Las grandes brechas de seguridad siguen ocupando los titulares, mientras las empresas se ven obligadas a dejar de centrarse en la inminencia de las amenazas y calcular su posible impacto financiero.
Las empresas invierten miles de millones de dólares en ciberseguridad, pero el rendimiento medio del gasto en tecnología de seguridad es de solo el 14%. Cada año, el coste de una brecha de datos sigue aumentando.
A pesar de ello, los inversores y accionistas no reaccionan con fuerza ante las noticias de una brecha.
Las acciones de Target cayeron un 11% después de que la empresa revelara que había sido víctima de una de las mayores brechas jamás ocurridas en el sector minorista. Sin embargo, sus acciones se recuperaron rápidamente. Ahora cotizan al mismo nivel que antes de la brecha.
Home Depot, otra víctima de una importante brecha de datos, ha visto cómo sus acciones se disparaban hasta alcanzar un máximo histórico y ahora ofrece a sus clientes un año gratuito de un servicio de protección de identidad con supervisión del crédito si utilizan una tarjeta de pago en sus tiendas. Las noticias sobre las brechas de datos en JP Morgan apenas afectaron a sus acciones. Los accionistas parecen confiar en que ni siquiera las brechas cibernéticas a gran escala tienen un impacto a largo plazo en el futuro de una empresa.
Quienes defienden la ciberresiliencia llevan mucho tiempo afirmando que las empresas deberían dar por hecho que ya han sido pirateadas y desarrollar sus estrategias sobre esa base. También existe la creencia de que los clientes están «insensibilizados» ante las noticias sobre el robo de datos. Esa suposición es incorrecta.
Un estudio de Experian, el conglomerado internacional de información crediticia, muestra que tres factores tienen el mayor impacto en la reputación de marca: el mal servicio al cliente, los desastres medioambientales y las brechas cibernéticas.
El impacto de las brechas cibernéticas en la reputación corporativa es una tendencia nueva y refleja cambios enormes en la percepción de los clientes. El riesgo de exponer información potencialmente sensible eleva las apuestas para todas las organizaciones comerciales. Por ejemplo, las empresas de medios deben proteger sus fuentes, ya que revelarlas podría tener graves consecuencias.
Pero hay aún más motivos por los que los inversores quizá quieran examinar más de cerca el impacto de las brechas cibernéticas en las empresas. Después de todo, «Todo líder es un líder digital. Toda empresa es una empresa de TI.» Por tanto, en nuestro mundo digital, todas las empresas pueden sufrir una brecha. Y los costes indirectos de estas brechas pueden ser enormes: costes relacionados con la responsabilidad de terceros, los retrasos en la implementación de servicios en la nube y capacidades móviles, y la pérdida de datos.
Home Depot informa de que afronta costes de hasta 62 millones de dólares para cubrir la investigación y las medidas de mitigación tras su reciente brecha. Esto queda compensado en parte por un reembolso del seguro de alrededor de 27 millones de dólares que espera recibir.
Según datos recientes, el coste medio de una brecha de seguridad puede alcanzar los 5,5 millones de dólares. El coste anualizado medio asciende a 11,56 millones de dólares, mientras que el aumento neto de los costes de una brecha llegó al 26% tan solo en el último año.
Estas cifras son estimaciones. Los altos directivos y los responsables corporativos de riesgos de TI han estado probando distintas herramientas y enfoques para medir los costes directos para sus empresas. Sin embargo, la falta de datos pertinentes y la compleja naturaleza de los activos dificultan la medición exhaustiva de los costes de las brechas cibernéticas. Directivos del sector de los seguros, las TI, los servicios financieros y la consultoría están estudiando varios modelos para cuantificar las ciberamenazas, incluido el valor en riesgo.
Hasta ahora no se ha realizado ninguna estimación exhaustiva de cuánto gastan las empresas en ciberseguridad ni de qué obtienen a cambio. De hecho, funcionarios del Departamento de Seguridad Nacional de EE. UU. han confirmado que muchas empresas nunca llegan a saber que les han robado datos confidenciales internos y de clientes.
El hecho de que las brechas se reflejen en muchos casos en los precios de las acciones también significa que los sectores aún están muy lejos de encontrar una solución infalible para poner precio a estas brechas. Existe un fuerte impulso para dejar atrás las causas hipotéticas y pasar a medir las pérdidas observables, así como a valorar y medir los efectos de las brechas de datos en los activos intangibles y las responsabilidades frente a terceros.
Autores: Elena Kvochko es gerente del sector de tecnología de la información en el Foro Económico Mundial. Rajiv Pant es director de tecnología de The New York Times y Joven Líder Global del Foro Económico Mundial.
Imagen: Un hombre escribe en un teclado de computadora en Varsovia REUTERS/Kacper Pempel