Boletín sobre la recuperabilidad n.º 2
El tiempo de inactividad, y no el rescate, es el verdadero coste de un incidente cibernético
Si preguntas en una sala de juntas cuánto cuesta un incidente cibernético, te hablarán del rescate, de los abogados, de la empresa de análisis forense y de las notificaciones. Pero las aseguradoras, que son las que pagan esas facturas, llevan un registro más preciso que nadie, y apuntan a otra cosa:
La mayor parte del coste de un incidente cibernético se debe al tiempo de inactividad, es decir, los días y semanas en los que la empresa no puede funcionar a un nivel aceptable.
Esta conclusión se desprende del análisis de siniestros incluido en el Informe sobre el estado de la recuperabilidad de 2026 de Fenix24, y debería cambiar la forma en que los responsables de seguridad plantean el gasto. De todos los costes derivados de un siniestro cibernético, el tiempo de inactividad es el único que aún puede reducirse una vez que el atacante ha logrado acceder al sistema. Los datos sobre siniestros lo demuestran en ambos aspectos.
Los que pagan las facturas están de acuerdo
Algunos de los testigos más fiables del verdadero coste de los incidentes cibernéticos son las aseguradoras que los cubren, y sus datos sobre siniestros han llegado a una conclusión unánime. En las mayores bases de datos independientes de siniestros del mundo, la interrupción de la actividad empresarial es el componente de pérdida predominante, superando la suma de los pagos de rescates, los análisis forenses, los honorarios legales y los costes de notificación. El análisis de Allianz Commercial para 2025 sitúa la interrupción de la actividad empresarial por encima del 50 % del valor de los grandes siniestros cibernéticos. Munich Re, basándose en su propia cartera, la sitúa en el 51 % de los componentes del coste del ransomware. Dos aseguradoras, dos bases de datos, una misma respuesta.
El estudio de NetDiligence sobre siniestros en los últimos cinco años muestra cómo influye ese porcentaje en el total. Los siniestros que incluyen un componente de interrupción de la actividad empresarial cuestan, de media, un 650 % más que los que no lo incluyen, y el ransomware fue la causa del 81 % de los siniestros de las pymes que sí lo incluían. Las medias de esas reclamaciones reflejan la situación en ambos extremos del mercado. En el caso de las pymes, la interrupción de la actividad supuso una media de 1,2 millones de dólares de un coste total por incidente de 1,8 millones, mientras que los servicios de gestión de crisis ascendieron a 297 000 dólares. En el caso de las grandes empresas, la interrupción supuso una media de 26 millones de dólares de un total de 36,1 millones, frente a los 3,5 millones de dólares destinados a servicios de gestión de crisis. En cualquiera de las dos escalas, el coste de la interrupción es varias veces superior al resto de conceptos de la reclamación sumados.
El único coste que sigue siendo variable
Esas cifras son importantes para un responsable de seguridad por una razón que va más allá de su magnitud. La interrupción de la actividad empresarial se comporta de forma diferente a cualquier otro componente de la pérdida.
Una vez que se produce un incidente, los costes forenses, legales y de notificación son más o menos fijos. Los investigadores facturan lo que facturan, los abogados cobran lo que cobran y las cartas se envían a todas las personas afectadas. Nada de lo que haga la organización a partir del primer día modifica mucho esas cifras. La línea de la interrupción es diferente. Es una variable, y la variable que mide es la velocidad de recuperación. Los propios analistas de siniestros de Allianz señalan que las pérdidas por interrupción están directamente relacionadas con la calidad de la respuesta y la ejecución de los planes de continuidad. La indecisión y la mala coordinación las prolongan.
Léelo como lo haría un director financiero. Cualquier otro resultado en materia de seguridad es probabilístico. Se invierte en prevención y las probabilidades de que se produzca un incidente disminuyen en una medida que nadie puede verificar. La capacidad de recuperación da sus frutos de forma determinista. Si la empresa se recupera en cuarenta horas en lugar de en tres semanas, la diferencia es aritmética y repercute en la partida más importante de la reclamación. Cada hora de tiempo de recuperación contratada por adelantado es un valor de la reclamación que nunca se acumula. Ninguna otra inversión en seguridad tiene una relación tan directa con la cifra más elevada de la hoja de pérdidas.
Por eso, decir «tenemos un seguro cibernético» no resuelve el problema. Las aseguradoras fijan sus tarifas en función de lo que pagan. Una organización que pueda demostrar un plazo de recuperación breve y documentado presenta un perfil de siniestralidad varias veces menor que otra que no pueda hacerlo. La póliza transfiere la pérdida, pero no la reduce. Es la rapidez de la recuperación lo que la reduce.
La cifra que figura en tu documento presupuestario es incorrecta.
La mayoría de los informes sobre presupuestos de seguridad citan las pérdidas declaradas por ransomware, aunque la agencia que los publica recomienda no hacerlo. El IC3 del FBI registró 3.600 denuncias relacionadas con ransomware en 2025, con unas pérdidas declaradas de 32 millones de dólares. Su propia metodología señala que el total suele excluir la pérdida de negocio, tiempo, salarios, archivos, equipos y los costes de reparación a cargo de terceros. Además, solo tiene en cuenta los incidentes que las víctimas denuncian al FBI.
El Instituto Cyentia, tras realizar una estimación sobre el conjunto de incidentes —incluidos los costes operativos—, situó las pérdidas anuales por ransomware en torno a los 95 000 millones de dólares para 2023. Las dos cifras miden cosas diferentes, y ahí radica precisamente el problema. Las categorías que la cifra principal excluye por diseño son precisamente los mismos costes por tiempo de inactividad que, según los datos de las reclamaciones, representan la mayor parte de la factura. Un presupuesto basado en las pérdidas declaradas omite su partida más importante, y a un consejo de administración al que se le comunica que «las pérdidas por ransomware a nivel nacional ascienden a 32 millones de dólares» se le ha dado una razón para gastar menos, no más.
La exposición cibernética debería medirse en horas de interrupción de las operaciones, y no en el número de registros expuestos. Los datos sobre reclamaciones ya lo hacen así.
Cuánto cuesta una hora y cómo averiguarlo
Medir la exposición en horas parece sencillo hasta que intentas calcular la cifra, porque «el negocio» no tiene una tarifa por hora. Los servicios empresariales sí la tienen, y varían enormemente. Una hora sin la plataforma de comercio electrónico conlleva una cifra de ingresos asociada. Una hora sin la nómina cuesta poco el martes y mucho el viernes, cuando vence el plazo de pago. Una hora sin el sistema de ejecución de la fabricación deja inactiva una planta, cuyos costes de mano de obra y sanciones contractuales se acumulan de todos modos.
El cálculo de la exposición se lleva a cabo en tres pasos, y cada uno de ellos supone un trabajo que la mayoría de las organizaciones no han realizado. En primer lugar, hay que identificar los servicios empresariales que se interrumpen cuando el entorno deja de funcionar, servicio por servicio en lugar de servidor por servidor. En segundo lugar, hay que asignar una cifra por hora a cada uno de ellos, basada en los ingresos, la mano de obra ociosa, las penalizaciones por incumplimiento del SLA y los clientes que no vuelven. En tercer lugar, y este es el paso que distingue una estimación de una evidencia, hay que determinar cuántas horas tardaría cada servicio en recuperarse, basándose en algo que se haya probado realmente y no en un objetivo que alguien haya escrito en un plan.
Esa tercera cifra es la que casi nadie conoce. En los proyectos de Fenix24, los objetivos de tiempo de recuperación documentados solían prometer entre 24 y 48 horas. De entre más de 800 clientes, solo cuatro se acercaron a ese plazo para la reanudación parcial de las operaciones. Si multiplicas un coste por hora realista por la diferencia entre el plazo prometido y el realmente alcanzado, obtendrás tu exposición real. Para la mayoría de las organizaciones, es la cifra más importante que no se ha analizado en el registro de riesgos.
Comprar horas antes de necesitarlas
Si cada hora de tiempo de recuperación contratada por adelantado es un valor de indemnización que nunca se acumula, la pregunta práctica es dónde se venden esas horas. Desde la perspectiva de la recuperación, tras más de 500 intervenciones relacionadas con ransomware, la respuesta es concreta. Las horas se pierden en circunstancias que ya existían mucho antes de que apareciera el atacante. Los equipos tienen que reconstruir las dependencias de las aplicaciones en pleno incidente porque no existía ningún mapa actualizado. Las copias de seguridad que indicaban que se habían realizado correctamente resultan no ser restaurables desde el punto de vista operativo. Los datos restaurados no tienen dónde almacenarse porque nadie había provisionado almacenamiento para una restauración completa del entorno. Las decisiones se estancan porque nadie acordó de antemano quién tomaría las decisiones sobre el orden de restauración a las 3 de la madrugada.
Cada uno de estos aspectos es cuantificable y subsanable en tiempos de paz, y cada uno se traduce directamente en horas. Esa es la conversación presupuestaria que estos datos sobre reclamaciones hacen posible. En lugar de pedir al consejo de administración que financie la protección frente a una probabilidad, un responsable de seguridad puede cuantificar el coste de una hora de inactividad para cada servicio empresarial crítico, mostrar la diferencia entre el tiempo de recuperación prometido y el real, y presentar la inversión en recuperación como una forma de reducir esa diferencia. Es una de las pocas propuestas de seguridad que un director financiero puede evaluar como cualquier otra decisión de inversión, porque, por una vez, el rendimiento se expresa en la misma unidad que la pérdida.
Consulta el informe completo
El Informe sobre el estado de la recuperabilidad de 2026 gira íntegramente en torno a la pregunta que todos los consejos de administración se plantean actualmente: ¿cuánto tiempo estaríamos realmente inactivos? Recopila datos de siniestros, análisis normativos y encuestas a directivos de instituciones líderes, como Allianz, Munich Re y Accenture, y luego compara toda esta información con lo que Fenix24 ha observado en más de 500 casos reales de recuperación tras un ataque de ransomware. Ningún otro informe combina el análisis del sector con datos de campo del equipo que lleva a cabo más recuperaciones que nadie en el mundo. Es la diferencia entre lo que las organizaciones dicen sobre su resiliencia y lo que ocurre cuando el entorno deja de funcionar.
Haz clic aquí para descargar el Informe sobre el estado de la recuperabilidad de 2026 de Fenix24.
