El alto costo de protegerse contra el cibercrimen

En Oe! sabemos que “cibernética” tiene que ver más con la teoría de sistemas de Ludwig von Bertalanffy que con la informática, pero por el momento adoptaremos las expresiones que la mayor parte de la población puede identificar. En este artículo hablaremos sobre el cibercrimen o ciberdelincuencia, aquella modalidad delictiva caracterizada por ataques informáticos desde afuera de la organización, ataques perpetrados por personas malintencionadas que pertenecen a la empresa, y también incluye el robo de dispositivos. Estos ataques son cada vez más frecuentes y severos.

De acuerdo con un estudio realizado por Ponemon Institute y publicado por HP, las empresas promedio de más de mil trabajadores gastan al año cerca de USD 15 millones en su lucha contra el cibercrimen, un monto que representa un incremento de 20% en comparación con los resultados en 2014. Para elaborar su estudio sobre la incidencia y el costo del cibercrimen a nivel global, el Ponemon Institute realizó más de 2 mil entrevistas con profesionales de Tecnologías de Información, cumplimiento y seguridad de la información en 252 empresas en siete países: Estados Unidos, Reino Unido, Japón, Alemania, Australia, Brasil y Rusia.

Según este estudio, la mayor parte del gasto (40%) se debe a ataques producidos por código malicioso, malware, virus, gusanos, troyanos y botnets. Le siguen en importancia los ataques de denegación de servicios (DoS, Denial of Service) con el 16% y ataques phishing e ingeniería social con el 14%. El alto costo de combatir el cibercrimen se debe, entre otros motivos, a que a las empresas les toma en promedio 46 días contener un ataque exitoso luego de que este ha sido detectado, con un costo promedio diario de USD 43 mil. De acuerdo con los resultados del estudio, el rango de los montos que las empresas han gastado en la lucha contra el cibercrimen es amplio, desde USD 1.9 millones hasta USD 65 millones al año. Las empresas más grandes tienden a gastar más en total; sin embargo, su gasto por empleado es menor que las empresas más pequeñas.

El gasto de las empresas que luchan contra el cibercrimen es influenciado por una serie de factores organizacionales y tecnológicos. El factor organizacional más efectivo fue contar con un presupuesto amplio para ciberseguridad, lo cual redujo los gastos en USD 2.8 millones al año. Contratar personal experto en seguridad permitió a las empresas ahorrar USD 2.1 millones al año, y contratar un Oficial de Seguridad de la Información (CISO, Chief Information Security Officer) representó un ahorro de USD 2 millones, mientras que la capacitación en seguridad permitió ahorrar USD 1.5 millones.

Por otro lado, ciertas tecnologías permiten a las empresas reducir el costo de la defensa contra el cibercrimen y protegerse de forma efectiva. Entre estas tecnologías se encuentran sistemas inteligentes que han permitido ahorrar en promedio USD 3.7 millones a las empresas que los adquirieron, lo cual representa un retorno sobre la inversión de 32%. Por otro lado, las empresas que usaron encriptación de forma intensiva ahorraron USD 1.4 millones en el año, pero su retorno sobre la inversión de 27% debido al menor costo de la tecnología. Otras tecnologías tuvieron un retorno menor a 10%, tales como gobierno de TI y herramientas de gestión de políticas automatizadas.