Lo que cuesta de verdad un incidente en una pyme

(y qué cubre un ciberseguro)

Cultura y contexto  |  unfantasmaenelsistema.com

En la mayoría de las pymes la ciberseguridad se discute en dos idiomas que no se entienden. El equipo técnico habla de EDR, de MFA y de copias inmutables; la dirección oye «gasto» y pide que se justifique. La conversación se desatasca en cuanto alguien pone la seguridad en la misma unidad que todo lo demás en una empresa: euros. No para asustar con cifras infladas, sino para poder comparar lo que cuesta prevenir con lo que cuesta no haberlo hecho.

Este artículo desglosa la factura real de un incidente en una empresa pequeña o mediana española —qué partidas la componen y en qué rangos se mueven— y explica qué es un ciberseguro: qué cubre, qué deja fuera y qué exige a cambio. Al final hay un cálculo sencillo, el de la expectativa de pérdida anual, que permite decidir con números en lugar de con intuiciones.

1. Por qué traducir la seguridad a euros

Un presupuesto de seguridad se aprueba o se rechaza comparándolo con algo. Si ese algo es cero —»hasta ahora no nos ha pasado nada»— cualquier gasto parece excesivo. La comparación correcta no es contra cero, sino contra el coste esperado de los incidentes que ese gasto evita o contiene. Ese es el marco que usa cualquier área de la empresa para decidir: no se compara el precio de un seguro de incendios con cero, sino con la probabilidad de incendio multiplicada por lo que costaría.

Traducir a euros también obliga a ser honesto en las dos direcciones. Hay proveedores que venden miedo con cifras de informes globales que no aplican a una empresa de veinte personas. Y hay direcciones que subestiman el impacto porque solo cuentan el rescate o el día de parada, e ignoran los meses de trabajo legal, la fuga de clientes o la subida de la prima al año siguiente. Un número bien hecho corrige los dos sesgos.

2. La anatomía de la factura

El coste de un incidente —pongamos un ransomware, que es el caso que mejor ilustra todas las partidas— se reparte en bloques que ocurren en momentos distintos y los pagan departamentos distintos. El error habitual es fijarse solo en los dos o tres primeros.

2.1 La parte cara casi nunca es la que se ve

El rescate y la factura del forense son visibles y se cuentan enseguida. Pero en la mayoría de los incidentes documentados en pymes el grueso del coste está en la parada de negocio y en la pérdida de clientes: son las partidas que se prolongan durante meses y que no aparecen en ninguna factura concreta, sino en la cuenta de resultados del trimestre siguiente. Una empresa que factura 3 millones al año ingresa unos 12.000 euros por día laborable; dos semanas de parada parcial ya son un agujero de cinco cifras antes de contar nada más.

3. Rangos realistas para una pyme española

Las cifras que siguen son órdenes de magnitud para orientar la conversación, no una tarifa. El coste real depende del sector, del volumen de datos personales, de si hay copias que funcionan y de la rapidez de la detección. Sirven para dimensionar, no para presupuestar.

Dos matices importantes. Primero, la sanción del RGPD no es automática: la AEPD valora si había medidas técnicas y organizativas razonables, y en muchos casos de pyme con diligencia acreditada el expediente se archiva o la multa es simbólica. La multa castiga la negligencia, no el hecho de sufrir un ataque. Segundo, el rango bajo de cada fila corresponde a empresas que detectaron pronto y tenían copias de seguridad restaurables; el rango alto, a las que se enteraron por el mensaje de rescate y descubrieron que las copias también estaban cifradas.

4. Qué es un ciberseguro y qué cubre

Una póliza de ciberriesgo es un contrato que transfiere a la aseguradora una parte del coste de un incidente, a cambio de una prima anual. Para una pyme, la prima suele moverse entre unos cientos y unos pocos miles de euros al año, con una franquicia (la parte que asume la empresa en cada siniestro) y un límite máximo de indemnización.

Más allá del dinero, el valor real de una buena póliza para una empresa sin equipo de seguridad propio es el panel de respuesta: un teléfono 24/7 que moviliza a una empresa forense, a abogados especializados y a un gabinete de comunicación en cuestión de horas. Improvisar eso a las tres de la mañana de un sábado, sin contactos previos, es lo que convierte un incidente manejable en una crisis.

5. La letra pequeña: qué excluye la póliza

Las exclusiones son donde se decide si la póliza sirve. Conviene leerlas antes de firmar y, sobre todo, antes de asumir que se está cubierto.

• Falta de medidas mínimas: si en el cuestionario de contratación se declaró tener MFA, EDR o copias de seguridad y en el incidente se comprueba que no era así, la aseguradora puede rechazar el siniestro por inexactitud en la declaración del riesgo
• Incidentes previos o conocidos: cualquier compromiso que ya existía o que se conocía antes de contratar la póliza
• Vulnerabilidades sin parchear durante mucho tiempo: varias pólizas excluyen el daño si el fallo explotado tenía parche publicado desde hace más de 30, 45 o 60 días
• Fallo de un proveedor: los daños por un incidente en un proveedor de servicios (nube, software) a veces requieren una extensión específica
• Sanciones internacionales y actos de guerra: pagos a entidades sancionadas y, según cómo esté redactada la cláusula, ciertos ataques atribuidos a Estados
• Fraude del CEO y errores de transferencia: la estafa por ingeniería social que acaba en una transferencia voluntaria suele ir en una cobertura aparte, con límite bajo, o excluida

6. Lo que pide la aseguradora es, además, buena higiene

Desde 2021 las aseguradoras endurecieron los requisitos porque pagaron demasiados ransomware. Hoy, para dar cobertura a una pyme, piden un conjunto de controles que casualmente son los mismos que reducen la probabilidad y el impacto de un incidente. Es decir: aunque no se contrate el seguro, la lista es una hoja de ruta razonable.

Un efecto secundario útil de pedir presupuesto de ciberseguro es que el cuestionario funciona como auditoría gratuita: obliga a responder por escrito si existen esos controles. Muchas pymes descubren sus carencias rellenando ese formulario.

7. Un cálculo sencillo para decidir

La herramienta clásica para dimensionar la inversión es la expectativa de pérdida anual (ALE, por sus siglas en inglés). Es una estimación gruesa, y precisamente por eso es útil: obliga a poner sobre la mesa dos números —cuánto costaría un incidente y cada cuánto es razonable esperarlo— y a discutirlos.

ALE = SLE x ARO
 
  SLE (Single Loss Expectancy)  = coste de UN incidente
  ARO (Annualized Rate of Occurrence) = incidentes esperados por anio
 
Ejemplo, pyme de 40 empleados:
  SLE  = 180.000 EUR   (parada + forense + legal + recuperacion)
  ARO  = 0,25          (un incidente serio cada 4 anios)
  ALE  = 180.000 x 0,25 = 45.000 EUR / anio
 
Decision:
  Prima de ciberseguro + controles minimos = 12.000 EUR / anio
  12.000 < 45.000  ->  la inversion se justifica sola

El número no es una predicción: es un lenguaje común. Si la dirección cree que un incidente serio cada cuatro años es pesimista, se ajusta el ARO y se vuelve a mirar. Si alguien piensa que la parada solo duraría tres días, se recalcula el SLE. Lo importante es que la discusión pasa de «¿nos gastamos esto en seguridad?» a «¿estos supuestos son razonables?», que es una conversación mucho más productiva.

Conclusión

Un incidente en una pyme rara vez cuesta lo que cuesta el rescate: cuesta las semanas sin facturar, los meses de trabajo legal y los clientes que no vuelven. Poner esas partidas en euros, aunque sea con rangos amplios, es lo que permite decidir cuánto invertir en evitarlas.

El ciberseguro es una pieza de esa decisión, no la solución completa: cubre una parte del coste y aporta un equipo de respuesta el día malo, pero exige a cambio unos controles mínimos —MFA, EDR, copias inmutables, formación— que hay que tener de todas formas. La expectativa de pérdida anual es la calculadora sencilla que junta todo eso en una cifra con la que dirección puede trabajar.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)