Un ataque a una pyme cuesta de media más de 35.000€, y las aseguradoras ya exigen cinco medidas mínimas antes de pagar
Imagina que un martes cualquiera, una clínica dental de tres sillones amanece con todos sus archivos cifrados. Historiales, citas, facturación: todo bloqueado. Ha entrado un ransomware por el correo de la recepcionista.
La dueña respira porque hace dos años contrató un seguro de ciberriesgo. Paga la prima religiosamente cada enero y nunca se ha preocupado de más. Llama a la aseguradora esperando que alguien resuelva el problema.
La respuesta no es la que esperaba: la póliza no cubre el siniestro porque el correo de la clínica no tenía doble verificación activada. La prima estaba pagada. La cobertura, no.
Esto no es una excepción rara. Es la norma que están imponiendo las aseguradoras desde este año, y casi ninguna pyme lo sabe hasta que ya es tarde.
La factura real de un ciberataque
Según el INCIBE, el 43% de los ciberataques en España ya tiene como objetivo a pymes y autónomos, no a las grandes corporaciones. Tiene lógica: una multinacional invierte millones en defensas; un negocio de quince empleados normalmente no tiene ni el antivirus actualizado.
El coste medio de recuperarse de un incidente para una empresa pequeña ronda los 35.000€. Y esa cifra no es solo el rescate que piden los atacantes —muchas veces ni se paga—, sino la suma de todo lo demás: el tiempo parado sin poder facturar, la recuperación de los datos, el técnico de urgencia y los clientes que, mientras tanto, se van a la competencia.
Un electricista con la agenda de citas bloqueada tres días pierde más dinero por esos tres días que por cualquier rescate. Un hostelero con el TPV caído un sábado por la tarde lo sabe todavía mejor.
El seguro dejó de ser un cheque en blanco
Hasta hace poco, contratar un ciberseguro era como contratar cualquier otro seguro: pagabas la prima y ya estabas cubierto. Eso ha cambiado. Las aseguradoras han empezado a mirar de cerca qué medidas técnicas tiene realmente la empresa antes de pagar un siniestro. La causa más habitual de rechazo, en más de 8 de cada 10 casos, es no tener doble factor de autenticación en todos los accesos.
Te lo traduzco: el doble factor (MFA) es simplemente pedir dos llaves en vez de una para entrar —tu contraseña y un código que te llega al móvil—. Parece un detalle menor, casi una molestia. Para una aseguradora, es la diferencia entre pagar 35.000€ o no pagar nada.
Los deberes mínimos que piden antes de firmar
No hace falta un departamento de informática para cumplirlos. Son cuatro:
Doble factor de autenticación en el correo, las conexiones remotas y cualquier acceso desde fuera de la oficina.
Copias de seguridad desconectadas del sistema principal —si el ransomware también las alcanza a ellas, no sirven de nada el día que las necesitas.
Los equipos y programas con las últimas actualizaciones de seguridad instaladas, no las de hace ocho meses.
Un plan de respuesta por escrito: quién llama a quién, en qué orden, el día que algo falla.
Ninguno de estos cuatro puntos cuesta miles de euros. Cuestan una tarde bien empleada y, en buena parte, entran dentro de lo que ya subvenciona el Kit Digital.
La pregunta que toca hacerse
Veinte años dan para mucho, y una de las cosas que hemos aprendido es que casi nadie revisa estos cuatro puntos hasta que ya ha pasado algo. Según los datos, la pregunta para tu negocio ya no es si va a sufrir un intento de ataque, sino cuándo.
La pregunta que sí depende de ti es si, cuando llegue ese día, tu seguro va a responder o vas a descubrir la letra pequeña de la peor manera posible.
No para venderte nada. Para que lo sepas: en Netteleco revisamos estos cuatro puntos en cualquier auditoría de red, sin coste y sin compromiso. Si quieres saber si tu negocio pasaría el examen de tu propia aseguradora, escríbenos.
