Un ciberataque puede generar pérdidas millonarias y poner en riesgo la continuidad de una empresa. A partir de un caso de ransomware en el sector salud, surgen interrogantes sobre el costo de un ciberataque y de no invertir en ciberseguridad, la responsabilidad de los directorios y el impacto de las nuevas exigencias regulatorias.
El secuestro de datos, conocido como ataque de ransomware, que afectó hace más de un año a una empresa del sector salud, dejó al descubierto importantes vulnerabilidades y también algunas lecciones que vale la pena revisar, especialmente cuando hablamos del costo de un ciberataque para una organización.
Lo primero, y aunque parezca básico en estos tiempos, es el uso de autenticación de dos factores (2FA). En este caso, el área de Seguridad de la Información había solicitado presupuesto para cubrir el riesgo asociado a las VPN, pero la inversión fue denegada por el directorio. Aquí surge una primera pregunta: ¿fue mal presentado el riesgo por el CISO o faltó entendimiento de los riesgos de ciberseguridad por parte del directorio?
Una vez dentro, el grupo de ciberdelincuentes escaló privilegios hasta tomar el control de áreas críticas. En el caso específico de la empresa afectada, se reportó que el ataque logró comprometer una cantidad importante de máquinas virtuales directamente desde los hipervisores, es decir, las plataformas que administran los servidores virtuales de la compañía.
A esto se sumó la exfiltración de datos, o robo de información. Los atacantes navegaron por las bases de datos de la organización y lograron extraer en secreto gigabytes de información sensible, incluyendo datos personales de más de 620 mil clientes, entre ellos historiales clínicos.
Tras asegurar una copia de los datos, el malware ejecutó el cifrado masivo de los archivos de los servidores comprometidos, incluido el servidor de respaldo que se encontraba en línea.
Como resultado, las plataformas quedaron bloqueadas e inaccesibles tanto para el personal interno como para los clientes. Esto provocó la caída total e inmediata de canales clave de la empresa: su página web corporativa y aplicación móvil, el sistema de emisión de bonos electrónicos (I-Med), la atención en sucursales físicas y el call center.
¿Cuánto puede costar un ataque de estas características?
El costo de un ciberataque no se limita a recuperar los sistemas afectados. También hay que considerar las ventas que no se concretan, las horas de trabajo perdidas, la contratación de especialistas externos, la recuperación de la información y la pérdida de confianza de los clientes.
Según Sophos, el costo promedio de recuperación tras un ataque con cifrado de datos alcanzó los US$ 1,7 millones a nivel global, mientras que en Chile el promedio supera US$ 1 millón.
Por su parte, un estudio de Cyrebro estimó que el costo promedio de recuperación para una Pyme chilena es de US$ 690 mil. Otro informe indica que el 56% de las empresas chilenas afectadas pagó rescates, con montos promedio de US$ 675.000.
Una Pyme pequeña probablemente pierde menos en términos absolutos, pero el golpe relativo a su caja puede ser mucho mayor. Incluso, suele citarse que el 60% de las Pymes cierra dentro de los seis meses posteriores a un ciberataque. Aunque es una cifra difícil de verificar, más allá de esa estadística, el riesgo es real: un incidente de esta naturaleza puede comprometer seriamente la continuidad operacional e incluso poner en peligro la permanencia de una empresa en el mercado.
La responsabilidad de anticiparse
Toda empresa debería contar con un protocolo o procedimiento formal, aprobado por el directorio, que establezca cómo actuar frente a un incidente de esta magnitud.
Por ejemplo, ¿vamos a negociar con los secuestradores y eventualmente pagar un rescate? ¿O contamos con un plan de continuidad del negocio que nos permita recuperar los sistemas y la información en el menor tiempo posible?
Son decisiones que no deberían comenzar a discutirse cuando el ataque ya ocurrió. La organización debe conocer previamente sus riesgos, definir responsabilidades y evaluar su capacidad real de respuesta y recuperación.
En el caso analizado, también cabe preguntarse qué habría ocurrido bajo las nuevas exigencias regulatorias que hoy enfrenta el país.
Con la Ley Marco de Ciberseguridad y la creación de la Agencia Nacional de Ciberseguridad (ANCI), existen nuevas obligaciones de reporte de incidentes y exigencias específicas para determinadas organizaciones, especialmente aquellas calificadas como Operadores de Importancia Vital (OIV).
¿Podrían estas exigencias haber contribuido a prevenir o reducir el impacto de un ataque de estas características? Y si la empresa hubiese estado sujeta a dichas obligaciones, ¿qué habría ocurrido ante un eventual incumplimiento de los plazos de reporte? ¿Se habrían sumado multas a las pérdidas económicas provocadas por el incidente?
Las mismas preguntas son válidas al analizar la nueva Ley de Protección de Datos Personales. Su entrada en vigencia incorpora nuevas responsabilidades y un régimen sancionatorio que las empresas deben considerar, especialmente cuando se trata de información sensible, como los datos de salud.
En este escenario, una filtración de información no solo puede afectar la operación y la reputación de una organización, sino también exponerla a sanciones regulatorias, dependiendo de las infracciones cometidas.
Y aquí hay algo importante: independientemente de los debates sobre los plazos de entrada en vigencia de las nuevas exigencias, el riesgo de un ataque y de una filtración de datos no se posterga.
Finalmente, si una empresa quiere permanecer en el tiempo, debe proteger el corazón de su negocio: los datos y la continuidad operacional. Y esa responsabilidad no depende únicamente de que existan más o menos leyes vigentes, sino de las decisiones que toman hoy sus directivos para anticiparse a los riesgos.