Consecuencias de no proteger la ciberseguridad de una empresa
Muchas pymes piensan que no son objetivo de los ciberdelincuentes porque «no tienen nada interesante». La realidad es la contraria: la mayoría de los ataques son automáticos y buscan cualquier empresa con una puerta abierta, y las pequeñas suelen tener menos defensas.
A continuación repasamos las consecuencias reales de un incidente de seguridad para una empresa y las medidas que evitan la mayoría de ellas.
Consecuencias operativas: la empresa se para
Un ransomware cifra servidores, equipos y, si están conectadas, también las copias. Por tanto, sin sistemas no se factura, no se sirven pedidos y no se atiende a los clientes. Además, la recuperación puede llevar días o semanas, y pagar el rescate no garantiza recuperar los datos.
Consecuencias económicas
- Pérdida de ingresos durante la parada.
- Coste de recuperación: técnicos, equipos, horas extra y, a veces, reconstruir sistemas desde cero.
- Fraude directo: facturas falsas con el IBAN cambiado, transferencias ordenadas por un falso directivo.
- Reclamaciones de clientes afectados por el incidente.
Consecuencias legales
- RGPD: si se ven afectados datos personales, hay que notificar la brecha a la AEPD en 72 horas y, en algunos casos, a las personas afectadas. Las sanciones pueden llegar a 20 millones de euros o al 4 % de la facturación.
- NIS2: la directiva europea amplía las obligaciones de ciberseguridad a muchos más sectores y hace responsable a la dirección de supervisar las medidas.
- Contratos: muchos clientes y administraciones exigen medidas de seguridad por contrato; un incidente puede suponer su incumplimiento.
Consecuencias reputacionales
Un cliente que recibe un correo fraudulento desde la dirección de su proveedor o descubre que sus datos se han filtrado no suele volver. De hecho, en sectores como la salud o la formación, donde se manejan datos sensibles, la confianza es el principal activo.
Las medidas que evitan la mayoría de los incidentes
| Medida | Qué evita |
|---|---|
| Autenticación en dos pasos en correo y accesos remotos | El robo de cuentas con contraseñas filtradas |
| Copias automáticas, aisladas y probadas | Perderlo todo ante un ransomware |
| Actualizaciones al día | La entrada por vulnerabilidades conocidas |
| Formación y simulaciones de phishing | Que un empleado abra la puerta sin saberlo |
| Permisos mínimos y revisión de accesos | Un error o un ataque que llegue a toda la empresa |
| Un plan de respuesta | Improvisar cuando ya ha pasado |
Lo desarrollamos en nuestras guías sobre copias de seguridad en la nube y contraseñas seguras.
Caso ilustrativo
Una transferencia a una cuenta equivocada
Una empresa de distribución recibió un correo de un proveedor habitual avisando de un cambio de cuenta bancaria. El correo venía de la dirección real del proveedor: su buzón había sido comprometido. Así que pagaron dos facturas a la cuenta de los estafadores.
Tras el incidente se implantó la autenticación en dos pasos en todo el correo, un procedimiento de verificación telefónica de cambios de cuenta y formación al departamento de administración. El proveedor, por su parte, tuvo que notificar la brecha y revisar su seguridad.
Ejemplo basado en situaciones habituales en nuestros proyectos. Los datos se han modificado para proteger la confidencialidad de los clientes.
La visión de Ángel González
«La mayoría de incidentes que vemos en pymes siguen el mismo patrón técnico: credenciales robadas sin doble factor, un servicio expuesto sin parchear y copias conectadas a la red que el ransomware cifra junto con todo lo demás. Por eso, con solo cinco medidas (doble factor, parches, copias inmutables, EDR en los equipos y segmentación de red) se elimina la mayor parte del riesgo. Mi recomendación es medirlo: tiempo de detección, tiempo de restauración y porcentaje de equipos actualizados. La ciberseguridad que no se mide es solo una sensación.»
Ángel González, director de NOÁTICA Informática para empresas
Preguntas frecuentes
¿Una pyme pequeña de verdad es objetivo?
Sí. De hecho, la mayoría de los ataques no eligen víctima: prueban miles de empresas a la vez y entran donde encuentran una debilidad.
¿Un seguro de ciberseguridad lo cubre todo?
No. Cubre parte de los costes, pero exige tener medidas mínimas de seguridad y no recupera la confianza de los clientes. Lo explicamos en nuestra guía del seguro de ciberseguridad.
¿Por dónde empiezo?
Lo primero es un diagnóstico que identifique los riesgos más graves. Después, con pocas medidas bien elegidas se reduce la mayor parte del riesgo.
¿Sabe qué le pasaría a su empresa ante un ciberataque?
Revisamos su seguridad, identificamos los riesgos más graves y aplicamos las medidas que realmente los reducen, empezando por las más urgentes.
