El costo de los ciberataques y el ROI
Por Jonathan Fridman, director de Operaciones Avantika:
La pandemia mundial de COVID19 parece estar llegando a un estado de relativa estabilidad. Si bien será algo con lo que tendremos que vivir el resto de nuestras vidas, las consecuencias más allá de los claros efectos en la salud y en la vida, también permanecerán con nosotros y podemos hablar de una época AC y DC (antes y después del COVID).
Definitivamente los principales héroes han sido los médicos y las vacunas que han logrado prevenir y salvar miles de vidas, sin embargo, hay un héroe del que poco se ha hablado y que había estado presente en nuestras vidas, pero de manera más discreta, la tecnología.
Estas herramientas que nos permitieron seguir operando lo más normal o eficiente posible a pesar de estar distanciados. Bancos, compras, supermercados, educación y trabajo remoto son algunos ejemplos de servicios básicos que pudimos mantener en el encierro de manera relativamente eficiente. Aunque si bien es un hecho que no estábamos preparados para esta transformación digital, la realidad es que desde hace muchos años hemos venido evolucionando en esa dirección, la pandemia únicamente funcionó como el catalizador perfecto para potencializar esta transformación en nuestra vida diaria.
Prácticamente todos los aspectos de nuestra vida diaria, de nuestras familias y colaboradores se vieron afectadas por esta transformación digital y sus efectos todavía no terminamos de dimensionarlos. Lo que es innegable es que nuestros hábitos y forma de vivir el día a día cambió.
A pesar de los innumerables beneficios que hemos encontrado y que seguimos descubriendo de evolucionar a un mundo mucho más digital e interconectado, hay un elemento que también se potencializó como consecuencia directa del uso intensivo de tecnologías, los Ciberataques. Básicamente un ciberataque es la explotación deliberada de sistemas informáticos, empresas y redes que dependen de la tecnología. Los ataques cibernéticos usan código malicioso para alterar el código, la lógica o los datos de los equipos, lo que genera consecuencias que pueden comprometer los datos y dar lugar a delitos cibernéticos, como el robo de información y de identidad.
Si no estábamos preparados para modificar nuestras rutinas y hábitos tecnológicos, mucho menos lo estábamos para protegernos y hacer uso de manera segura de esta tecnología. Esta brecha ha sido explotada por los ciberdelincuentes, para los cuales la pandemia convirtió un negocio que ya era rentable, en un campo fértil para explotar y aprovechar al máximo.
Existen tres elementos que explican el incremento en los ciberataques:
- Es negocio. Los daños infligidos por la ciberdelincuencia ascienden a un estimado global de 6 trillones de dólares en 2021, si midiéramos la ciberdelincuencia en términos de un país, esto representaría la tercera economía más grande del mundo solo detrás de Estados Unidos y China. Esta cifra representa $500 Billones al mes, $115.4 Billones a la semana, $16.4 Billones al día, $684.9 Millones cada hora, $11.4 Millones al minuto y $190,000 dólares cada segundo. En resumen, es rentable.
- Hay mercado. Todos nos volvimos más vulnerables a partir de la pandemia y el trabajo remoto. El costo promedio de un ciberataque fue $1.07 millones de dólares más alto donde el trabajo remoto fue un factor. Las organizaciones que adoptaron algún tipo de modelo de trabajo remoto pagaron un promedio de $1.07 millones por daños derivados de una brecha de seguridad en sus datos. También se necesita más tiempo para que los colaboradores operando de manera remota contengan estos ataques. En promedio, las empresas con hasta el 50% del personal trabajando de forma remota tardaron al menos 58 días en identificar y contener las filtraciones de datos.
- Relación costo-beneficio. El anonimato que ofrece internet y el incremento de sitios de ingeniería social hacen que las técnicas de ataque se vuelvan cada mes más accesibles. El elemento trasnacional, la existencia de “agujeros negros” informáticos como China o Rusia y la constante evolución de técnicas y modelos de extorsión y secuestro de información hacen que el rastreo de los ciberdelincuentes sea cada vez más complejo.
En estas condiciones de acceso a la información y anonimato, el beneficio potencial de realizar un ataque supera y por mucho la probabilidad de ser detenido. Sobre todo, cuando el uso de criptomonedas sin controles o supervisiones internacionales establecidas permite consolidar un modelo criminal rentable y de muy bajo costo. En Estados Unidos se estima que solamente el 0.3% de todos los cibercrímenes reportados son procesados por la autoridad y dado que la gran mayoría de los ataques no son reportados, este número podría disminuir a menos del 0.05%. Si a esto le sumamos el hecho de que muchas empresas que son vulneradas pueden no estar enteradas y ni si quiera reportarlo, menos del 1% de los ciberdelincuentes son atrapados y condenados.
Inversión en ciberseguridad
A primera vista parecería que la pregunta relevante para los directores y dueños de empresas debería ser ¿Qué podemos hacer para protegernos?, sin embargo, la realidad es que la pregunta que realmente todos hacemos es ¿Cuánto debemos gastar en ciberseguridad para evitar un ataque?
El gasto promedio anual en ciberseguridad por empleado se incrementó de $2,337usd a $2,691usd en 2020 aproximadamente 15%. Mientras que un negocio promedio en Estados Unidos destina tan solo alrededor del 6% de su presupuesto de TI en Ciberseguridad. Estos números para América Latina son aún más preocupantes dado que las regulaciones de cumplimiento son mucho menos estrictas que en Estados Unidos donde el incentivo a invertir en ciberseguridad se da principalmente por las regulaciones cada vez más demandantes y que abarcan prácticamente todos los sectores e industrias.
En términos del Retorno de Inversión (ROI), la mayoría de las empresas calculan la inversión en ciberseguridad de acuerdo al benchmark con el mismo sector y el riesgo potencial de los costos derivadas de la pérdida o secuestro de información. Sin embargo, pocas consideran cuál es la necesidad real al interior de la empresa. De aquí que al diseñar un Plan Anual de Ciberseguridad, si bien es importante considerar lo que se está haciendo en la misma industria, el componente fundamental es realizar un traje a la medida identificando los elementos con los que cuento, el valor de los riesgos asociados a una brecha de seguridad y alinear los procesos y objetivos del negocio en una misma dirección incluyendo a todos los miembros de la organización creando una cultura de ciberseguridad robusta e integral.
Finalmente, el cuestionamiento que todos debemos hacernos es el siguiente: Hace tres años, ¿cuál era mi nivel de conciencia y preocupación por la postura de ciberseguridad en mi empresa y en mi entorno? Y hoy en día a cuanto se ha incrementado ese nivel de conciencia y preocupación. Una vez definido este incremento, la pregunta critica es si mi inversión en ciberseguridad se ha incrementado en la misma proporción. Una discrepancia en esta correlación es un claro indicador que debemos asesorarnos y ejecutar acciones, porque hoy en día somos vulnerables.
WhatsApp eSemanal 55 7360 5651
