En 2024 el costo promedio de una filtración de datos en el mundo alcanzó $4.88 millones, y esto no es un titular sensacionalista: es dinero real que pierden las empresas tras incidentes cibernéticos. Pero, ¿qué entra exactamente en esa cifra? Spoiler: no es solo el rescate o la restauración de servidores. El costo de una filtración es una tarta multinivel de gastos técnicos, legales, de imagen y comerciales que pueden pasar factura durante años.
Para que las empresas no se limiten a entrar en pánico y puedan entender a qué pérdidas se pueden enfrentar, analicemos: cuáles son los gastos directos e indirectos, cómo se forman, qué herramientas de cálculo existen y, sobre todo, cómo diseñar una estrategia para gestionar estos riesgos.
Qué es una filtración de datos y por qué es costosa
Una filtración de datos no es solo la publicación de bases de clientes en un foro. Puede ser el robo de documentos confidenciales, cuentas comprometidas, la infección de la infraestructura por ransomware o incluso la pérdida de datos a causa de un ataque DDoS. El punto clave: los datos han quedado fuera del control de la empresa.
Y ahí empiezan los gastos. No solo en la remediación, sino también en indemnizaciones, multas, auditorías, clientes perdidos, nuevas contrataciones, actualización de sistemas, campañas de reputación y demás.
Gastos directos: todo lo que se puede calcular de inmediato
Los gastos directos son los que aparecen de forma inmediata en los informes financieros. Son más fáciles de estimar y suelen ser los que llegan a los titulares:
- Respuesta al incidente y peritaje digital: contratación de especialistas externos — desde investigadores en ciberseguridad hasta abogados que ayudan a entender cómo ocurrió el ataque y cómo reaccionar.
- Notificación a los afectados: envío de cartas, puesta en marcha de centros de atención telefónica, envío de notificaciones push, ofertas de monitorización de crédito — todo eso cuesta mucho, especialmente en grandes volúmenes.
- Multas legales y reclamaciones de los reguladores: el incumplimiento de GDPR, HIPAA o de la ley rusa 152-FZ puede acarrear sanciones importantes, y las demandas de los afectados solo agravarán los gastos.
- Rescate: en caso de un ataque de ransomware, algunas empresas (a pesar de las recomendaciones de las fuerzas de seguridad) pagan a los delincuentes para recuperar el acceso a los datos.
- Restauración de infraestructura: compra de nuevo equipamiento, despliegue de sistemas desde cero, recuperación desde copias de seguridad y el tránsito temporal a canales alternativos de comunicación.
- Inversiones para reforzar la seguridad: nuevas soluciones, monitorización, reemplazo de componentes obsoletos, formación del personal — todo eso se vuelve obligatorio a posteriori.
Gastos indirectos: lo que no se ve de inmediato
Los gastos indirectos son como los intereses ocultos de una deuda. No pueden registrarse en una sola línea contable, pero sin duda aparecerán, especialmente si el incidente sale a la luz o afecta a muchos clientes.
- Pérdida de clientes y socios comerciales: la caída de la confianza conduce a la fuga de clientes y a la pérdida de contratos. Algunas empresas, tras grandes filtraciones, pierden hasta el 20% de sus ingresos en un año.
- Pérdida de propiedad intelectual: si se roba el código fuente, desarrollos de I+D o la base de análisis interna, eso puede costarle a la empresa su producto único o su ventaja competitiva en el mercado.
- Aumento de las primas de seguro: después de un incidente, las aseguradoras elevan las tarifas del ciberseguro o incluso se niegan a renovar la póliza.
- Pérdida de productividad y rotación de personal: los empleados destinan tiempo a la respuesta, parte del personal clave puede dimitir, sobre todo si la empresa culpa públicamente a negligencias internas.
- Mayor atención de los reguladores: tras una filtración suelen seguir auditorías, inspecciones no programadas y una extensa correspondencia con los organismos de control, lo que consume recursos.
Cómo estimar las posibles pérdidas
¿Cuánto costará una filtración para su empresa? Todo depende del sector, del número de registros afectados, de las protecciones existentes, de la respuesta, del PR, de la estructura de almacenamiento de datos, etc. Pero para hacerse una idea se pueden usar calculadoras especializadas:
- Arctic Wolf: calculadoras para ataques de ransomware, compromiso de correspondencia empresarial (BEC) y filtraciones de datos.
- NetDiligence: orientada a los tipos de datos afectados.
- At-Bay: ofrece modelos visualizados de cálculo de daños.
Importante: estas herramientas dan estimaciones aproximadas y sirven más para comprender el orden de magnitud y las categorías de riesgo. Pero si observa que para su empresa el riesgo puede alcanzar varios millones — eso ya es motivo para pensar en una estrategia.
Cómo gestionar el riesgo de filtraciones: desde Excel hasta la estrategia
No existe una protección absoluta —y no es necesaria. Pero ignorar las amenazas lleva a pérdidas. El mejor enfoque es una estrategia de gestión de riesgos bien pensada, donde cada paso no sea solo una casilla en una lista, sino una herramienta para reducir el daño.
Formule objetivos estratégicos
En la primera etapa hay que determinar qué es lo importante a proteger. Use marcos como ISO 27001, NIST, COBIT o empiece con un documento básico: formule objetivos estratégicos y conéctelos con prioridades operativas, regulatorias y de reputación. Ejemplo:
- Objetivo: asegurar el funcionamiento ininterrumpido del portal de clientes.
- Riesgo: parada por un ataque a la infraestructura.
- Métrica: no más de 2 horas de inactividad por trimestre.
Realice una evaluación de riesgos empresariales
El siguiente paso es el inventario de activos: sistemas TI, servicios, bases de datos, proveedores. Incluso en Excel se puede reflejar. Luego hay que asociar cada activo con las amenazas. Por ejemplo:
- ¿Qué sucederá si el sistema de pagos en línea se infecta con un virus?
- ¿Qué daño causaría un ataque DDoS al API externo?
Lo principal es aprender a priorizar: evaluar por probabilidad e impacto ayuda a identificar los riesgos a los que hay que dedicar recursos en primer lugar.
Defina niveles de riesgo aceptables
Cuando el mapa de amenazas está claro, hay que fijar los niveles de riesgo aceptables. Esto se documenta mediante declaraciones de tolerancia y apetito de riesgo:
- Apetito de riesgo: «Nuestros usuarios esperan un servicio continuo. La interrupción debe ser la excepción».
- Nivel aceptable: «Se admite hasta 2 horas de inactividad al mes para no más del 5% de los usuarios».
Esas formulaciones convierten objetivos generales en acciones medibles. Son útiles tanto para la planificación como para el control.
Desarrolle y haga seguimiento del plan de acción
A partir de la estrategia se pueden diseñar medidas concretas: implementación de control de acceso, monitorización, copias de seguridad. Es útil apoyarse en estándares reconocidos:
Importante: la gestión de controles debe partir de la comprensión de los riesgos, no de una lista de verificación. Una medida de seguridad no es un fin en sí misma, sino un medio para lograr un resultado concreto: reducir la probabilidad de un incidente, minimizar sus consecuencias y recuperarse rápidamente.
Conclusión
El costo de una filtración de datos no es solo una suma en una factura, sino una mezcla compleja de consecuencias técnicas, legales y humanas. Entender la estructura de esos gastos ayuda a las empresas a establecer prioridades adecuadas, no pagar de más por medidas innecesarias y estar preparadas para el peor escenario —no como víctimas, sino como gestores. La gestión de riesgos no es un antivirus ni una copia de seguridad. Es la capacidad de tomar decisiones fundamentadas cuando la seguridad es solo uno de los factores en el juego por la supervivencia del negocio.
