Los titulares de la edición de 2026 de "El coste de una filtración de datos" resultaron interesantes, pero ¿reflejan realmente una mejor perspectiva del nivel de resiliencia entre los profesionales de la ciberseguridad?
En la 21.ª edición del Informe sobre el coste de una filtración de datos , el coste medio mundial de una filtración de datos fue de 4.99 millones de dólares, un aumento significativo con respecto a los 4.44 millones de dólares de 2025. IBM, patrocinador del informe, afirmó que esto equivale a unos 1,100 dólares por hora mientras dure el incidente, incluyendo desde la gestión de crisis hasta la interrupción de las operaciones y la pérdida de clientes.
El informe también reveló que el tiempo promedio que tardaban las organizaciones en identificar y contener una brecha de seguridad había aumentado a 247 días. Cuando las brechas eran identificadas por equipos internos de TI, esta cifra se reducía a un promedio de 209 días. En los casos en que las organizaciones desconocían una brecha hasta que los atacantes les notificaban, el costo promedio alcanzaba los 5.12 millones de dólares.
Por supuesto, toda esta información es útil, y existe una gran cantidad de estudios que ofrecen estadísticas como estas. Pero, ¿qué aprendemos realmente de ellas? ¿Cómo se puede medir el nivel de resiliencia en función del coste que podría acarrear una brecha de seguridad, y qué factores determinan el impacto empresarial de un incidente cibernético?
Tras los importantes ataques y filtraciones de datos del último año, las organizaciones son cada vez más evaluadas en función de la eficacia con la que responden, se recuperan y mantienen la confianza, en lugar de simplemente por si sufren o no un incidente cibernético. Un incidente que llevó al gobierno a rescatar a Jaguar Land Rover con 1.5 millones de libras esterlinas puso de relieve la importancia de la preparación, la gobernanza y la resiliencia de la empresa ante un incidente cibernético.
Impacto en el negocio
El impacto empresarial de una brecha de seguridad no siempre se mide por la magnitud del rescate gubernamental, sino por cómo responde una organización y cuánta confianza puede mantener a través de sus acciones hacia clientes, socios y accionistas.
Lisa Ventura, especialista en ciberseguridad y fundadora de Cyber Security Unity, afirma que, en última instancia, la confianza se gana durante un incidente, no después, y se reconstruye mediante la calidad y la puntualidad de la comunicación, especialmente mientras la situación sigue siendo incierta: "y no solo con el comunicado de prensa principal que se emite una vez que todo se ha resuelto y vuelve a la normalidad".
Según ella, los clientes recordarán si se les informó con antelación, si la información que se les proporcionó era precisa y si la organización los mantuvo al tanto de los cambios.
“Creo que a mucha gente no le importará recibir un mensaje incompleto; lo que no les gusta es que no se publique nada. Por eso, pondría a una persona clave al frente, que pueda gestionar la situación desde una perspectiva externa y que se sienta cómoda explicando lo que se sabe y lo que no.”
Además, conviene considerar cómo marcos reconocidos como la norma ISO 27001 pueden respaldar estos fundamentos a través de la respuesta a incidentes, la continuidad del negocio y la mejora continua, y en qué medida ayudan a las organizaciones a desarrollar estas capacidades.
De la prevención a la resiliencia
Al revisar el informe, debemos considerar qué nos revela sobre la gobernanza y la ciberresiliencia, y hacia dónde se dirige esta tendencia. La evidencia sugiere que la ciberseguridad está pasando de un modelo centrado en la prevención a uno de resiliencia, donde las organizaciones asumen que algunos ataques lograrán penetrar y se enfocan cada vez más en limitar su impacto, mantener las operaciones y recuperarse rápidamente.
Si una empresa no puede garantizar que detendrá todas las intrusiones, aún puede reducir los costos identificando los incidentes con anticipación, conteniéndolos más rápidamente, manteniendo las operaciones críticas, probando los procesos de respuesta a incidentes, recuperando datos y sistemas y, en última instancia, restableciendo la confianza del cliente y aprendiendo del incidente. Por lo tanto, la resiliencia se convierte en un control económico cuantificable, en lugar de ser simplemente un concepto de recuperación ante desastres.
En este sentido, el 64 % de las organizaciones afirmó que, tras sufrir una brecha de seguridad, aumentarían su inversión en seguridad . Esto convierte la resiliencia en una cuestión prioritaria para la alta dirección, ya que los atacantes se centran cada vez más en la confianza, la percepción pública y el impacto a largo plazo en el negocio. Si bien las organizaciones siguen necesitando prevención, reconocen cada vez más que la prevención por sí sola no ofrece certeza. Por lo tanto, la detección, la contención, la recuperación y la continuidad del negocio se convierten en medidas igualmente importantes de la eficacia de la seguridad.
La resiliencia no sustituye a la prevención porque las organizaciones hayan renunciado a detener los ataques. Su importancia aumenta porque la probabilidad de prevenir todos los ataques disminuye, mientras que el coste de permitir que un ataque persista va en aumento.
Quentyn Taylor, director de seguridad de la información de Canon Europa, afirmó tener conocimiento de un caso en el que dos empresas fueron atacadas por el mismo actor. Una estuvo inactiva durante un largo período, mientras que la otra había realizado "simulaciones de incidentes exhaustivas; todos sabían cuál era su función y qué debían hacer".
Dijo que esta muestra de resiliencia y buena gobernanza consiste en aceptar que van a ocurrir cosas malas y estar preparados para afrontarlas, considerando cuál podría ser el resultado menos malo e identificando la mejor manera de recuperarse.
“Para mí, la resiliencia consiste en que la gente entienda lo que debe hacer”, dijo. “No se trata de que todos trabajen siguiendo un plan al pie de la letra, sino de que todos trabajen según el espíritu del plan. Esa es la verdadera resiliencia”.
“Que todos comprendan cuál es el panorama general, que todos digan cuál es su papel en ese panorama general y que todos sepan que tengo la capacidad de tomar las decisiones correctas si es necesario.”
Rápida recuperación
En definitiva, el impacto empresarial de un incidente cibernético puede determinarse mucho antes de que ocurra. La diferencia entre las organizaciones que sufren interrupciones prolongadas y las que se recuperan rápidamente suele radicar en la gobernanza, la preparación y la capacidad de tomar decisiones eficaces bajo presión.
Las organizaciones que comprenden la resiliencia y sus procesos críticos, que tienen responsabilidades claramente definidas, que ponen a prueba periódicamente sus planes de respuesta y que empoderan a su personal para actuar ante cambios en las circunstancias, son un ejemplo a seguir en este sentido. Asimismo, reconocen que la resiliencia no es simplemente una capacidad técnica, sino organizacional, moldeada por el liderazgo, la comunicación y la toma de decisiones.
Por lo tanto, el coste de un incidente no solo depende de lo que ocurra, sino también de la preparación de la organización para responder y del grado de control que ejerza sobre sus operaciones.
Amplíe su conocimiento
Blog: La retirada de NVD debería impulsar un enfoque de resiliencia para la gestión de vulnerabilidades.
