Con los deepfakes, malware y automatización se comprime el ciclo de ataque, lo que ha elevado a US$ 4.99 millones el costo medio global de una vulneración de datos este año, en datos de IBM recogidos por César Ramírez, gerente general de Vigilantium.

En un reciente estudio, Vigilantium identifica que de 801 sitios web de 679 empresas peruanas exportadoras que facturan entre US$ 20 millones y US$ 355 millones anuales, 350 tienen riesgo medio, alto o crítico en ciberseguridad. Entre estos peligros encontramos sanciones y multas; detenimiento de los sistemas; fuga de información; ransomware y robo de credenciales.

  • LEA TAMBIÉN: Ciberataques y su impacto financiero: 6 de cada 10 pymes podría cerrar

Ramírez precisa que la mayoría de los hallazgos de vulnerabilidades no responden a ataques sofisticados, sino a errores de configuración y desarrollo que pueden identificarse y corregirse antes de convertirse en incidente.

Incremento del costo

En diálogo con Gestión, Ramírez complementa que el costo de un incidente en ciberseguridad para una empresa mediana puede haber pasado de un rango de entre US$250,000 y US$1 millón a alcanzar los US$4 millones en promedio.

“Con la expansión de la IA, avanza mucho más rápido, escala mucho más rápido y puede afectar más”, dijo durante el foro Ciberseguridad e IA aplicada a los negocios, realizado en la Asociación de Exportadores (ADEX).

De acuerdo con especialistas reunidos por ADEX, la ciberseguridad debe ser tratada como un componente estratégico del negocio y no solo como un gasto tecnológico. Foto: referencial / difusión
De acuerdo con especialistas reunidos por ADEX, la ciberseguridad debe ser tratada como un componente estratégico del negocio y no solo como un gasto tecnológico. Foto: referencial / difusión
`; document.body.appendChild(modalWrapper); let figcaption = modalWrapper.querySelector("figcaption"); if(figcaption) figcaption.style.display="none"; modalWrapper.querySelector(".s-multimedia__close-modal").addEventListener("click",()=>{modalWrapper.remove(); e.style.display="flex"; if(caption) caption.style.display="block";});})})});});

Al respecto, Luis Miranda, presidente del Subcomité de Servicios Básicos en Conocimiento de ADEX, aclara que este escenario de protagonismo de la IA obliga a las compañías a considerar la ciberseguridad como un componente estratégico del negocio y no solamente como un gasto tecnológico, dado que un ataque de alto impacto pone en peligro la continuidad de las operaciones y genera pérdidas suficientes para poner en riesgo a un negocio.

  • LEA TAMBIÉN: Perú lidera la región en amenazas digitales: ¿qué está fallando?

“Una vulnerabilidad digital también puede afectar la confianza del cliente y de los socios”, puntualiza Miranda, quien cita datos de McKinsey para recordar que solo el 1% de las empresas considera que implementaron la IA de manera madura.

El riesgo que las empresas no están viendo

El reporte de Vigilantium revela que 1 de cada 5 organizaciones estudiadas tiene una brecha asociada a Shadow IA —denominada así a las herramientas y apps que emplean los trabajadores sin el visto bueno del área de tecnología de la empresa (TI)—.

Ramírez comenta que el problema de la Shadow IA puede producirse cuando un colaborador utiliza una herramienta de IA para mejorar su productividad, pero termina introduciendo información interna de la compañía a un espacio ajeno.

Entre la información que podría terminar en estas plataformas se encuentran documentos, estrategias, fórmulas, datos comerciales u otra información sensible que el trabajador utiliza como insumo para obtener respuestas de la herramienta.

Apenas el 37% de las empresas del sector exportador tiene políticas para gestionar IA o detectarla, por lo que el costo medio de brecha en estas organizaciones por el alto uso de Shadow IA es de US$ 670,000 frente a las que tienen uso bajo o inexistente.

¿Qué implica tener múltiples riesgos?

Vigilantium muestra que 170 empresas exportadoras tienen 2 o más riesgos de negocio, lo que eleva las posibilidades de padecer ciberataques y de ver su sistema comprometido; así como de recibir multas regulatorias o perder su reputación y continuidad operativa.

Aseguran que las empresas con múltiples riesgos requieren atención prioritaria y planes de acción integrales. Las áreas críticas que requieren más atención prioritaria en este rubro son:

  • Gestión de vulnerabilidades. Procesos para identificar, evaluar y remediarlas.
  • Pruebas de penetración. Evaluación proactiva de seguridad con pruebas controladas.
  • Concientización y formación. Cultura de seguridad y capacitación continua del talento.

Los sectores exportadores analizados fueron logística, inmuebles y construcción, manufactura, servicios financieros y educación. Cada uno de estos está lejos del promedio de nivel de madurez de su propio mercado, lo que demuestra brechas significativas que representan oportunidades de mejora para minimizar el riesgo cibernético.

Ramírez reconoce a Gestión que no existe un monto único para la inversión en ciberseguridad, aunque en microempresas recomienda soluciones de protección para sus equipos y dispositivos como antivirus de paga, y no modelos gratuitos.

En tanto, para pequeñas y medianas, la inversión debería incorporar también capacitación de los trabajadores, programas de sensibilización, gestión de accesos y evaluaciones para determinar qué tan expuesta está la organización.

“Los servicios de seguridad pueden encontrarse en rangos desde US$200 o US$500 mensuales hasta unos US$1,200 mensuales, dependiendo de las características y necesidades de la empresa”, comenta.

La protección de datos y la ciberseguridad ya no son asuntos exclusivos del área de tecnología de una organización, dado que se pone en compromiso la productividad y reputación de una organización. Foto: iStock
La protección de datos y la ciberseguridad ya no son asuntos exclusivos del área de tecnología de una organización, dado que se pone en compromiso la productividad y reputación de una organización. Foto: iStock

Leer artículo completo en gestion.pe →