¿Cuánto le costará una filtración de datos y puede reducirla?

Según el reciente informe Trends in Cybersecurity Breach Disclosures, el coste medio de una filtración de datos para una empresa que cotiza en bolsa es de 116 millones de dólares.

Sin embargo, vale la pena tener en cuenta que esta cifra estará sesgada por los casos más grandes.

El informe se basa en 639 violaciones de seguridad cibernética que tuvieron lugar desde 2011 e incluye algunas de las violaciones más grandes que hemos visto hasta la fecha, que incluyen:

• La filtración de Equifax, que se reveló en 2017, costó alrededor de 2 mil millones de dólares.
• La infracción de Home Depot, que se reveló en 2014, costó alrededor de 298 millones de dólares.
• La infracción de Target, que se reveló en 2013, costó alrededor de 292 millones de dólares.
• La infracción de Marriott, que se reveló en 2018, costó alrededor de 114 millones de dólares.
• La filtración de Facebook, que se reveló en 2012, costó alrededor de 5 mil millones de dólares.

También cabe señalar que aproximadamente el 26% de las empresas son atacadas repetidamente por ciberdelincuentes. Estas empresas incluyen Facebook, Sony, Amazon, Comcast y T-Mobile USA.

Según los datos recopilados en 2019, los tipos de datos que más interesaban a los piratas informáticos eran los nombres de los clientes, las direcciones y las direcciones de correo electrónico, que representaban el 48 %, 29 % y 28 % respectivamente.

En 2018, los tipos de información que fueron robados con mayor frecuencia durante una filtración de datos incluyeron nombres y detalles de tarjetas de crédito. También hemos visto un aumento del 500 % en la cantidad de números de seguro social (SSN) robados de 2016 a 2019.

En cuanto a los métodos que utilizaron los ciberdelincuentes para obtener datos, el 34% de las filtraciones de datos involucraron malware, el 25% se basaron en campañas de phishing, el 20% involucraron acceso no autorizado, mientras que el 12% fueron consecuencia de sistemas mal configurados. De las organizaciones que sufrieron una violación de datos, el 43% no reveló la naturaleza del ataque.

En la mayoría de los casos, fueron los costes de remediación y la caída del valor de las acciones los que causaron el mayor daño financiero. Como era de esperar, el robo de datos financieros resultó en las pérdidas más importantes.

Tiempos de respuesta a las filtraciones de datos

Según el informe, se necesitaron un promedio de 108 días para descubrir una violación de datos y 49 días adicionales para revelarla.

El mayor "tiempo de permanencia" registrado de cualquier incidente estuvo asociado con Yahoo! violación de datos, que tardó hasta 1.649 días en revelarse. La infracción se descubrió por primera vez en 2013 y luego se reveló en 2016. Yahoo! La Comisión de Bolsa y Valores le impuso una multa de 35 millones de dólares por no informar la infracción a tiempo. En 2017, Yahoo! fue adquirida por la empresa de telecomunicaciones estadounidense Verizon.

Cabe señalar que a medida que las amenazas a la seguridad se vuelven más sofisticadas, inevitablemente llevará más tiempo identificarlas y contenerlas.

Hoy en día, muchas empresas dependen de contratistas especializados para llevar a cabo una investigación forense antes de notificar a las autoridades.

Naturalmente, estas investigaciones toman tiempo para completarse, y si bien es importante reunir una cantidad suficiente de evidencia sobre el incidente antes de revelar la violación al público, no actuar rápidamente podría sugerir que los controles internos de la empresa son inadecuados. Esto podría dañar aún más su reputación e incurrir en costes aún mayores.

Por ejemplo, según el Informe sobre el costo de una violación de datos de 2019, realizado por IBM y el instituto Ponemon, cuanto más tarde una empresa en detectar y responder a un incidente de seguridad, más dinero normalmente tendrá que pagar.

Las organizaciones que cuentan con un plan de respuesta a incidentes (IRP) formal y bien probado gastarán un promedio de $3,51 millones para cubrir los costos de una infracción, mientras que las organizaciones que no cuentan con un IRP gastan un promedio de $4,74 millones.

Como puedes ver, es un arma de doble filo. Es importante comprender lo que sucedió antes de revelar la infracción, pero si lleva demasiado tiempo, podría terminar costándole a la empresa más dinero de lo que vale este conocimiento.

¿Cómo pueden las organizaciones minimizar el costo de una infracción?

La respuesta a incidentes suele dividirse en fases clave, que incluyen: preparación, identificación, contención, erradicación, recuperación y lecciones aprendidas.

Sin embargo, en el contexto de minimizar el costo de una infracción, nuestro enfoque debe estar en la capacidad de identificar, contener y divulgar la infracción de manera oportuna.

Una vez que se haya revelado la infracción, puede continuar para asegurarse de que se haya erradicado y luego hacer que su sistema vuelva a su estado operativo.

Para ayudar a acelerar el proceso de identificación, es imperativo que utilice tecnologías que brinden visibilidad de los tipos de datos afectados y los eventos que tuvieron lugar antes del incidente.

Para empezar, es útil tener un inventario conciso de los datos que tiene, dónde están ubicados y cómo se clasifican. Si solo un determinado servidor se vio afectado, puede utilizar este inventario para realizar una evaluación informada de los datos que se vieron comprometidos.

Una solución de clasificación de datos escaneará automáticamente su sistema de archivos en busca de datos confidenciales y los clasificará según las leyes de privacidad que sean relevantes para su organización. Hacerlo simplificará enormemente el proceso de realización de un análisis forense.

Por supuesto, la clasificación de datos no es de mucha utilidad por sí sola, pero agilizará el proceso de asignación de controles de acceso a activos críticos. Además de una solución de clasificación de datos, deberá asegurarse de tener un registro detallado de todos los eventos relacionados con sus datos confidenciales.

Una plataforma de seguridad de datos agregará y analizará registros de eventos de múltiples fuentes, incluidas las plataformas en la nube más populares.

Con estas soluciones, podrá realizar una búsqueda detallada de todos los eventos que tuvieron lugar antes del incidente. La mayoría de las soluciones de auditoría en tiempo real son capaces de generar automáticamente informes personalizados para cumplir con los requisitos de las normas de protección de datos más destacadas.

Si bien la adopción de estas soluciones puede requerir un costo inicial inicial, le permitirán revelar los detalles de un incidente de seguridad a las autoridades supervisoras de manera rápida y eficiente, ahorrando así potencialmente mucho más dinero del que se gastó en la solución.