El coste real de un ciberataque para una pyme

Cuando piensas en ciberseguridad como un gasto es porque nunca has calculado cuánto cuesta un ciberataque para tu propia empresa. La factura no llega en una sola línea: llega en varias líneas distintas, repartidas a lo largo de semanas, y la mayoría de ellas ni siquiera pasan por el departamento de IT. Si diriges una pyme de entre 10 y 50 empleados, puedes calcular ese número tú mismo con los datos que ya tienes, sin depender de ninguna estadística ajena a tu negocio.

Cuánto cuesta un ciberataque: el primer número, los días con la operación parada

Un ransomware que cifra tus servidores, un correo de facturación bloqueado o un sistema de pedidos caído tienen algo en común: paran la actividad mientras se resuelven. Ese tiempo no es gratis. Coge tu facturación media y divídela entre los días laborables del mes: ese es, aproximadamente, el coste de un solo día parado. Multiplícalo por los días reales que tardarías en volver a operar con normalidad, no por los que te gustaría tardar.

Ese cálculo cambia mucho según si tienes copias de seguridad probadas y un plan para restaurarlas, o si la primera vez que las necesitas descubres que no funcionan. La diferencia entre esos dos escenarios se mide en días, y cada día tiene el precio que acabas de calcular.

El tiempo de tu equipo que nadie factura

Mientras dura el incidente, alguien tiene que ocuparse de él. Normalmente es la persona que además lleva la informática, junto a administración, atención al cliente explicando retrasos y dirección coordinando la respuesta. Ese tiempo desaparece de sus tareas normales y no aparece en ninguna factura. Aun así tiene un coste real: su salario por hora multiplicado por las horas que dedican a apagar el fuego en lugar de a su trabajo.

En una empresa sin una persona dedicada a seguridad, este desvío suele ser más largo de lo previsto, porque hay que aprender sobre la marcha qué ha pasado antes de poder solucionarlo.

Ayuda externa de urgencia y reconstrucción de sistemas

Si no tienes ya un proveedor de confianza cuando ocurre el incidente, contratas a quien puede venir esa misma semana, y ese servicio se factura a precio de urgencia, no al precio de un contrato planificado. A eso se suma la reconstrucción: reinstalar sistemas desde cero, recuperar o recrear datos que no tenían una copia limpia, y volver a configurar todo lo que se había perdido. Es trabajo distinto al de los días parados y se paga aparte.

Un análisis de riesgos de ciberseguridad hecho con calma, antes de que pase nada, identifica justamente estos puntos débiles (copias sin probar, sistemas sin parchear, accesos mal configurados) y evita que la respuesta a un incidente empiece de cero.

Clientes y contratos que se van sin decir nada

La mayoría de los clientes que se pierden después de un incidente no cancelan con una carta explicando el motivo. Simplemente no renuevan, o adjudican el siguiente contrato a otro proveedor. Si tu empresa trabaja para clientes más grandes, es cada vez más habitual recibir cuestionarios de seguridad antes de firmar o renovar un contrato: un incidente reciente hace esas preguntas mucho más difíciles de responder.

Piensa en cuántos de tus clientes actuales dependen de que cumplas plazos y de que confíen en cómo tratas sus datos. Ese es el segundo número que puedes estimar tú mismo: cuánto factura cada uno de esos clientes al año y cuántos podrías permitirte perder.

Cuando hay datos personales de por medio: el RGPD

Si el incidente afecta a datos personales de clientes, empleados o proveedores, entra en juego el RGPD. El artículo 33 obliga a notificar a la autoridad de control en un plazo de 72 horas desde que se tiene conocimiento de la brecha, lo que exige investigar el alcance rápido y, casi siempre, con ayuda legal. A eso se añade, si procede, la notificación a las propias personas afectadas.

El RGPD fija además unos techos sancionadores máximos de hasta 10 millones de euros o el 2% de la facturación global para determinadas infracciones, y de hasta 20 millones de euros o el 4% para las más graves. Son límites legales, no una previsión de lo que pagará cada empresa. Explican, de todos modos, por qué el trabajo de cumplimiento después de una brecha (documentar, notificar, responder a preguntas de clientes y autoridad) no es opcional ni rápido.

El seguro sube y llegan los cuestionarios

Después de un incidente declarado, renovar el seguro de ciberriesgo suele costar más y exigir más documentación para demostrar qué medidas has puesto en marcha. Y no solo la aseguradora pregunta: los clientes que ya te piden cuestionarios de seguridad antes de firmar los harán más exhaustivos si conocen el antecedente, y los que aún no te los piden probablemente empiecen a hacerlo.

Una auditoría de seguridad periódica genera precisamente la documentación que estos cuestionarios piden: qué se ha revisado, qué se ha corregido y cuándo. Tenerla lista antes de que la pidan cambia por completo cuánto tiempo interno consume responder.

Haz tu propio cálculo

Ninguno de estos componentes necesita una estadística externa. Puedes construir tu número con lo que ya sabes de tu propia empresa:

• Facturación diaria media, multiplicada por los días reales de parada.
• Horas de tu equipo desviadas de su trabajo, multiplicadas por su coste por hora.
• Presupuesto de ayuda externa de urgencia y de reconstrucción de sistemas.
• Facturación anual de los clientes que podrías perder o que no renovarían.
• Horas legales y administrativas si hay datos personales afectados.
• Incremento estimado del seguro y del tiempo dedicado a cuestionarios de clientes.

Suma esas seis líneas y compáralas con lo que costaría, mes a mes, tener el problema bajo control antes de que ocurra: copias de seguridad probadas, sistemas revisados con regularidad y un plan claro de quién hace qué el primer día de un incidente. La prevención no elimina el riesgo. Convierte una factura impredecible en un coste mensual que puedes planificar. El primer paso práctico suele ser el mismo en cualquier pyme: saber, con datos reales, dónde están hoy tus puntos débiles.