Coste de una brecha en una pequeña empresa: adónde va

Una brecha de datos en una pequeña empresa rara vez cuesta la cifra de titular que ves citada, pero cuesta mucho más que la factura de respuesta a incidentes que te pasará una empresa forense. El Cost of a Data Breach Report 2024 de IBM sitúa la media mundial en 4,88 M$ (una cifra sesgada por las grandes empresas), pero la idea más útil para una empresa más pequeña es adónde va ese dinero. IBM atribuye aproximadamente el 40 % del coste total de una brecha al negocio perdido: clientes que se van, pérdida de ingresos por la inactividad y el coste de recuperar una reputación dañada. Es la mayor categoría individual, mayor que la detección, la notificación o la respuesta juntas. Para una pequeña empresa, esa proporción importa más que la cifra absoluta en dólares, porque el negocio perdido crece con cuánto dependen tus ingresos de la confianza de los clientes, y las empresas pequeñas suelen estar más expuestas ahí, no menos.

Por qué la cifra «media» es engañosa para las pequeñas empresas

La media de 4,88 M$ mezcla una asesoría contable de 30 personas con un banco multinacional. El coste no crece de forma lineal con el tamaño de la empresa: algunas categorías son casi fijas y otras se mueven con el número de registros y la duración de la inactividad. En lugar de aplicar la media, divide tu estimación en las cuatro partidas que usa IBM y dimensiona cada una a tu negocio:

• Detección y escalado: investigación forense, delimitación de la brecha y coordinación interna. En gran parte fijo: una brecha pequeña sigue necesitando una investigación de verdad.
• Notificación: comunicación legalmente obligatoria a las personas afectadas y a los reguladores, monitorización del crédito y atención telefónica. Crece con el número de registros.
• Respuesta posterior a la brecha: honorarios legales, multas regulatorias y remediación. Muy variable según qué datos se expusieron y qué normas se aplican.
• Negocio perdido: la categoría de ~40 %: pérdida de clientes, inactividad y recuperación de la reputación. Aquí es donde las pequeñas empresas sufren más.

El error que comete la mayoría de los propietarios es presupuestar solo las tres primeras (las facturas visibles) e ignorar la cuarta, que es la que de verdad hunde empresas.

Por qué el negocio perdido es el riesgo real para una empresa pequeña

Una gran empresa que pierde el 3 % de sus clientes tras una brecha encaja el golpe y sigue adelante. Una empresa de servicios B2B de 40 personas que pierde a tres de sus diez mayores clientes puede no sobrevivir al trimestre. La cifra del 40 % de negocio perdido del informe de IBM subestima el riesgo de concentración que soportan las pequeñas empresas, porque sus ingresos suelen depender de un puñado de relaciones basadas en la confianza.

En concreto, el negocio perdido aparece de tres formas:

• Pérdida de ingresos por inactividad. Si un ransomware bloquea tus sistemas durante cinco días y facturas 8.000 $ al día, son 40.000 $ perdidos antes de pagar a un solo abogado.
• Pérdida de clientes. Los clientes que se van tras una brecha, y la cartera comercial que se estanca mientras los posibles clientes esperan a ver cómo lo gestionas.
• Reparación de la reputación. Los descuentos, las ampliaciones de contrato y el esfuerzo de comunicación necesarios para conservar a los clientes que se quedan.

Un ejemplo práctico: estimar tu propia cifra

En lugar de citar 4,88 M$, construye una cifra defendible para tu negocio. Supón que eres una empresa de facturación sanitaria de 25 personas con 40.000 historiales de pacientes, unos ingresos de 4 M$ al año y obligaciones HIPAA. Una estimación aproximada:

• Detección e investigación: 35.000–75.000 $ por servicios forenses externos y apoyo de respuesta a incidentes en un incidente de tamaño medio.
• Notificación y monitorización del crédito: 40.000 registros × unos 3–5 $ cada uno por envíos, atención telefónica y 12 meses de monitorización = 120.000–200.000 $.
• Legal y regulatorio: sanciones HIPAA más abogados: de forma realista, 50.000–250.000 $ según si la OCR aprecia negligencia deliberada.
• Negocio perdido: si es ~40 % del total, y las tres categorías anteriores suman unos 300.000 $, el negocio perdido podría añadir más de 200.000 $, impulsado por la pérdida de clientes y 3–5 días de inactividad.

Eso da una estimación de trabajo en el rango de 500.000–700.000 $ para una empresa con 4 M$ de ingresos: una cifra potencialmente existencial, y una que nunca obtendrías mirando la media de 4,88 M$. El ejercicio también te dice dónde rinde el gasto en prevención: las dos palancas más grandes son reducir el número de registros que guardas y recortar la inactividad.

Dónde rinde más el dinero de prevención

Una vez que has dividido el coste en categorías, la priorización resulta obvia. Gasta en los controles que atacan tus partidas más grandes:

• Minimización de datos. Tu coste de notificación crece directamente con los registros que guardas. Si almacenas 40.000 registros pero solo necesitas 8.000 activos, archivar o borrar el resto reduce en un 80 % tu factura de notificación en el peor caso. Es el control de alto impacto más barato que ignoran la mayoría de las pequeñas empresas.
• Copias de seguridad y recuperación probadas. Como el negocio perdido está dominado por la inactividad, la capacidad de restaurar las operaciones en horas en lugar de días reduce directamente tu mayor categoría de coste. Una copia sin probar no es un control: programa un simulacro de restauración real.
• MFA y autenticación resistente al phishing. La mayoría de las brechas en pequeñas empresas empiezan con credenciales robadas o capturadas por phishing. La MFA en el correo, el acceso remoto y las cuentas de administrador es el control con mayor retorno disponible y cierra la vía de entrada más común.
• Un plan de respuesta a incidentes que hayáis ensayado de verdad. El informe de IBM vincula de forma constante una contención más rápida con un coste menor. Un plan escrito y probado acorta los plazos de detección y escalado, y cada día de inactividad que recortas reduce la cifra de negocio perdido.

Asocia los controles a marcos para que el gasto sea defendible

Los propietarios y los consejos se resisten a los presupuestos de seguridad que no pueden justificar. Ancla tus controles a un marco reconocido para que el gasto se corresponda con un estándar, no con el miedo. Para una pequeña empresa, el Implementation Group 1 (IG1) de los CIS Critical Security Controls es el punto de partida pragmático: define un conjunto mínimo de salvaguardas de «higiene cibernética esencial» (inventario, control de acceso, MFA, copias de seguridad, gestión de datos) dimensionado para organizaciones con recursos limitados. El NIST Cybersecurity Framework 2.0 te da las cinco funciones (Identify, Protect, Detect, Respond, Recover) para organizar tu programa y mostrar a un consejo cómo cada dólar reduce una categoría concreta del coste de una brecha.

La conexión es directa: la función Recover del NIST es exactamente lo que reduce la partida del 40 % de negocio perdido, y las salvaguardas de gestión de datos del CIS IG1 son lo que reduce tu factura de notificación. Cuando puedes decir «esta inversión en copias de seguridad reduce nuestra pérdida estimada por inactividad de 200.000 $ a 40.000 $», has convertido una petición de seguridad en un caso de negocio.

Si quieres construir tu propia cifra defendible en lugar de citar una media que no encaja con tu negocio, pasa tus números por la Breach Cost Calculator gratuita de PlayCISO: te guía por las mismas cuatro categorías de coste, dimensionadas a tu número de registros, tus ingresos y tu inactividad, para que salgas con una cifra que puedas llevar a tu consejo.

Preguntas frecuentes

¿Por qué el coste medio de una brecha es engañoso para las pequeñas empresas?

La media de 4,88 M$ mezcla una asesoría contable de 30 personas con un banco multinacional. El coste no crece de forma lineal con el tamaño de la empresa: algunas categorías son casi fijas y otras se mueven con el número de registros y la duración de la inactividad.

¿Por qué el negocio perdido es el riesgo real de una brecha para una empresa pequeña?

Una gran empresa que pierde el 3 % de sus clientes tras una brecha encaja el golpe y sigue adelante. Una empresa de servicios B2B de 40 personas que pierde a tres de sus diez mayores clientes puede no sobrevivir al trimestre. La cifra del 40 % de negocio perdido del informe de IBM subestima el riesgo de concentración que soportan las pequeñas empresas, porque sus ingresos suelen depender de un puñado de relaciones basadas en la confianza.

¿Dónde rinde más el dinero de prevención?

Una vez que has dividido el coste en categorías, la priorización resulta obvia. Gasta en los controles que atacan tus partidas más grandes: Minimización de datos. Tu coste de notificación crece directamente con los registros que guardas. Si almacenas 40.000 registros pero solo necesitas 8.000 activos, archivar o borrar el resto reduce en un 80 % tu factura de notificación en el peor caso.

¿Cómo se asocian los controles a marcos para que el gasto sea defendible?

Los propietarios y los consejos se resisten a los presupuestos de seguridad que no pueden justificar. Ancla tus controles a un marco reconocido para que el gasto se corresponda con un estándar, no con el miedo. Para una pequeña empresa, el Implementation Group 1 (IG1) de los CIS Critical Security Controls es el punto de partida pragmático: define un conjunto mínimo de salvaguardas de «higiene cibernética esencial» (inventario, control de acceso, MFA, copias de seguridad, gestión de datos) dimensionado para organizaciones con recursos limitados.