Un año más, IBM Security publicó su decimoséptimo «Informe del coste de una brecha de seguridad en los datos», a partir de datos recopilados de forma independiente por Ponemon Institute. Para la edición de 2021, se examinaron 537 brechas de seguridad en los datos que se habían producido en 17 países y regiones diferentes, en 17 sectores distintos.
En comparación con el año anterior, los costes medios de una infracción de datos ascendieron de 3,86 a 4,24 millones de dólares, lo que representaría un aumento de casi el 10 %. Se trata del mayor incremento anual de los últimos siete años. No es de extrañar que, cuanto mejor posicionadas estaban las empresas en términos de seguridad de IT, menos les afectaron los ataques.
Factor de coste COVID-19
El auge del teletrabajo y la aceleración de la transformación digital como consecuencia de la pandemia COVID-19 aumentaron el coste de una fuga de datos en un promedio de 1,07 millones de dólares (cuando fueron una de los factores o causas del ataque, situación del 17,5 % de las empresas afectadas). Por ejemplo, las empresas donde más de la mitad de la plantilla no trabajaba en la oficina habitual tardaron un promedio de 58 días más en identificar y combatir las infracciones de datos.
Y hablando de promedios: se tardó una media de 287 días en detectar y solucionar una brecha de seguridad en los datos, siete días más que en el informe del año anterior. Y cuánto más tarde se identificó una infracción de datos, más costoso resultó solventarla.
IBM y Ponemon clasificaron de «mega infracción» los ataques con más de 50 millones de conjuntos de datos afectados. Una debacle de esta índole en materia de protección de datos cuesta actualmente un promedio de 401 millones de dólares, mientras que el año anterior el coste era todavía de 392 millones. Las fugas de datos con entre 50 y 65 millones de conjuntos de datos resultaron casi 100 veces más costosas que las más pequeñas (entre 1.000 y 100.000 conjuntos de datos).
Pérdida de negocio irremediable
El principal coste de las infracciones de datos fue la pérdida de negocio, con un promedio de 1,59 millones de dólares, o el 38 % de los costes totales. Esto incluye, entre otras cosas, una mayor pérdida de clientes, pérdida de volumen de negocio por inactividad del sistema y un mayor coste en la adquisición de nuevos clientes debido a los daños en la reputación.
Los datos personales fueron los más afectados y, con un coste de 180 dólares por conjunto de datos perdido o robado, también son los más caros. De media, un conjunto de datos costó este año 161 dólares frente a los 146 dólares por conjunto de datos perdido o robado en 2020. Además, las filtraciones de datos más caras tuvieron lugar en el sector sanitario, con 9,23 millones de dólares, un incremento de 2 millones en comparación con el año anterior.
Con una media de 4,62 millones de dólares, los ataques de ransomware fueron más costosos que el promedio, afectando a algo menos del 8 % de las empresas. En el cálculo se incluyeron, además, los costes de escalada, notificación, pérdida de negocio y reacción, pero no el pago de rescate digital (que equivaldría, según un estudio actual de Palo Alto Networks, a un promedio de 570.000 dólares en el primer semestre de 2021, un 82 % más que en el mismo período del año anterior). Más costosos que los ataques de ransomware fueron, con 4,69 millones de dólares, los ataques de eliminación selectiva de datos.
Los ataques más costosos son los de BEC y los de phishing
En cuanto a los vectores de ataque inicial, el denominado Business Email Compromise (BEC), con un coste medio de seguimiento de 5,01 millones de dólares, fue el más costoso aunque, teniendo en cuenta que solo representa un 4% de todas las brechas de seguridad de datos, fue relativamente poco frecuente. Una frecuencia muy superior ostentó el phishing (17 %), representando el segundo coste más elevado, con 4,65 millones de dólares.
El hecho de que precisamente los ataques por correo electrónico sean tan costosos subraya la importancia de una solución de seguridad para este tipo de comunicación lo más completa posible para las empresas. Por tanto, es imprescindible disponer de una protección eficaz para la infraestructura de correo electrónico, ya sea en local o en la nube, así como realizar una sensibilización periódica de los usuarios para el tratamiento prudente de los correos electrónicos, los de origen desconocido en particular. La solución Retarus Secure Email Platform, con el módulo Email Security Services obtuvo las mejores calificaciones en el último informe Market Compass de la consultora KuppingerCole. Además de posicionar a Retarus como una solución de comunicación completa, los analistas destacan la total conformidad con el RGPD de su plataforma.
