Impacto económico de una brecha de seguridad y pérdida de datos

Como viene siendo habitual en los últimos años, Ponemon Institute de la mano de IBM ha publicado en julio de 2018 el estudio global del impacto económico de las brechas de seguridad y pérdida de datos, un documento nada llevadero donde analizan un compendio de 477 empresas clasificadas por países y sectores, y elaboran una estadística comparativa con respecto a años anteriores de lo que supone económicamente una fuga o pérdida de información sensible de la empresa.

En este artículo voy a analizar los datos del estudio de Ponemon Institute/IBM (únicamente aunando la estadística de los países miembros de la Unión Europea incluidos en el estudio) contrastándolos con la información del Professional Program on Cibersecurity de Microsoft donde también se aportan datos para calcular el impacto de esta importantísima brecha.

Al igual que ya vimos en el artículo de Impacto económico de una caída de los sistemas, tenemos que manejar dos tipos de costes: tangibles e intangibles. Comenzando esta vez por los intangibles, se repite la fórmula del daño reputacional, donde Microsoft directamente menciona como incalculable el efecto que éste puede tener sobre la empresa. Plataformas de ecommerce donde se hayan vulnerado o publicado tarjetas de crédito, redes sociales donde se hayan publicado usuarios y contraseñas, o un largo etcétera de filtraciones que ya se han visto en el pasado impactan directamente en el uso por parte de los usuarios en estos sistemas vulnerados.

Por la parte de los costes tangibles, debemos valorar (y no limitarnos a) los costes de investigación y mitigación de la brecha, que aunque así dicho parezca que van de la mano, no es así. En una empresa donde exista un equipo de ciberseguridad, tras el descubrimiento de una brecha, se deben destinar los recursos del equipo para auditar internamente el cómo ha sucedido y el alcance del ataque; y tanto si la empresa posee o no equipo propio, es altamente recomendado realizar la misma auditoría con miembros externos a la empresa. Por lo tanto, ya de inicio, tenemos el coste empresa de la auditoría interna y el coste de la empresa auditora externa.

Además de los costes de auditoría, debemos sumar el tiempo que tarden los equipos de ciberseguridad y sistemas en restablecer el servicio de forma segura, donde las vulnerabilidades explotadas hayan sido subsanadas y se pueda restablecer el servicio de forma segura, lo que puede provocar temporalmente cortes de servicio y, como ya vimos y mencionamos en nuestro anterior artículo, también supone costes directamente calculables.

Por último, dentro del ámbito de costes tangibles, debemos tener en cuenta dos factores más: los ciberataques que vulneren físicamente los equipos para deteriorarlos, donde se debe agregar a la fórmula los costes de sustitución de equipos dañados para la continuidad de negocio; y las cláusulas, normativas, indemnizaciones o multas a las que podamos estar sujetos por contrato o legislación.

Pero entonces, ¿de qué cifras estamos hablando?

Tomando como referencia los países de la zona Euro a julio de 2018 incluidos en el estudio de Ponemon Institute/IBM (Francia, Alemania, Reino Unido e Italia), haciendo la conversión de su valoración global de dólar a euro (en base a cotización con fecha 16/01/2019) y calculando los datos estadísticos sobre ataques, registros robados, facturación y PIB por país, todo lo anteriormente expuesto queda estadísticamente reducido de la siguiente manera:

¿Cómo paliar este impacto?

Algunas de las cosas en las que tanto Microsoft como Ponemon Insitute/IBM coinciden es que hay determinados factores que influyen a la hora de aumentar o disminuir el impacto económico de una brecha de ciberseguridad. Del lado de los factores que afectan positivamente (disminuyen el impacto) se encuentran, entre otros: disponer de un equipo y protocolo de respuesta ante ciberataques, hacer uso de cifrado de datos, formar a los empleados en materias de ciberseguridad y fugas de información, utilizar herramientas de inteligencia artificial en análisis de ciberseguridad, hacer uso de medidas DLP (data loss prevention), disponer en el esquema jerárquico de un CISO (Chief Information Security Officer – Director de Seguridad de la Información), clasificar los datos y gestionar el acceso a ellos y, por último pero no menos importante, disponer de un seguro en caso de robo de información, una medida cada vez más popular entre empresas europeas.