incidente y si éste no se produce, no será posible conocer su coste.
Por este motivo, algunas tesis señalan que la inversión en ciberseguridad debe estar orientada hacia la reducción de riesgos.
La inversión en ciberseguridad debe estar guiada por un Plan Director de Ciberseguridad en el que se detallen las prioridades, los responsables y los recursos que se van a emplear para mejorar la ciberseguridad de la organización.
El Plan Director de Ciberseguridad determinará el nivel de partida en el que se encuentra la organización y los proyectos que se deben acometer. Estos podrán consistir en la adquisición e implementación de tecnología o en la contratación de servicios externos y, también, en la adaptación a normativas del sector y en la formación a empleados.
Ventajas de implementar soluciones de ciberseguridad
La ciberseguridad en las organizaciones ha evolucionado en los últimos años dejando de ser considerada como un proyecto a pasar a ser un conjunto adicional de capacidades y recursos con los que debe contar una organización. La implementación de una estrategia de ciberseguridad sólida y adaptable al crecimiento de la organización es un factor diferenciador a nivel competitivo. Puede ayudar a generar confianza en los clientes y en los socios comerciales. Así mismo, sirve de aval para alinearse con las normativas aplicables en el sector o acceder a coberturas frente a riesgos cibernéticos, como puede ser un ciberseguro.
El mercado ofrece un amplio abanico de soluciones de ciberseguridad que permiten establecer medidas de defensa, detección y respuesta ante intentos de ataque contra los sistemas de información. La tecnología llega a todos los activos, desde el puesto de usuario, pasando por los servidores o el acceso al perímetro hasta llegar a los servicios en la nube. Todo ello permite a las organizaciones hacer frente a las amenazas de ciberseguridad emergentes.
La adopción de soluciones de ciberseguridad no es una inversión que únicamente puedan acometer grandes corporaciones. El mercado de la ciberseguridad ofrece tecnología con capacidad para adaptarse a todos los escenarios y con posibilidad de evolucionar según lo requiera la organización.
Global Technology dispone de un amplio catálogo de soluciones de ciberseguridad orientadas a la protección de los sistemas de información. El equipo de expertos de Global Technology implementa y administra estas soluciones para alcanzar una respuesta eficaz frente a los ciberataques. Anticípate a los ciberataques invirtiendo en ciberseguridad con Global Technology.
Responsable de SOC en Global Technology