En resumen: los costes de un ciberataque para una empresa se componen de tres grupos: costes directos de gestión del incidente, limpieza y asesoramiento; costes indirectos por la parada, el tiempo de trabajo y la pérdida de confianza; y costes posteriores de refuerzo, migración y trabajos de seguimiento. Las sumas globales no son serias. Lo fiable es un cálculo propio que rellene cada partida con sus cifras y permita así justificar la prevención.
La cuenta que nadie hace
En muchas rondas presupuestarias, la seguridad figura como centro de coste en un lado. En el otro lado no hay nada, porque el daño todavía no se ha producido. Solo cuando se toma el control de un servidor se ve todo lo que se acumula, y normalmente es más que la factura del proveedor de servicios.
PHP2Shell ha obligado a muchas empresas esta semana a sopesar: ¿desconectar el sitio web de inmediato, como recomendó el BSI (Oficina Federal alemana para la Seguridad de la Información) para los sistemas que no pueden parchearse, o dejarlo funcionando? Esta decisión también es una cuestión de costes. Quien sabe lo que cuesta un día de parada y lo que podría costar una intrusión decide con más calma. Según los medios, la ciudad de Maguncia, por ejemplo, desconectó de forma preventiva su portal web central; las oficinas siguieron localizables por teléfono y por correo electrónico. También una parada así tiene un precio, solo que previsible.
Los costes de un ciberataque, de un vistazo
El siguiente desglose recoge las partidas típicas. No todas se producen en cada incidente, pero todas deberían revisarse.
| Grupo | Partida de coste | De qué depende |
|---|---|---|
| Directo | gestión del incidente y ayuda técnica de emergencia | duración, número de sistemas, hora del día |
| Directo | informática forense y preservación de pruebas | alcance, necesidad de documentación válida ante un tribunal |
| Directo | limpieza o reconstrucción de servidores | estado de las copias de seguridad, documentación |
| Directo | asesoramiento jurídico y de protección de datos | obligaciones de notificación, contratos, reclamaciones |
| Directo | notificación a los afectados, atención al cliente | número de afectados, canales |
| Indirecto | pérdida de ventas durante la desconexión | dependencia del sistema, duración |
| Indirecto | tiempo de trabajo interno de dirección, TI, ventas | preparación, claridad de los roles |
| Indirecto | pérdida de visibilidad en los buscadores | avisos de advertencia, spam inyectado |
| Indirecto | bloqueo del envío de correo | uso indebido del servidor para spam |
| Indirecto | pérdida de confianza de clientes y socios | comunicación, tipo de datos |
| Posterior | refuerzo, monitorización, nuevos procesos | estado de partida |
| Posterior | migración de software obsoleto | p. ej. PHP 8.1 y anteriores |
| Posterior | adaptaciones contractuales con proveedores | regulación existente |
| Posterior | posibles reclamaciones de terceros o multas | caso concreto, valoración jurídica |
Costes directos: lo que figura en las facturas
Los costes directos son los más fáciles de registrar, porque llegan en forma de factura. Incluyen la ayuda técnica, la informática forense, la limpieza y el asesoramiento. Su alcance depende mucho de la preparación. Si hay un inventario actualizado, copias de seguridad probadas y registros asegurados, el análisis es más rápido. Si falta todo eso, parte del trabajo consiste en buscar rastros de lo más básico. Qué incluye una investigación a fondo lo describe Informática forense tras un ataque a un servidor web.
A ello se suman partidas en las que al principio no se piensa: horas extra de proveedores externos en fin de semana, un servidor de sustitución para el periodo transitorio o la impresión y el envío de cartas cuando hay que informar así a los afectados.
Costes indirectos: lo que no figura en las facturas
Los costes indirectos suelen ser mayores y más difíciles de captar. La pérdida de ventas de una tienda puede deducirse de las cifras propias. El tiempo de trabajo de la dirección, TI, ventas y atención al cliente, en cambio, rara vez se registra, aunque un incidente ocupe a muchas personas durante días.
Dos consecuencias afectan especialmente a los sitios web. Si Google encuentra código malicioso, un aviso de advertencia puede ahuyentar a los visitantes hasta que se confirme la limpieza; cómo conseguir que se retire se explica en Quitar la advertencia de Google. Si el servidor se usa indebidamente para enviar spam, los correos de la empresa acaban en listas de bloqueo y ya no llegan a los clientes. Ambas cosas suelen seguir surtiendo efecto semanas después de la limpieza técnica.
Costes posteriores: lo que viene tras la limpieza
Cuando el servidor vuelve a estar limpio, la cuenta aún no está cerrada. Casi todo incidente saca a la luz omisiones que ahora hay que recuperar: refuerzo de los servidores, una monitorización que avise antes en el futuro, copias de seguridad probadas, nuevos accesos para todos los implicados. Si un sistema funciona con PHP 8.1 o anterior, para el que ya no hay actualizaciones oficiales, suele tocar una migración que de todos modos habría sido necesaria, pero que ahora se hace con presión de tiempo.
A ello se suman costes organizativos posteriores. Se revisan los contratos con el proveedor de alojamiento y la agencia, se adapta el plan de emergencia, se forma al personal. Algunas de estas partidas son inversiones razonables que habrían sido más baratas sin el incidente. Ese es precisamente el argumento a favor de la prevención.
Elaborar su propio cálculo
En lugar de estadísticas ajenas, ayuda un cálculo con cifras propias. Así se procede:
- Nombrar los sistemas críticos: ¿qué sitios web, tiendas y portales sostienen ventas o procesos?
- Estimar el coste de parada por día: a partir de datos de ventas, entrada de pedidos o tiempo de trabajo que no puede realizarse sin el sistema.
- Computar las horas internas: ¿quién quedaría ocupado y durante cuánto tiempo? Valorarlo con tarifas horarias internas.
- Consultar las partidas directas: solicitar ofertas marco a los proveedores para ayuda de emergencia e informática forense.
- Contrastar con la cobertura del seguro: ¿qué partidas cubre la póliza, qué franquicias y condiciones se aplican?
- Comparar con la prevención: ¿cuánto cuestan al año el inventario, el proceso de parches, las copias de seguridad, la monitorización y el mantenimiento?
Calcule con un rango en lugar de una cifra: un incidente que se descubre el mismo día y otro que no se nota hasta semanas después. La diferencia muestra cuánto vale la detección temprana.
Si un ciberseguro asume determinadas partidas lo regulan exclusivamente sus condiciones de seguro; Ciberseguro: qué cuenta en caso de siniestro ofrece indicaciones sobre las obligaciones típicas. Las posibles reclamaciones de terceros, penalizaciones contractuales o multas no pueden cuantificarse de antemano; es una cuestión jurídica para el abogado y el delegado de protección de datos. Esta página no constituye asesoramiento jurídico.
¿Cómo ayuda PHP SOS en concreto?
- Identificamos con usted los sistemas críticos y mostramos qué partidas de coste se producirían de forma realista allí en caso de incidente.
- Comprobamos lo bien preparados que están las copias de seguridad, los registros y el inventario, porque de ello dependen mucho los costes directos.
- Elaboramos una oferta por escrito para la prevención que usted pueda contrastar con su propio cálculo.
- La prevención continuada la asumimos mediante un contrato de mantenimiento de seguridad con un alcance claramente descrito.
Conclusión: las partidas más caras de un hackeo rara vez figuran en una factura. Quien las hace visibles de antemano con cifras propias puede justificar la prevención y decidir más rápido en caso de emergencia.
Preguntas frecuentes
¿Cuánto cuesta un ciberataque a una empresa?
No se puede responder de forma genérica. Los costes dependen del tipo y la duración del incidente, de los datos afectados, de la dependencia del sistema y de la preparación. Solo es serio un desglose de las partidas de coste que usted rellena con cifras propias.
¿Qué costes cubre un ciberseguro?
Lo regulan las condiciones de su contrato de seguro. A menudo se trata de los costes de gestión del incidente, la interrupción de la actividad y determinados casos de responsabilidad, siempre con condiciones y obligaciones. Aclare el alcance de antemano con su aseguradora o su corredor.
¿Qué costes se pasan por alto con más frecuencia?
El tiempo de trabajo interno, las semanas posteriores al incidente, las consecuencias para el envío de correo y los buscadores, y los costes de medidas que en realidad ya habrían sido necesarias antes, por ejemplo la migración de una versión de PHP obsoleta.
¿Se pueden cuantificar de antemano multas o indemnizaciones?
No. Si surgen tales reclamaciones y de qué cuantía depende del caso concreto y es una cuestión jurídica. Para una valoración son competentes el delegado de protección de datos y el abogado; esta página no constituye asesoramiento jurídico.