Cuando una empresa piensa en ciberseguridad, casi siempre empieza por la misma pregunta: ¿cuánto nos va a costar protegernos? Cuánto cuesta un SOC, cuánto cuesta proteger los equipos, cuánto cuesta monitorizar Microsoft 365, cuánto cuesta reforzar los backups o cuánto cuesta disponer de un servicio gestionado.
Es una pregunta lógica, pero incompleta, porque deja fuera la otra mitad de la ecuación: ¿cuánto nos cuesta no hacerlo? Porque cuesta, y os lo voy a demostrar.
¿Cuánto cuesta no protegerse?
Imaginemos una empresa que dentro de dos años sufre un ransomware. Durante varios días no puede operar con normalidad, no atiende a clientes, parte de los empleados pierde acceso a los sistemas, hay que recuperar servidores, analizar qué ha ocurrido, contratar especialistas externos, gestionar posibles filtraciones de información y dedicar una enorme cantidad de tiempo del equipo técnico y de dirección a resolver la crisis. Después de hacer números, la empresa estima que el impacto total podría alcanzar los 240.000 euros.
Ahora hagamos algo. En lugar de situar esos 240.000 euros en un hipotético día dentro de dos años, dividámoslos entre los 24 meses que quedan desde hoy hasta que ese incidente ocurra.
240.000 € / 24 meses = 10.000 € al mes.
Evidentemente, nadie está pagando hoy una factura mensual de 10.000 euros por no tener ciberseguridad. Pero la empresa sí está manteniendo abierta una exposición económica de ese tamaño. Esta forma de verlo cambia bastante la conversación, porque ya no estamos comparando una inversión de 4.000 o 5.000 euros mensuales en ciberseguridad frente a cero. Estamos comparando el coste de proteger la empresa, con el riesgo económico que estamos decidiendo asumir, el cual, se debe provisionar en el balance.
¿Por qué el ciberriesgo parece gratis?
Ese es uno de los grandes problemas del ciberriesgo: no manda facturas mensuales. Un empleado tiene un salario, una oficina tiene un alquiler y una licencia tiene un precio. El riesgo, en cambio, puede permanecer callado durante meses o años, y de repente, aparecer.
Por eso es tan fácil considerar cara cualquier inversión en ciberseguridad cuando su alternativa parece gratuita, incluso no verlo como una inversión, sino como un gasto que no vale para nada. Pero no hacer nada cuesta más en la mayoría de los casos. Significa aceptar que determinados incidentes pueden ocurrir y asumir sus consecuencias cuando finalmente se materialicen.
¿Qué hay que sumar para estimar el impacto?
Para calcular ese impacto no basta con pensar en un posible rescate. Hay que analizar qué le ocurriría realmente al negocio. Cuánto perderíamos por interrupción de la actividad, cuánto cuesta tener empleados sin poder trabajar, qué supondría recuperar sistemas, qué cuesta en términos de reputación, contratar especialistas de respuesta a incidentes, gestionar una filtración de datos, afrontar penalizaciones contractuales o perder clientes. Puedes empezar por las siguientes preguntas: ¿cuánto cuesta una hora con nuestros sistemas críticos parados? y ¿Qué tiempo promedio podemos estar parados por un ciberincidente?
Para esto último, los informes del sector sitúan el tiempo medio de recuperación tras un ransomware en torno a tres semanas.
¿Cómo se calcula el ciberriesgo en euros?
En gestión de riesgos se suele trabajar con una relación muy sencilla:
Riesgo = Probabilidad × Impacto.
Si una empresa identifica un escenario que podría generar 300.000 euros de pérdidas y estima una probabilidad anual del 20%, su pérdida esperada sería de 60.000 euros al año, o aproximadamente 5.000 euros al mes de riesgo esperado. Esto no significa que vaya a perder 5.000 euros cada mes, sino que existe una exposición económica que puede medirse y compararse con el coste de reducirla.
Y ahí es donde la ciberseguridad deja de ser un gasto tecnológico. Supongamos que una empresa estima una exposición de 120.000 euros anuales y que, tras implantar medidas de prevención, monitorización, detección y respuesta, consigue reducirla hasta 40.000 euros. Esta inversión ha reducido su exposición económica en 80.000 euros al año. A partir de ese momento, la conversación ya no gira únicamente alrededor de cuánto cuesta una herramienta o un servicio, sino sobre cuánto riesgo estamos eliminando y cuánto valor económico tiene esa reducción.
¿Qué necesita saber un CFO para decidir?
La ciberseguridad nunca elimina completamente el riesgo. El objetivo es entender qué puede ocurrir, cuánto daño podría provocar, reducir la probabilidad de que suceda y limitar su impacto cuando finalmente ocurra. Para que un director financiero o CEO pueda tomar buenas decisiones necesitaría conocer tres cosas: qué puede pasarnos, cuánto nos costaría y qué probabilidad existe de que ocurra.
En GrayHats ayudamos a las empresas precisamente a hacer este ejercicio: entender su nivel de ciberriesgo, identificar los escenarios con mayor impacto para el negocio y desplegar las capacidades necesarias para prevenirlos, detectarlos y responder cuando ocurren.
Porque quizá la pregunta no sea únicamente cuánto cuesta tener ciberseguridad.
Quizá la pregunta realmente importante sea:
¿Cuánto te cuesta cada mes no tenerla?
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog
¿Sabes cuánto riesgo estás asumiendo cada mes?
Hacemos contigo el cálculo con los datos de tu empresa: qué escenarios te pueden pasar, cuánto costaría cada uno y qué parte de esa exposición se puede eliminar.
Respondemos tus dudas
Sumando lo que le pasa al negocio, no solo el rescate: horas de actividad detenida, empleados sin poder trabajar, recuperación de sistemas, especialistas externos, gestión de una posible filtración, penalizaciones contractuales y pérdida de clientes. El punto de partida es saber cuánto cuesta una hora con los sistemas críticos parados.
Es el resultado de multiplicar la probabilidad de un escenario por su impacto económico. Sirve para convertir una intuición en una cifra comparable: permite poner el riesgo que asumes y el coste de reducirlo en la misma unidad, que son euros al año.
No. Ninguna medida lleva el riesgo a cero, y quien lo prometa no está midiendo bien. Lo que sí se puede hacer es reducir la probabilidad de que ocurra, limitar el impacto cuando ocurra y saber en qué cifra queda la exposición que la empresa decide asumir.
Es una decisión que corresponde a la dirección financiera y a su criterio contable. Lo que sí conviene es que la exposición esté cuantificada y documentada, porque un riesgo que nadie ha puesto en euros es un riesgo que nadie está gestionando.