Ransomware: el creciente riesgo de interrupción de negocios
Diciembre 7, 2022
PANORAMA GENERAL
A medida que aumenta la frecuencia de los ataques de ransomware, las empresas deben considerar que no son únicamente hacia los datos a donde se dirigen los hackers. Existe un riesgo creciente de ‘interrumpir’ un negocio. Este peligro digital en crecimiento ha presentado nuevos desafíos para la continuidad y la seguridad de las compañías.
“El panorama ha cambiado el riesgo cibernético”, afirma Sergio Torres, Specialty Leader – Financial & Professional Services, Cyber & Financial Institutions de Aon para Latinoamérica. “Con el ransomware convirtiéndose en algo común, hemos pasado de estar orientados sólo en la responsabilidad digital, a centrarnos en atender las interrupciones. Ese es el nuevo objetivo de los ciberdelincuentes: interrumpir las empresas en lugar de solo extraer datos”.
Si bien las organizaciones están acostumbradas a considerar las interrupciones comerciales relacionadas con circunstancias tales como daños a la propiedad, las amenazas cibernéticas que interrumpen los negocios pueden tener ramificaciones mucho más amplias. Para una empresa con operaciones en múltiples sitios, incluso en varios países, el impacto de la interrupción de negocio mediante un ataque de ransomware puede ir más allá de una sola propiedad y entorpecer las operaciones en todo el mundo.
A PROFUNDIDAD
Según el Informe de Riesgos de Ciberseguridad 2021 de Aon, los ataques de ransomware se han vuelto más complejos y la interrupción del negocio es cada vez más probable. Al mismo tiempo que el número de ataques ha crecido en 2022, también lo ha hecho su costo: se prevé que el daño del ransomware en todo el mundo alcance los $20 mil millones de dólares, con algunos de los ataques de ransomware más sofisticados y variables que agrupan malware, que en promedio representa $780 mil dólares por evento.
Para la región Latinoamericana, el Reporte Comparativo del Impacto de los Activos Intangibles en los Estados Financieros, considera que el impacto de la interrupción del negocio por ataques cibernéticos y de propiedad intelectual ascenderá a cerca de $355 millones de dólares este año. En 2019 estos ataques generaron un costo de $301 millones de dólares, lo que significa que las pérdidas de las empresas en esta región se elevarán a casi un 18% más en 2022.
Preparación para la amenaza cibernética que genera la interrupción del negocio
Para que las empresas se preparen para el riesgo cibernético que genera la interrupción de su negocio, obligadamente deben atender los siguientes puntos:
– Mejorar la seguridad de la tecnología de la información para prevenir ataques disruptivos
– Desarrollar un plan sólido de continuidad del negocio que permita responder y recuperarse tras un ataque
– Evaluar con precisión el riesgo de interrupción del negocio ante un ataque cibernético para transferir el riesgo de manera efectiva a los mercados de seguros cibernéticos u otros
– Desarrollar un plan para documentar con precisión las pérdidas relacionadas con la interrupción de negocio y su impacto financiero, con el fin de presentar de manera eficiente un reclamo específico a las aseguradoras.
“En principio, realmente no es tan diferente un reclamo de interrupción de negocio relacionado con activos fijos a un reclamo de interrupción de negocio derivado de un evento cibernético, excepto por el hecho de que con la interrupción cibernética es posible que no se sepa qué políticas deben activarse, por lo que es importante tener al equipo de respuesta a incidentes alineado con anticipación”, explica Torres. “Por lo tanto, asegúrese de establecer quiénes se harán cargo de atender esta intrusión cibernética. Haga que ese equipo se alinee con anticipación, porque el mayor problema al afrontar un evento cibernético es abordarlo de inmediato”.
Comprender el riesgo
Para abordar adecuadamente una amenaza cibernética que interrumpa el negocio (incluida la capacidad máxima de transferir riesgos), las empresas deben comprender completamente su grado de exposición.
Con las aseguradoras exigiendo información más detallada de los posibles compradores de seguros cibernéticos, las empresas deben invertir en analizar sus exposiciones para determinar cómo podría ser una pérdida ante una posible incursión cibernética al negocio.
“Ahora es el momento en que las empresas realmente puedan reforzar su comprensión de cuál es su riesgo cuando una interrupción de este tipo sucede”, comenta Torres. “Dado el mercado de seguros y los desafíos que enfrentan algunos en términos de transferir su riesgo cibernético, es importante invertir en comprender cómo sería la pérdida más probable derivada de la interrupción del negocio al momento de renovar una póliza cibernética o comprarla por primera vez”.
Amenazas cibernéticas en la cadena de suministro
Las empresas también deben considerar la posibilidad de que sus cadenas de suministro puedan verse interrumpidas por riesgos cibernéticos.
“Es un problema enorme, porque si un proveedor sufre un ciberataque que le impida suministrar su producto, entonces estará experimentando una pérdida contingente por la interrupción del negocio como resultado de un ciber evento”, dice Torres. “Es importante que las empresas hagan una buena investigación para seleccionar y administrar correctamente a sus proveedores”.
Las empresas expuestas a riesgos cibernéticos en sus cadenas de suministro también deben considerar el uso de múltiples proveedores y desarrollar planes de respaldo para abordar las posibles interrupciones.
Evaluación de la pérdida
Calcular las pérdidas incurridas en una interrupción de negocio causada por ataques cibernéticos, puede ser un desafío, especialmente para una empresa multinacional con operaciones en diferentes ubicaciones que, posiblemente, podría enfrentar diversos impactos.
Hay que tener en cuenta esa complejidad y prestar la debida atención a la hora de recopilar los datos de apoyo”, asegura Torres. “Cuantificar el impacto, gestionar de cerca el siniestro y trabajar con la aseguradora y sus representantes para recuperar las pérdidas aseguradas es un proceso con muchas facetas. Requiere tiempo y recursos de expertos”.
El reto se agudiza por el hecho de que la determinación de las pérdidas tiene lugar mientras la empresa lidia con una interrupción cibernética y está en “modo crisis”. Las empresas deben intentar adelantarse a los acontecimientos y estar lo más preparadas posible antes de un evento”, finaliza Torres. “Deben de entender qué tipo de información necesitarán identificar y cómo la recopilarán”.
La amenaza de riesgo cibernético es real, la preparación es esencial
La amenaza de los ciberataques sigue creciendo y, con ellos, el riesgo de irrupción de la actividad empresarial. Analizando las exposiciones, tomando medidas para abordar el riesgo y estableciendo una estrategia para articular una reclamación de forma rápida y precisa, las empresas pueden prepararse y tomar las mejores decisiones frente a este tipo de amenazas.
