Casi todas las organizaciones que han pasado por un incidente de ciberseguridad tienen un número. Un monto que se mencionó en el comité, que se documentó en el informe posterior y que quedó como la respuesta oficial a la pregunta "¿cuánto nos costó?". Ese número casi siempre es demasiado limpio. Suele incluir lo que se pagó a un tercero por atender la emergencia, lo que se invirtió en reponer o reconfigurar lo afectado y, cuando aplica, lo que se transfirió a un atacante. Es el costo que tuvo factura. Y es la parte más pequeña del problema.
Lo que rara vez se consolida es todo lo demás: las horas de gente que dejó de hacer su trabajo, los procesos que siguieron operando pero a la mitad de su velocidad, las condiciones contractuales que se renegociaron seis meses después en peores términos, las auditorías que se volvieron obligatorias, la contratación que se adelantó sin presupuesto. Ninguna de esas partidas se registró bajo el rubro de ciberseguridad. Todas afectaron el margen. Y por eso la conversación entre el área financiera y el área de seguridad suele darse con dos cifras distintas para el mismo evento.
El primer costo invisible: la operación que no se detuvo, pero se hizo más lenta
Existe una idea implícita de que un incidente detiene la operación o no la detiene. En la práctica, el escenario más frecuente y más costoso es el intermedio: la operación sigue, pero degradada. Un sistema de facturación que tarda tres veces más. Un almacén que vuelve a registrar entradas y salidas en papel durante dos semanas. Un centro de contacto que atiende, pero sin acceso al historial del cliente. Producción que corre, pero sin visibilidad de inventario en tiempo real.
Ese estado degradado no aparece en ningún reporte de incidente porque nadie lo clasifica como una pérdida. Se clasifica como "seguimos operando". Pero el costo es real y es medible: es la diferencia entre la capacidad instalada y lo que efectivamente se produjo, se despachó o se cobró durante ese periodo. En organizaciones con márgenes ajustados —y en gran parte de la industria manufacturera y de servicios en México lo son— dos o tres semanas operando al setenta por ciento pesan más que cualquier honorario de respuesta a incidentes.
Hay un agravante regional. Muchas empresas medianas y grandes de la región operan con estructuras de personal deliberadamente delgadas en áreas de soporte. Cuando la operación se degrada, no hay holgura para absorberla: se absorbe con tiempo extraordinario, con reasignación de personal o con la postergación de todo lo que no era urgente. Ese aplazamiento es un costo diferido que se paga el trimestre siguiente.
El segundo costo invisible: la gente equivocada resolviendo el problema
Durante un incidente, la organización descubre quién es realmente indispensable. Y con frecuencia no son los perfiles que uno esperaría. El director de operaciones dedicando tres semanas a coordinar la recuperación. El equipo de finanzas reconstruyendo manualmente registros que ya existían. La dirección general en llamadas diarias con clientes, socios y en algunos casos con reguladores. El área legal revisando cláusulas de notificación que nadie había leído con detenimiento desde la firma del contrato.
Ese tiempo tiene un costo de oportunidad que casi nunca se cuantifica, porque el salario de esas personas ya estaba presupuestado. Pero lo que estaba presupuestado era su trabajo, no su participación en una recuperación. Los proyectos que esas personas dejaron en pausa —una expansión, una certificación, una negociación con un proveedor, el cierre de un ciclo comercial— se retrasaron. Algunos se cayeron. Nadie los contabilizó como consecuencia del incidente.
Aquí es donde el argumento de ciberseguridad empieza a ser un argumento de negocio y no técnico: la pregunta no es cuánto cuesta responder a un incidente, sino cuántas semanas de atención de la dirección está dispuesta a comprometer la organización, y qué deja de suceder en ese periodo.
El tercer costo invisible: lo que llega meses después
La parte del costo que más distorsiona los cálculos internos es la que llega con retraso. Un incidente cierra operativamente en semanas, pero sus consecuencias financieras se distribuyen a lo largo de doce a veinticuatro meses. Algunas de las más comunes:
Las condiciones contractuales cambian. Los clientes corporativos —especialmente los que operan bajo esquemas de proveeduría internacional, muy presentes en la región por la dinámica de nearshoring— revisan requisitos de seguridad al momento de la renovación. Eso se traduce en cláusulas más estrictas, auditorías de tercero obligatorias, certificaciones específicas o penalizaciones por disponibilidad. Cumplir con eso tiene un costo que se contabiliza como gasto de cumplimiento, no como consecuencia del incidente.
El cumplimiento normativo deja de ser opcional en la práctica. La legislación local en materia de protección de datos personales y, en sectores regulados, los requerimientos específicos de la autoridad correspondiente, definen obligaciones de notificación y de acreditación de controles que un incidente convierte en escrutinio activo. [DATO A VALIDAR: plazos y obligaciones específicas de notificación aplicables al sector del lector]. El costo aquí no es la multa —que puede o no ocurrir— sino la carga administrativa sostenida de demostrar cumplimiento ante quien ya tiene razones para revisarlo.
Y el costo de aseguramiento se ajusta. Las condiciones de renovación de una póliza cambian después de un evento reportado. Esa variación es recurrente, no única, y se arrastra durante años en el estado de resultados sin que nadie la asocie con el origen.
El multiplicador que casi nadie modela: hasta dónde llegó
Si hubiera que elegir una sola variable que determina si un incidente cuesta cientos de miles o millones, no sería la sofisticación del atacante ni la velocidad de detección. Sería el alcance: cuántos sistemas, cuántas ubicaciones y cuántos procesos quedaron comprometidos antes de que el problema se contuviera.
Esto es aritmética, no seguridad. Un incidente confinado a un segmento de la red afecta un proceso, involucra a un equipo y se recupera en días. El mismo incidente con capacidad de moverse lateralmente por una red plana afecta operación, administración y respaldos al mismo tiempo, involucra a toda la organización y se recupera en semanas. La causa raíz puede ser idéntica; la diferencia en costo es de un orden de magnitud.
La mayoría de las organizaciones de la región crecieron con redes internas construidas para la eficiencia y la interconexión, no para la contención. Fusiones, adquisiciones, plantas nuevas, adopción acelerada de nube durante los últimos años: cada una de esas decisiones fue correcta desde el punto de vista operativo y cada una amplió la superficie sobre la que un incidente puede propagarse sin encontrar una frontera interna.
Poner el mismo número sobre la mesa
La consecuencia práctica de todo esto es que la discusión de presupuesto de ciberseguridad se da con información incompleta. El área de seguridad argumenta con riesgo probable; el área financiera evalúa con el costo documentado del último incidente, que es el número limpio. Con esas dos cifras, la conversación no converge.
El ejercicio útil es otro y no requiere herramientas nuevas: reconstruir el costo total del último incidente relevante —propio o del sector— incluyendo operación degradada, horas de dirección, proyectos desplazados, cambios contractuales y ajustes recurrentes. El número resultante suele ser varias veces el que quedó documentado. Y una vez que existe, la pregunta cambia de "cuánto cuesta invertir en seguridad" a "cuánto de ese número queremos que siga siendo posible".
Proteger el margen operativo frente a un ciberataque no consiste en evitar todos los incidentes; eso no está disponible para nadie. Consiste en tomar decisiones que reduzcan el alcance de los que ocurran, porque el alcance es lo que determina el costo. Esa es una decisión de negocio, se toma antes del incidente, y le corresponde tanto a finanzas como a seguridad.
En la práctica
El punto donde el costo de un incidente se define no es la detección: es la contención. Por eso, en las operaciones que TBSEK gestiona, la segmentación de la red interna se trata como un control financiero y no solo técnico. Utilizamos Illumio como parte de nuestra operación para establecer fronteras internas entre procesos críticos, ambientes administrativos, respaldos y sistemas heredados, de modo que un compromiso en un punto no tenga camino libre hacia el resto de la organización.
El trabajo empieza por visibilidad: mapear qué se comunica con qué dentro de la red, algo que la mayoría de las organizaciones nunca ha documentado con precisión. Con ese mapa, TBSEK define y opera políticas de segmentación que permiten el tráfico que el negocio necesita y cierran el resto, incluyendo las rutas que solo existen por herencia de proyectos anteriores. La operación se hace por etapas, priorizando los procesos cuya interrupción tendría el mayor impacto en resultados.
El resultado que le importa a la dirección es acotar el escenario. Un incidente contenido en un segmento significa un proceso afectado en lugar de una organización detenida, días de recuperación en lugar de semanas, un equipo involucrado en lugar de todo el comité de dirección, y una conversación manejable con clientes y reguladores en lugar de una crisis. TBSEK asume la operación continua de ese control —diseño de políticas, ajuste ante cambios en la infraestructura y verificación de que la segmentación siga vigente conforme el negocio evoluciona— para que la organización no dependa de un proyecto puntual que envejece, sino de una capacidad que se mantiene.
