Qué es una brecha de seguridad y cómo puede afectar a una empresa

El término "brecha de seguridad" aparece en titulares cada vez que una empresa grande sufre un ataque informático. Pero el concepto no aplica solo a corporaciones multinacionales: cualquier empresa que maneje información digital —datos de clientes, registros financieros, propiedad intelectual— está expuesta a brechas de seguridad, y las consecuencias pueden ser tanto o más graves para una empresa chica que para una grande.

Este artículo explica qué es una brecha de seguridad, qué tipos existen y cómo pueden afectar a un negocio, usando términos que cualquier empresario o gerente puede entender sin necesidad de conocimientos técnicos previos.

Qué es una brecha de seguridad

Una brecha de seguridad es cualquier evento en el que información protegida es accedida, modificada, eliminada o expuesta sin autorización. La palabra clave es "sin autorización": si un empleado del área contable accede a datos contables, no hay brecha. Si ese mismo empleado accede a datos de recursos humanos que no debería ver, o si alguien externo a la empresa accede a cualquier dato, ahí hay una brecha.

Las brechas de seguridad no siempre son ataques externos. Una proporción significativa de las brechas reportadas cada año tiene su origen en errores internos: alguien que envía información por correo al destinatario equivocado, un empleado que deja una computadora desbloqueada con información sensible a la vista, o una configuración incorrecta que deja visibles en internet datos que deberían ser privados.

Lo que define una brecha no es la intención de quien la causa, sino el hecho de que información protegida quedó expuesta. Las consecuencias legales, financieras y reputacionales pueden ser igual de graves aunque el origen haya sido un error sin mala intención.

Tipos de brechas de seguridad

Aunque cada incidente es distinto, la mayoría de las brechas de seguridad entran en alguna de estas categorías:

Acceso no autorizado

Alguien —interno o externo— accede a sistemas o datos para los que no tiene permiso. Puede ser un atacante que descifró una contraseña débil, un exempleado cuyas credenciales nunca fueron desactivadas, o un empleado actual que aprovecha un permiso mal configurado para curiosear información que no debería ver.

Filtración de datos

Información protegida sale de la empresa hacia un destino no autorizado. Los canales más comunes: correo electrónico enviado a la persona equivocada, archivos almacenados en servicios en la nube con permisos demasiado abiertos, o un empleado que copia información en un dispositivo personal que después pierde o le roban.

Modificación o eliminación no autorizada de datos

No siempre se trata de robar información. A veces el daño es que los datos se alteran o se destruyen. Un atacante que modifica registros financieros, un empleado que borra información antes de renunciar, o un error de configuración que elimina datos por accidente: en todos los casos, la integridad de la información queda comprometida.

Interrupción del servicio

Un tipo de brecha que no busca acceder a los datos sino impedir que los demás accedan al sistema. Los ataques de denegación de servicio —inundar un servidor con solicitudes falsas hasta que colapsa— son el ejemplo más conocido. La empresa no pierde datos, pero pierde la capacidad de operar mientras el ataque dura.

Cómo ocurren las brechas de seguridad

Las brechas de seguridad no suelen ser producto de un ataque sofisticado de película. La mayoría explota vulnerabilidades sorprendentemente simples y prevenibles:

• Contraseñas débiles o reutilizadas. La contraseña más usada en el mundo sigue siendo "123456". Si un empleado usa la misma contraseña para el sistema interno de la empresa y para su cuenta personal de una red social, y esa red social sufre una filtración —algo que ocurre con frecuencia—, el atacante prueba esa misma combinación de correo y contraseña en sistemas empresariales, y en muchos casos funciona.
• Software desactualizado. Los sistemas operativos, navegadores, servidores y aplicaciones publican actualizaciones de seguridad constantemente. Cada actualización corrige vulnerabilidades conocidas. Una empresa que no aplica esas actualizaciones está dejando la puerta abierta a atacantes que ya saben cómo entrar.
• Errores de configuración. Una base de datos configurada con acceso público en lugar de acceso restringido, un permiso de escritura asignado a quien solo debería tener permiso de lectura, un panel de administración accesible desde internet sin contraseña. Todos estos son errores humanos que habilitan brechas.
• Correos de phishing. Un atacante envía un correo que parece legítimo —del banco, de un proveedor, de un colega— pidiendo que la persona haga clic en un enlace o ingrese sus credenciales. El empleado lo hace, y el atacante obtiene acceso a los sistemas de la empresa.
• Dispositivos perdidos o robados. Una notebook corporativa que se pierde en un aeropuerto, un teléfono que se roba en la calle. Si los dispositivos no están encriptados y protegidos con contraseña, quien los encuentra accede a todo lo que contienen.

Consecuencias de negocio de una brecha de seguridad

Las consecuencias de una brecha van mucho más allá del área de sistemas. Son, sobre todo, un problema de negocio.

Impacto financiero directo

El costo inmediato incluye la investigación forense para determinar qué pasó y cuánto se perdió, la restauración de sistemas y datos, las horas extra del personal técnico y, en muchos casos, la contratación de consultores externos especializados en respuesta a incidentes. Dependiendo de la magnitud, estos costos pueden ir de unos pocos miles de dólares a cifras de seis o siete dígitos.

A esto se suman las posibles sanciones regulatorias. En muchos países, las leyes de protección de datos imponen multas significativas a las empresas que no protegieron adecuadamente la información de sus clientes. Esas multas pueden calcularse como un porcentaje de la facturación anual, y suelen ser lo suficientemente altas como para poner en riesgo la viabilidad de una empresa mediana.

Interrupción de operaciones

Si la brecha afecta los sistemas que la empresa usa para operar —ventas, facturación, atención al cliente—, el negocio se detiene hasta que los sistemas se recuperan. Cada hora de inactividad es ingreso que no se genera y, en algunos sectores, clientes que se van a la competencia y no vuelven.

En el peor de los casos, si la empresa no tiene respaldos adecuados, la información perdida puede ser irrecuperable. Imaginar un negocio que de un día para el otro pierde el registro de todas sus transacciones, los datos de todos sus clientes y el historial de todas sus operaciones no es un escenario exagerado: es lo que ocurre cuando un ataque de ransomware encripta los datos y la empresa no tiene copias de seguridad.

Pérdida de confianza de los clientes

Este es el impacto más difícil de cuantificar y, a largo plazo, el más costoso. Cuando los clientes se enteran de que la empresa en la que confiaban no protegió su información, muchos deciden irse. Y no solo los clientes actuales: los potenciales también lo piensan dos veces antes de compartir sus datos con una empresa que ya demostró no cuidarlos.

A diferencia del costo financiero directo, que se paga una vez, la pérdida de confianza se paga durante años en forma de clientes que no vuelven, recomendaciones que no llegan y una reputación que tarda en recuperarse.

Responsabilidad legal frente a terceros

Si la brecha expuso datos de clientes, proveedores o socios comerciales, la empresa puede enfrentar demandas civiles por los daños causados. Si la brecha expuso propiedad intelectual de un cliente —por ejemplo, una agencia de desarrollo que sufre una brecha y expone el código fuente de un cliente—, la responsabilidad puede ser todavía mayor.

Qué puede hacer una empresa para reducir el riesgo

Prevenir todas las brechas de seguridad es imposible. Lo que sí es posible es reducir significativamente la probabilidad de que ocurran y minimizar el daño cuando ocurren. Algunas medidas que cualquier empresa puede implementar:

• Establecer políticas básicas de seguridad: exigir contraseñas robustas y no reutilizadas, activar la autenticación en dos pasos para todos los sistemas que lo permitan, mantener el software actualizado.
• Capacitar al equipo: la mayoría de las brechas empiezan con un error humano. Explicar a todos los empleados qué es el phishing, por qué no deben compartir contraseñas, y cómo identificar situaciones sospechosas reduce el riesgo más que muchas herramientas técnicas.
• Aplicar el principio de mínimo privilegio: cada persona debe tener acceso únicamente a la información que necesita para hacer su trabajo, y nada más. Si un empleado de marketing no necesita ver datos financieros, no debería poder verlos.
• Tener respaldos actualizados y probados: un respaldo que nunca se probó no es un respaldo, es una esperanza. Los respaldos deben ser automáticos, frecuentes, almacenados en una ubicación separada del sistema principal, y verificados periódicamente.
• Hacer auditar la seguridad por un tercero: así como se contrata a un contador externo para revisar los estados financieros, conviene contratar a un especialista en seguridad para revisar los sistemas. Una mirada externa detecta vulnerabilidades que quien trabaja todos los días en el sistema ya no ve.

El artículo sobre qué preguntar sobre seguridad a tu proveedor de software ofrece una lista de preguntas concretas para asegurarse de que quien construye tu producto sigue prácticas seguras. Y el artículo sobre qué datos de tus clientes debes proteger ayuda a identificar cuál es la información más sensible que maneja tu empresa, que debería ser la prioridad número uno al diseñar medidas de protección.

Entender qué es una brecha de seguridad y cómo puede afectar al negocio no es un tema exclusivo del departamento de sistemas. Es un tema de directorio, porque una brecha grave puede borrar en días el valor que una empresa construyó durante años.