A continuación le indicamos cómo calcular el retorno de la inversión (ROI) de la formación de su personal en el marco de una campaña de sensibilización en materia de seguridad.
Un estudio del Departamento de Cultura, Medios de Comunicación y Deporte (DCMS) reveló que el 39 % de las empresas del Reino Unido sufrió un ciberataque en 2022. El coste de estas infracciones no es insignificante. El informe del DCMS calculó que el impacto financiero de un solo ciberataque supuso un coste de 19 400 libras esterlinas para una empresa de tamaño medio. Si se tiene en cuenta que las organizaciones se enfrentan a amenazas diarias de ciberataques, esto es motivo de preocupación.
La formación en concienciación sobre seguridad es una de las medidas que pueden reducir la probabilidad de que se produzca o se desarrolle un ataque. Esto se traduce en una reducción de los costes derivados de un ataque. Pero, ¿merece la pena el riesgo de sufrir un ataque a cambio del coste que supone impartir dicha formación?
Elementos que deben tenerse en cuenta al calcular el retorno de la inversión (ROI) de una campaña de sensibilización sobre seguridad
Antes de plantearse si «merece la pena la formación en seguridad», es necesario realizar un inventario de los elementos que la componen. Un ataque a la ciberseguridad o una filtración de datos conllevan numerosos aspectos, cada uno de los cuales conlleva costes tangibles e intangibles.
A continuación, le ofrecemos un resumen de algunos de los costes más probables que puede acarrear un ciberataque:
Las pérdidas económicas directas derivadas de un ciberataque
El impacto directo de un ciberataque depende tanto del tipo de ciberataque como de la organización. Por ejemplo, un ataque de ransomware puede implicar el pago de un rescate (aunque el pago no es una estrategia recomendada). No obstante, cabe señalar que las cuantías de los rescates han ido aumentando en los últimos años.
Un informe de Nordlocker ha revelado un aumento del 78 % en el pago medio por ransomware, lo que eleva el importe del rescate a la asombrosa cifra de 541 010 dólares (478 000 libras esterlinas).
Los costes derivados de un ciberataque también pueden incluir los daños causados a los sistemas informáticos, el tiempo dedicado a subsanar el ataque y las demandas colectivas: en el Reino Unido, el número de demandas colectivas tras un ciberataque aumentó un 120 % entre 2018 y 2020.
A la hora de calcular el retorno de la inversión (ROI) de una campaña de sensibilización en materia de seguridad, se debe tener en cuenta el coste medio de un ciberataque. No obstante, también debe reflejarse el número medio de ataques al año. Según el informe del DCMS, el 31 % de las empresas y el 26 % de las organizaciones benéficas estiman que sufrieron al menos un ataque a la semana.
Tiempo y trabajo necesarios para contener una brecha de seguridad
Una de las consecuencias de un ciberataque es la dificultad para localizar la cadena de vulnerabilidades y contener los daños. Un informe de IBM sobre el coste de una filtración de datos reveló que, en 2022, el tiempo medio necesario para contener una filtración fue de 277 días. Durante ese tiempo, los costes se acumulan.
Debería incluir el tiempo de inactividad de los sistemas informáticos, el soporte informático y las pérdidas estimadas de productividad en el cálculo del retorno de la inversión (ROI) de una campaña de concienciación sobre seguridad.
Daño a la reputación
El daño a la reputación es intangible y, por lo tanto, difícil de cuantificar. Sin embargo, tras un ciberataque que da lugar a una reputación negativa, entran en juego numerosos factores. Entre ellos se encuentra una pérdida generalizada de confianza que afecta a los clientes, a la cotización de las acciones y al ecosistema de socios.
Esta pérdida de confianza es especialmente grave cuando los clientes abandonan una empresa tras producirse una filtración de datos. Un estudio realizado por YouGov y Okta reveló que el 88 % de los clientes dejará de utilizar los servicios de una empresa si considera que esta no es digna de confianza a la hora de proteger sus datos.
El daño a la reputación es difícil de cuantificar y, por lo tanto, de incluir en una ecuación; no obstante, es posible que disponga de algunos datos sobre la pérdida de clientes gracias a las soluciones de inteligencia empresarial (BI).
Incumplimiento y multas
Varias normativas en materia de protección de datos, entre ellas la PCI-DSS y el RGPD, exigen o recomiendan encarecidamente el uso de la formación en concienciación sobre seguridad. Por lo tanto, si puede demostrar que su organización imparte dicha formación, cualquier medida coercitiva regulatoria posterior debería tenerlo en cuenta.
No obstante, a la hora de calcular el retorno de la inversión (ROI) de una campaña de sensibilización en materia de seguridad, debe tenerse en cuenta el coste habitual de una multa por incumplimiento de la normativa en su sector.
Puede consultar en la Oficina del Comisionado de Información (ICO) el importe de las multas a las que podría enfrentarse su empresa tras una infracción. Por ejemplo, el RGPD del Reino Unido y la Ley de Protección de Datos de 2018 (DPA 2018) establecen una multa máxima de 17,5 millones de libras esterlinas o el 4 % de la facturación global anual.
Primas de seguro
Según un estudio realizado por la aseguradora Hiscox, el 63 % de las empresas del Reino Unido tiene previsto contratar un seguro cibernético como parte de su estrategia. Además, las primas podrían reducirse si se minimiza el riesgo mediante la formación de los empleados en materia de concienciación sobre la seguridad.
Incluya el coste del seguro cibernético en el retorno de la inversión (ROI) de una campaña de sensibilización en materia de seguridad, como parte de los costes de su estrategia global de seguridad.
Otros costes relacionados con el ROI incluyen:
- El coste del paquete de formación y de cualquier función adicional, como la formación mediante simulación de phishing.
- Gastos administrativos derivados de la gestión del programa.
- Tiempo perdido debido a que un empleado realiza ejercicios de formación en concienciación sobre seguridad.
Cómo calcular el retorno de la inversión (ROI) de la formación en ciberseguridad
Una vez que disponga de los datos, podrá introducirlos en una ecuación de ROI. Afortunadamente, alguien ya ha estudiado cómo elaborar una ecuación para la formación en concienciación sobre seguridad.
Una ecuación del ROI, en su forma más sencilla, tiene el siguiente aspecto:
ROI = Cálculo del ROI de las campañas de sensibilización en materia de seguridad
Dónde:
R = Rendimiento (Beneficio)
I = Inversión (coste)
Sin embargo, como ha podido comprobar, el cálculo de R e I en materia de seguridad resulta más complicado, ya que existen costes intangibles, como el daño a la reputación.
Afortunadamente, los profesionales del sector de la seguridad han analizado la complejidad que supone calcular el retorno de la inversión (ROI) en formación en materia de seguridad. Michael Coden, por ejemplo, se basa en un estudio del Instituto Tecnológico de Massachusetts (MIT).
Un estudio del MIT basa el cálculo de los costes de los incidentes de ciberseguridad en los pasos que conducen a dichos incidentes. Esta investigación se ha utilizado para desarrollar un marco conocido como STACHT. Mediante este marco, Coden ha elaborado una ecuación para calcular el retorno de la inversión (ROI) de los proyectos de ciberseguridad (como las campañas de formación en concienciación sobre seguridad) que incluye:
Dónde:
Probabilidad de compromiso (PC) = amenazas multiplicadas por vulnerabilidades
Impacto de una compromisión (IC) = activo multiplicado por las pérdidas en caso de que se produzca una compromisión
La ecuación de Coden se aplica a cada proyecto e indica el retorno de la inversión (ROI) probable en función de las estimaciones.
Una visión más cualitativa del retorno de la inversión de las campañas de sensibilización en materia de seguridad
Tenga en cuenta que calcular el retorno de la inversión (ROI) de impartir formación en concienciación sobre seguridad puede que no se reduzca a introducir datos en una ecuación. En cambio, el mero hecho de elaborar una lista de los posibles costes e impactos derivados de un ciberataque puede ser suficiente para demostrar que la formación en concienciación sobre seguridad merece la pena.
Los seres humanos siguen siendo el objetivo principal de los ciberdelincuentes; si existe alguna forma de romper este ciclo, ello conducirá, naturalmente, a una reducción tanto del riesgo como de los costes.
Un informe de Osterman describió la formación en ciberseguridad como «esencial» para prevenir los ciberataques. El informe destaca la eficacia de la formación en seguridad; los datos muestran, por ejemplo, que solo el 11 % de los empleados era capaz de identificar un correo electrónico de phishing antes de la formación, mientras que, tras la formación, el 64 % fue capaz de detectar intentos de phishing. Datos como estos pueden resultar muy útiles a la hora de evaluar las ventajas de llevar a cabo una campaña de sensibilización en materia de seguridad.