Cómo elaborar un presupuesto realista en materia de ciberseguridad para su pyme

La mayoría de las pequeñas empresas no tienen problemas de ciberseguridad porque no les importa. Se enfrentan a dificultades porque el gasto en seguridad suele ser reactivo, está disperso entre distintas herramientas y carece de conexión con los objetivos empresariales. Un presupuesto de ciberseguridad realista le ayuda a invertir de forma específica: protegiendo los sistemas que garantizan el flujo de ingresos, reduciendo la probabilidad de que se produzca una brecha de seguridad y mejorando su capacidad para recuperarse rápidamente en caso de que se produzca un incidente.

Por qué las pymes necesitan un presupuesto específico para la ciberseguridad

Las pymes son cada vez más objeto de ataques porque los autores de las amenazas dan por hecho que cuentan con equipos de seguridad más reducidos, menos medidas de seguridad y un menor nivel de supervisión. Muchos ataques comienzan con puntos de entrada sencillos, como el phishing de credenciales, contraseñas débiles o accesos mal configurados. Lo que a primera vista puede parecer un incidente de seguridad menor puede derivar rápidamente en la apropiación de una cuenta, un ataque de ransomware o una fuga de datos.

El impacto rara vez se limita al ámbito de las tecnologías de la información. Una filtración puede provocar:

• Pérdidas económicas: servicios de respuesta ante emergencias, labores de recuperación, pérdida de ventas durante el tiempo de inactividad y aumento a largo plazo de los costes de ciberseguridad
• Interrupciones operativas: interrupciones en la facturación, retrasos en la entrega, bloqueos del sistema y disminución de la productividad
• Daño a la reputación: disminución de la confianza de los clientes, pérdida de clientes y riesgos derivados en caso de que se divulgue información personal

Un presupuesto específico para seguridad convierte la idea de «deberíamos mejorar la seguridad» en un plan que garantiza la continuidad del negocio. Del mismo modo, las necesidades presupuestarias también vienen determinadas por las expectativas externas. En la actualidad, muchos proveedores y socios exigen que se demuestre la preparación en materia de seguridad como parte de las evaluaciones de riesgos, y el nivel de madurez en ciberseguridad puede influir en que su empresa cumpla los requisitos para obtener contratos o pueda cerrar acuerdos de mayor envergadura. 

¿Cuánto debería invertir una pyme en ciberseguridad?

No existe una cifra «correcta» concreta, pero sí hay formas fiables de estimar un rango realista en función de su gasto en TI y su perfil de riesgo. Utilice los puntos de referencia como orientación y, a continuación, adáptelos en función del funcionamiento de su empresa.

Porcentajes de referencia

Muchas pymes comienzan asignando el gasto en ciberseguridad como un porcentaje de su presupuesto total de TI. Los datos comparativos varían, pero un punto de referencia habitual es una cifra de dos dígitos bajos como porcentaje del gasto en TI, aproximadamente un 13,2% de media. 

Dicho esto, los puntos de referencia deben considerarse una orientación, no una norma. Un enfoque más adecuado consiste en establecer un presupuesto inicial que cubra lo esencial y, a continuación, ir ampliando la inversión con el paso del tiempo. Empezar poco a poco reduce la carga financiera, sobre todo si se da prioridad a las medidas de protección que minimizan en primer lugar los riesgos de mayor probabilidad, como los ataques a través del correo electrónico, el robo de credenciales y el ransomware.

Factores que influyen en la cuantía del presupuesto

La elaboración del presupuesto de ciberseguridad para las pequeñas empresas depende en gran medida de cómo funcione su empresa. El tamaño de la empresa es importante, pero también lo es la complejidad del sistema. Por lo general, contar con una plantilla que trabaja a distancia aumenta la exposición de las identidades y la diversidad de dispositivos. 

Un mayor recurso a las aplicaciones en la nube puede simplificar algunos costes de infraestructura, pero puede acarrear riesgos adicionales en materia de acceso y configuración. Las obligaciones de cumplimiento normativo también pueden aumentar su coste básico de seguridad, y el tipo de datos que gestiona también influye en su tolerancia al riesgo.

Si almacena o trata información confidencial, datos de clientes o datos de pago, su presupuesto debería reflejar la mayor probabilidad y el mayor impacto que tendría una filtración de datos. El objetivo no es gastar de forma desmesurada. Se trata de gastar de forma proporcional al riesgo que asuma.

Desglose del presupuesto de ciberseguridad: en qué deberían invertir las pymes

Un presupuesto de seguridad sólido no es solo una lista de herramientas. Los programas para pymes más resilientes distribuyen el gasto entre el personal, la tecnología, la formación y la respuesta ante incidentes, de modo que la protección se mantenga incluso si falla una de las capas.

Categorías principales de inversión

Un presupuesto realista en materia de ciberseguridad debe destinar recursos al personal, las herramientas, los procesos y los planes de contingencia. Muchas pymes gastan más de lo necesario en soluciones que no pueden gestionar adecuadamente y, a cambio, destinan pocos recursos a la formación en materia de concienciación sobre seguridad y a la preparación para responder ante incidentes. Un gasto equilibrado suele ofrecer una mayor protección, ya que reduce tanto la probabilidad de que se produzca un incidente como el coste de la recuperación.

Inversiones en tecnología

El gasto en tecnología debería dar prioridad a los controles que reduzcan las vías de ataque más habituales y limiten el alcance de los daños en caso de que se produzca una brecha de seguridad. Muchas pymes logran mejorar más rápidamente cuando se centran en un conjunto reducido de medidas de protección de gran impacto, en lugar de acumular herramientas inconexas que resultan difíciles de gestionar.

Una referencia práctica para la mayoría de las pequeñas empresas incluye:

• Autenticación multifactorial (MFA) para el correo electrónico, las herramientas de administración, el acceso remoto y las principales aplicaciones en la nube
• Protección de terminales para ordenadores portátiles, de sobremesa y servidores, además de gestión básica de dispositivos
• Medidas de seguridad de red, como cortafuegos y políticas de acceso remoto seguro
• Gestión de vulnerabilidades mediante rutinas de aplicación de parches y análisis ligeros de vulnerabilidades
• Copias de seguridad y recuperación con pruebas periódicas, no solo copias de seguridad del tipo «configurar y olvidarse»

Si el presupuesto es ajustado, las soluciones de seguridad integradas pueden reducir los costes y la complejidad de la seguridad al consolidar la cobertura y reducir los gastos de gestión.

Personal y experiencia

La mayoría de las pequeñas empresas no pueden permitirse contar con especialistas a tiempo completo en todas las áreas de seguridad, y muchas de ellas no necesitan eso para ser eficaces. Lo importante es poder contar con los conocimientos especializados adecuados en el momento oportuno. 

Los servicios de seguridad gestionados pueden ofrecer una cobertura de supervisión y respuesta que resultaría difícil de mantener a nivel interno, mientras que el liderazgo compartido puede contribuir a la gestión de riesgos, al establecimiento de prioridades y a la toma de decisiones en materia de ciberseguridad para las pymes. Un modelo de gestión compartida puede constituir una solución intermedia práctica: le permite mantener la visibilidad al tiempo que reduce la carga de trabajo operativa diaria.

Formación y reducción de riesgos para las personas

El error humano sigue siendo uno de los puntos de entrada más habituales para los ataques, especialmente el phishing y el robo de credenciales. Destinar presupuesto a la formación de los empleados no es opcional si desea que sus herramientas funcionen correctamente. 

Los programas de sensibilización en materia de seguridad funcionan mejor cuando son continuos y se adaptan a las funciones de cada uno, y cuando se complementan con simulaciones de phishing y rutinas de notificación claras. Una buena gestión de las credenciales, que incluya la adopción de la autenticación multifactorial (MFA) y el uso de un gestor de contraseñas, también reduce la probabilidad de que un simple clic dé lugar a la violación de una cuenta.

Fondos para la respuesta ante incidentes y para situaciones de emergencia

Incluso los programas de seguridad más sólidos deben prever la posibilidad de que se produzca un incidente. Un presupuesto de seguridad realista debe incluir recursos para la gestión de incidentes de seguridad, asesoramiento jurídico y en materia de cumplimiento normativo cuando sea necesario, así como servicios de recuperación que reduzcan el tiempo de inactividad. 

La preparación también implica definir las funciones de respuesta ante incidentes y realizar ejercicios de simulación rápidos, para que su equipo no tenga que improvisar bajo presión. En la mayoría de los casos, el coste de la planificación es mucho menor que el de tener que improvisar durante un incidente real.

Marco paso a paso para elaborar un presupuesto realista de ciberseguridad para pymes

La elaboración de presupuestos resulta más sencilla cuando se sigue un proceso sistemático, en lugar de basarse en conjeturas o reaccionar ante los titulares. Los pasos que se indican a continuación le ayudarán a adaptar la inversión en seguridad a las necesidades de la empresa, identificar las deficiencias, priorizar los riesgos y planificar el crecimiento.

Paso 1: Armonizar la ciberseguridad con los objetivos empresariales

Vincule la inversión en seguridad a los valores de liderazgo orientados a los resultados: reducir el riesgo de tiempo de inactividad, proteger la confianza de los clientes, impulsar el crecimiento y mantener la resiliencia operativa. Esto hace que la ciberseguridad sea un tema empresarial, más que técnico. Cuando se enfoca la seguridad como la protección de los flujos de ingresos y las relaciones con los clientes, resulta más sencillo justificar las decisiones presupuestarias y medir los avances.

Paso 2: Realizar un inventario de los activos y los sistemas

Enumere los sistemas de los que depende su empresa, incluyendo el hardware, los servicios en la nube, los repositorios de datos y las dependencias de red. A continuación, clasifíquelos según su gravedad y su exposición. Este paso es importante porque permite identificar dónde se encuentra realmente el riesgo, en lugar de elaborar un presupuesto basado en suposiciones. En la mayoría de las pymes, unos pocos sistemas concentran la mayor parte del riesgo operativo, y estos deberían influir en sus prioridades de gasto.

Paso 3: Evaluar las herramientas de seguridad actuales y las deficiencias

Compruebe qué servicios ya está pagando y si están configurados y se utilizan correctamente. Muchas pymes disponen de herramientas que no están aprovechando al máximo. Esta revisión suele poner de manifiesto gastos duplicados, licencias sin utilizar y lagunas de cobertura en ámbitos como la aplicación de la autenticación multifactorial (MFA), las pruebas de copias de seguridad, la aplicación de parches y la supervisión. El objetivo es eliminar el despilfarro y reorientar el presupuesto hacia medidas de control que reduzcan el riesgo real.

Paso 4: Realizar una evaluación de riesgos

Una evaluación de riesgos no tiene por qué ser complicada para resultar útil. Empiece por identificar las amenazas más probables y los escenarios de fallo más perjudiciales. Para muchas pequeñas empresas, el phishing, el robo de credenciales, los ataques de ransomware y los riesgos relacionados con terceros figuran entre las principales preocupaciones. Si desea disponer de un marco estructurado, el NIST ofrece una guía de inicio rápido para pequeñas empresas adaptada al Marco de Ciberseguridad 2.0.

Paso 5: Definir nuevos requisitos y prioridades

Traduzca su evaluación de riesgos en requisitos claros: qué medidas de control deben añadirse, qué procesos deben formalizarse y qué formación debe impartirse. La clave está en la secuencia. Priorice en primer lugar las inversiones destinadas a los sistemas de alto valor y a las exposiciones de alto riesgo, y amplíe posteriormente la cobertura a medida que crezca la empresa. Esto evita un gasto excesivo en una fase temprana, al tiempo que permite mejorar de forma constante el nivel de seguridad.

Paso 6: Identificar aspectos adicionales a tener en cuenta

Su presupuesto debe tener en cuenta el crecimiento y los cambios. Los nuevos miembros del equipo, las nuevas herramientas, las nuevas sedes y las nuevas relaciones con los proveedores suponen, en su conjunto, nuevos riesgos. La formación debería ser periódica, y no limitarse a una vez al año, sobre todo durante los periodos de contratación intensiva. Muchas pymes también valoran la posibilidad de contratar un seguro cibernético como parte de su gestión de riesgos. El seguro puede ayudar a recuperarse económicamente tras un incidente, pero debe considerarse como un recurso de última instancia y no como un sustituto de unos controles de seguridad sólidos.

Errores habituales en la elaboración de presupuestos que las pymes deben evitar

Muchos presupuestos de las pymes fracasan no porque sean demasiado reducidos, sino porque los fondos se destinan a fines equivocados. Evitar los errores más comunes le ayuda a reducir el desperdicio, simplificar las operaciones y obtener mejores resultados en materia de seguridad sin aumentar el gasto.

Invertir en exceso en herramientas sin una estrategia

La adquisición de múltiples herramientas sin unas prioridades claras suele dar lugar a solapamientos de funciones, a una mayor complejidad operativa y a un gasto innecesario. Si su equipo no es capaz de mantener las herramientas, optimizarlas y responder a las alertas, el gasto no se traduce en una protección significativa. La elaboración del presupuesto debe comenzar por los objetivos de reducción de riesgos y, a continuación, determinarse qué herramientas permiten alcanzar dichos objetivos.

Gasto reactivo, motivado por incidentes

Los presupuestos de seguridad que se elaboran tras producirse incidentes de seguridad suelen dar lugar a compras precipitadas y a decisiones tomadas bajo la influencia del miedo. Es posible que estas inversiones solucionen el problema visible, pero no aborden las causas fundamentales, como un control de acceso deficiente, una formación insuficiente o la falta de supervisión. Un plan proactivo reduce tanto la probabilidad de que se produzca un incidente como el coste de seguridad a largo plazo derivado de los repetidos ciclos de limpieza.

La falta de financiación destinada a la formación y a la planificación de la respuesta

Cuando la formación y la respuesta ante incidentes no cuentan con la financiación suficiente, los fallos de seguridad se vuelven más frecuentes y más costosos. El error humano sigue siendo una de las principales vías de acceso para los ataques, y la falta de preparación ante incidentes aumenta el tiempo de inactividad y el coste de la recuperación. Invertir en concienciación, guías de actuación y flujos de trabajo de respuesta suele reducir el riesgo general de ciberseguridad de forma más eficaz que adquirir otro producto independiente.

Estrategias de ciberseguridad adaptadas al presupuesto para pymes

Aun con recursos limitados, las pymes pueden establecer una protección eficaz optando por estrategias que reduzcan la complejidad y mejoren la cobertura. El objetivo es lograr la mayor reducción de riesgo por dólar, apoyándose en herramientas escalables y marcos de trabajo contrastados.

Aprovechamiento de las herramientas de seguridad basadas en la nube

Las herramientas nativas de la nube pueden reducir los costes iniciales de infraestructura y ofrecer tarifas mensuales predecibles, lo cual resulta de gran ayuda para las pequeñas empresas a la hora de gestionar su flujo de caja. Además, simplifican la implementación y el mantenimiento para equipos pequeños. La contrapartida es que la adopción de la nube exige controles de acceso rigurosos y una gestión de la configuración, ya que las configuraciones erróneas y las identidades poco seguras pueden convertirse rápidamente en brechas de seguridad.

Colaboración con proveedores de servicios de seguridad gestionados

Los servicios de seguridad gestionados pueden ofrecer supervisión, detección y respuesta ante incidentes sin necesidad de contar con una plantilla interna completa. Esta puede ser una de las opciones más rentables para las pymes que desean una mayor cobertura, pero que carecen de los recursos necesarios para gestionar un departamento de seguridad completo. Los enfoques de gestión compartida también pueden resultar eficaces cuando una empresa desea contar con el apoyo de expertos sin renunciar a la visibilidad interna ni al control sobre la toma de decisiones.

Utilizar de forma estratégica los recursos gratuitos y de bajo coste

Los marcos de trabajo, los conjuntos de herramientas y las directrices procedentes de fuentes fiables pueden ayudar a las pymes a establecer una protección básica sin incurrir en nuevos gastos. Los recursos del NIST sobre ciberseguridad para pequeñas empresas constituyen un punto de partida práctico para el establecimiento de prioridades y la gestión de riesgos. Las herramientas de código abierto también pueden resultar útiles en algunos casos concretos, pero solo si la empresa dispone del tiempo y los conocimientos necesarios para mantenerlas adecuadamente; de lo contrario, suponen un riesgo no controlado.

Cómo elaborar un presupuesto de ciberseguridad más eficaz para las pymes

La elaboración de presupuestos en materia de ciberseguridad es una capacidad estratégica para las pymes, no una partida presupuestaria prescindible. Una inversión proactiva reduce el riesgo cibernético, mejora la resiliencia y evita los mayores costes que conlleva el gasto reactivo tras una brecha de seguridad.

Un presupuesto sólido combina las herramientas de seguridad con la formación, los controles de acceso y la preparación para la respuesta ante incidentes, ya que los ataques actuales rara vez se aprovechan de una sola vulnerabilidad. A medida que vaya ajustando su presupuesto de ciberseguridad, dé prioridad a las inversiones que reduzcan los puntos de acceso habituales y protejan los datos confidenciales.

Mimecast puede constituir una inversión de gran repercusión para reforzar la seguridad del correo electrónico de las pymes, reducir los riesgos derivados de errores humanos y facilitar los procesos de protección de datos y cumplimiento normativo, todo ello dentro de las limitaciones presupuestarias reales.