Informe de Puntuación de Riesgo por Industria Kiteworks 2024

Amenaza Creciente de Filtraciones de Datos

Las filtraciones de datos se han convertido en una amenaza crítica para las organizaciones de todos los sectores, agravada en una era de transformación digital e interconectividad. Uno de los retos es que el panorama de la ciberseguridad está en constante evolución, con atacantes que emplean métodos cada vez más sofisticados para explotar vulnerabilidades en nuestra infraestructura digital. Este informe busca arrojar luz sobre el estado actual de las filtraciones de datos, su impacto de gran alcance y la urgente necesidad de herramientas avanzadas de evaluación de riesgos para combatir esta amenaza creciente.

Panorama Actual de las Filtraciones de Datos

1. Filtraciones de Datos Recientes y de Alto Perfil: Desde finales de 2023, las filtraciones de datos se han intensificado, convirtiéndose en un problema aún más crítico tanto para organizaciones como para individuos, solo en EE. UU. se reportaron 3,205 incidentes que afectaron a más de 353 millones de personas.¹ T-Mobile, un objetivo recurrente, sufrió varias filtraciones a lo largo del año, comprometiendo datos confidenciales de clientes y empleados. El sector sanitario, ya un blanco principal para los ciberdelincuentes, vio millones de historiales de pacientes expuestos, agravando la lucha constante de la industria por proteger información confidencial.

   Al mismo tiempo, el auge del ransomware y los ataques a la cadena de suministro continuó sin pausa, con la frecuencia de vulnerabilidades explotadas como puntos de entrada casi triplicándose respecto al año anterior. Los riesgos asociados a la cadena de suministro de software alcanzaron nuevos máximos en 2023; el ataque MOVEit de transferencia de archivos gestionada por el grupo cibercriminal ruso Clop afectó a más de 2,600 organizaciones y se filtraron más de 89 millones de registros.² Por último, a pesar de la creciente concienciación, el error humano sigue siendo una vulnerabilidad persistente: el 74% de las filtraciones involucran acciones humanas no maliciosas, como ataques de ingeniería social y errores involuntarios, lo que resalta la necesidad de prácticas y formación en seguridad más sólidas.³

2. Estadísticas Globales sobre Frecuencia e Impacto de Filtraciones: La frecuencia y magnitud de las filtraciones de datos han alcanzado niveles alarmantes. Según el último “Informe Global de Filtraciones de Datos” del Identity Theft Resource Center (ITRC), en 2023 se reportaron públicamente 3,205 filtraciones, un aumento del 15% respecto al año anterior.⁴ Más preocupante aún es el volumen de registros expuestos—se estima en 22 mil millones, lo que supone un incremento del 30% frente a 2022. El tiempo promedio para identificar y contener una filtración también aumentó a 287 días, lo que indica la creciente complejidad de los ciberataques.

Impacto Económico de las Filtraciones de Datos

Las repercusiones financieras de las filtraciones de datos son enormes y multifacéticas, abarcando tanto costos directos como indirectos.

1. Costos Directos (por ejemplo, pérdidas financieras, honorarios legales): El impacto financiero inmediato de una filtración de datos puede ser severo. El costo promedio de una filtración alcanzó los $4.88 millones en el último año, un aumento del 10%.⁵ Esta cifra incluye gastos relacionados con la detección y respuesta, honorarios legales, multas regulatorias y costos de notificación a clientes. Es relevante el aumento de filtraciones relacionadas con ransomware, con una demanda promedio de $5.2 millones en la primera mitad de este año⁶ y Sophos indicando que los pagos por ransomware aumentaron un 500% hasta los $2 millones.⁷
2. Costos Indirectos (por ejemplo, daño reputacional, pérdida de confianza de clientes): Más allá de las pérdidas financieras cuantificables, las filtraciones pueden causar daños duraderos a la reputación de una organización y a la relación con sus clientes. Un estudio reciente reveló que el 65% de los consumidores pierde la confianza en una empresa tras una filtración, y el 85% afirma que no haría negocios con una compañía si tuviera dudas sobre sus prácticas de seguridad.⁸ Las filtraciones también tienen un impacto legal a largo plazo. Kiteworks, en su “Informe 2024 sobre Privacidad y Cumplimiento en Comunicaciones de Contenido Sensible”, encontró que seis de cada diez organizaciones gastan más de $2 millones al año para afrontar los costos legales de incidentes de pérdida de datos internos y externos, y el 45% gasta más de $3 millones.⁹ De hecho, considerando estos factores, el impacto a largo plazo en el valor de la marca y la lealtad de los clientes puede superar ampliamente las pérdidas financieras inmediatas.

Necesidad de una Evaluación de Riesgos Robusta

Ante estas amenazas en evolución y cada vez más intensas, los métodos tradicionales de evaluación de riesgos resultan insuficientes. Las organizaciones necesitan herramientas más sofisticadas y basadas en datos para evaluar con precisión su vulnerabilidad a filtraciones y priorizar sus inversiones en ciberseguridad.

Las herramientas robustas de evaluación de riesgos son esenciales para:

1. Identificar vulnerabilidades en todo el ecosistema digital de la organización
2. Cuantificar los posibles impactos financieros y reputacionales de una filtración
3. Comparar la postura de seguridad frente a empresas del sector y mejores prácticas
4. Informar decisiones estratégicas sobre asignación de recursos para ciberseguridad
5. Demostrar diligencia debida ante reguladores, partes interesadas y clientes

A medida que profundizamos en este informe, exploraremos un nuevo enfoque para la evaluación de riesgos: un Índice de Puntuación de Riesgo de Filtración de Datos. Este indicador estandarizado busca ofrecer a las organizaciones una visión integral y accionable sobre su riesgo de filtración, permitiendo estrategias más eficaces para la prevención y reducción de incidentes en un entorno digital cada vez más peligroso.

Necesidad de una Puntuación de Riesgo Estandarizada

Mientras las organizaciones se enfrentan a la amenaza constante de las filtraciones de datos, la capacidad de evaluar y comparar el riesgo con precisión se vuelve fundamental. Sin embargo, el panorama actual de la evaluación de riesgos está plagado de inconsistencias y limitaciones, dificultando el desarrollo de estrategias de ciberseguridad integrales. Esta sección explora los desafíos de los métodos existentes y presenta la necesidad de una Puntuación de Riesgo de Filtración de Datos estandarizada.

Desafíos al Comparar el Riesgo entre Sectores y en el Tiempo

Uno de los principales obstáculos para evaluar el riesgo de filtración entre diferentes sectores es la falta de estándares uniformes de reporte. Este reto se agrava por la existencia de más de 200 regulaciones de privacidad de datos a nivel mundial, cada una con requisitos y especificaciones particulares.¹⁰ Estas regulaciones difieren en alcance, mecanismos de aplicación y derechos otorgados a las personas.

Diferentes industrias y regiones también tienen requisitos dispares sobre qué constituye una filtración reportable, cuándo debe reportarse y qué detalles deben divulgarse. Por ejemplo, considera lo siguiente:

• El sector sanitario en Estados Unidos, regulado por la Ley HIPAA, exige reportar filtraciones que afecten a 500 o más personas en un plazo de 60 días.
• El RGPD de la UE obliga a reportar ciertas filtraciones en un plazo de 72 horas, sin importar el número de personas afectadas.
• Muchos sectores no cuentan con requisitos específicos de reporte, lo que genera divulgaciones inconsistentes y, a menudo, tardías.

Solo en Estados Unidos, 20 estados han aprobado leyes integrales de privacidad de datos, y más estados consideran legislaciones similares. Estas leyes difieren en varios aspectos, incluyendo el alcance y los umbrales de aplicabilidad, los derechos de los consumidores (por ejemplo, derecho a eliminar, derecho a corregir), requisitos de consentimiento expreso frente a consentimiento tácito para el tratamiento de datos, y mecanismos de aplicación y sanciones. Por ejemplo, mientras la CCPA/CPRA de California otorga a los consumidores el derecho a excluirse de la venta de su información personal, la CDPA de Virginia exige consentimiento expreso para tratar datos sensibles.

Tabla 4: Víctimas 1S 2024, 2023 y 2022.

Tabla 5: Víctimas de datos 2023 – 2018.

Tabla 6: Incremento/disminución de víctimas de datos 2023 – 2018.

Tabla 7: Víctimas por compromiso de datos en 1S 2024, 2023 y 2022.

Tabla 8: Víctimas por compromiso de datos 2023 – 2018.

Tabla 10: Puntuaciones de Riesgo 1S 2024, 1S 2023 y 1S 2022.

Puntuaciones de Riesgo: 2023 – 2018

Adicionalmente, usando nuestra metodología establecida, calculamos las Puntuaciones de Riesgo para cada industria desde 2023 hasta 2018:

Tabla 11: Puntuaciones de Riesgo 2023 – 2018 por Industria.

Tendencias y Perspectivas de Datos

Puntaje de Riesgo y Datos en Conjunto

El número total de compromisos de datos muestra una tendencia ascendente constante durante los periodos observados, lo que indica un crecimiento acelerado de incidentes de ciberseguridad en todos los sectores. De 1S 2022 a 1S 2023, hubo un aumento significativo del 69,16% en el número de compromisos, seguido de otro incremento del 13,68% de 1S 2023 a 1S 2024. Esto da como resultado un aumento general del 92,29% de 1S 2022 a 1S 2024. Aún más impactante es el crecimiento exponencial en el número total de víctimas afectadas por estos compromisos. El número de víctimas creció un 194,50% de 1S 2022 a 1S 2023, y luego se disparó un 490,76% de 1S 2023 a 1S 2024, culminando en un asombroso aumento del 1639,75% en víctimas totales de 1S 2022 a 1S 2024. La métrica de Víctimas por Compromiso enfatiza aún más esta tendencia, mostrando un incremento del 74,10% de 1S 2022 a 1S 2023, seguido de un aumento del 419,69% de 1S 2023 a 1S 2024, lo que resulta en un incremento global del 804,76% de 1S 2022 a 1S 2024.

Estas cifras reflejan un panorama preocupante, no solo por la mayor frecuencia de ciberataques, sino también por ataques cada vez más grandes en escala e impacto, afectando a un número mucho mayor de personas por incidente. Al analizar el Puntaje de Riesgo en las industrias y en un periodo de seis años, surgen perspectivas interesantes. El Puntaje de Riesgo general en 2023 se sitúa en 7,2, frente a 5,9 en 2022, un aumento del 18%. Este incremento refleja no solo la creciente complejidad de los ciberataques, sino también los impactos operativos más amplios, como pérdidas financieras, daños reputacionales y un mayor escrutinio regulatorio. Los datos del informe “Cost of a Data Breach Report” de IBM confirman este aumento, revelando un incremento del 10% en el costo promedio global de una filtración de datos, que ahora asciende a $4,88 millones.¹¹ Esta tendencia subraya la necesidad urgente de fortalecer las medidas de ciberseguridad y la preparación en todos los sectores para minimizar los riesgos crecientes y los posibles daños derivados de filtraciones de datos.

Puntaje de Riesgo y Análisis por Industria

Educación

El sector educativo ha experimentado una trayectoria ascendente significativa en su Puntaje de Riesgo durante los últimos seis años, reflejando su creciente exposición a ciberataques a medida que las herramientas digitales y las tecnologías de aprendizaje remoto se vuelven más comunes. En 2018, el Puntaje de Riesgo para educación era relativamente bajo, con 4,2. Sin embargo, ha aumentado de forma constante año tras año, alcanzando 4,9 en 2022 y luego saltando drásticamente a 7,1 en 2023, lo que representa un aumento del 44,9% en un solo año.

Esta tendencia ascendente constante resalta la creciente dependencia de plataformas en línea, aplicaciones de terceros y servicios en la nube, que han ampliado la superficie de ataque para las instituciones educativas. El número de compromisos de datos aumentó un 42,77% en 2023 en comparación con 2022, lo que indica que las instituciones educativas son cada vez más objetivo de ataques. Este aumento puede atribuirse a los presupuestos limitados en ciberseguridad y la creciente dependencia de aplicaciones de terceros en el sector.

El impacto de estas filtraciones también ha crecido notablemente. En 2022, aproximadamente 2.000.000 de personas se vieron afectadas por filtraciones de datos en el sector educativo. Esta cifra se duplicó a más de 4.000.000 en 2023, lo que evidencia la escala creciente de los ataques. Las implicaciones financieras son considerables: el 49% de las instituciones de educación superior reportaron haber pagado más de $5 millones en costos de litigios por filtraciones de datos en 2023. Además, el costo promedio de una filtración de datos en el sector educativo, aunque disminuyó ligeramente, siguió siendo significativo con $3,48 millones en 2023.

De forma interesante, los datos más recientes para 1S 2024 muestran una fuerte caída en el Puntaje de Riesgo a 3,2, en comparación con 7,1 en 1S 2023 y 5,3 en 1S 2022. Esta disminución reciente sugiere menos filtraciones de alto impacto o mejoras en las medidas de seguridad en el periodo más reciente. Sin embargo, dada la naturaleza volátil del panorama de ciberseguridad en el sector, como lo demuestran las fluctuaciones en la relación de víctimas por compromiso a lo largo de los años, es fundamental interpretar esta mejora con cautela.

A pesar de la tendencia positiva reciente, las instituciones educativas siguen siendo objetivos atractivos para los ciberdelincuentes. La gran cantidad de información personal almacenada en sus sistemas, junto con la creciente digitalización del sector, hace esencial que las instituciones educativas mantengan y refuercen las mejoras recientes en seguridad. Para reducir los riesgos actuales, el sector debe priorizar la mejora de la gobernanza de datos, reducir la cantidad de herramientas de comunicación utilizadas e invertir en capacitación integral en ciberseguridad para el personal y los estudiantes.

Servicios Financieros

El sector de servicios financieros ha experimentado un aumento gradual pero significativo en su Puntaje de Riesgo durante el periodo de seis años, reflejando su posición como uno de los principales objetivos para los ciberdelincuentes. En 2018, el Puntaje de Riesgo era 5,5, aumentando de manera constante a 6,0 en 2020 y 6,1 en 2022, antes de dispararse a 8,4 en 2023. Este incremento constante refleja la creciente dependencia del sector en servicios financieros digitales y su exposición a ciberataques sofisticados dirigidos a activos de alto valor.

El número de compromisos de datos en la industria creció considerablemente un 63,84% de 2022 a 2023, con 744 incidentes reportados en 2023. El impacto de estas filtraciones ha sido sustancial, con el número de víctimas disparándose a 61 millones en 2023, frente a 27 millones en 2022. Este enorme aumento subraya la creciente sofisticación de los ciberataques y la vulnerabilidad del sector debido a su dependencia de proveedores externos.

El costo promedio de una filtración de datos en servicios financieros subió a $5,56 millones en 2023, lo que refleja la importancia de proteger los datos financieros. A pesar de estas tendencias preocupantes, los datos recientes de medio año muestran cierta mejora. El sector registró Puntajes de Riesgo de 7,4 en 1S 2022, 6,8 en 1S 2023 y 5,9 en 1S 2024, lo que indica una leve tendencia a la baja. Sin embargo, el sector de servicios financieros sigue estando muy expuesto debido a la naturaleza de sus operaciones y el potencial de pérdidas monetarias significativas.

Para reducir estos riesgos, las instituciones financieras deben seguir invirtiendo en infraestructuras de seguridad robustas, mejorar la administración de riesgos de proveedores y garantizar el cumplimiento de las regulaciones globales de protección de datos. Las mejoras recientes sugieren que el enfoque en ciberseguridad está dando resultados positivos, pero la vigilancia constante es esencial dada la atractiva posición del sector para los ciberdelincuentes.

Gobierno

El sector gubernamental ha experimentado uno de los aumentos más pronunciados en el Puntaje de Riesgo entre todas las industrias. En 2019, el Puntaje de Riesgo era 4,0, pero subió drásticamente a 7,8 en 2023, lo que representa un aumento del 95% en este periodo. Este incremento se atribuye principalmente a la creciente amenaza de ciberataques de estados-nación e incidentes motivados políticamente, especialmente aquellos dirigidos a sistemas de seguridad nacional e infraestructuras heredadas.

El aumento en los compromisos de datos también es preocupante, con un incremento del 31,43% de 2022 a 2023, resultando en 105 incidentes reportados en 2023. El impacto de estas filtraciones ha sido severo, con el número de víctimas saltando de 1 millón en 2022 a 10 millones en 2023, un aumento de diez veces que resalta el alcance y la sofisticación de los ataques a entidades gubernamentales.

Los datos de medio año revelan fluctuaciones significativas en el Puntaje de Riesgo del sector. Subió abruptamente de 4,1 en 1S 2022 a 8,2 en 1S 2023, antes de descender a 6,7 en 1S 2024. Estas variaciones reflejan la naturaleza volátil de las amenazas de ciberseguridad que enfrentan las organizaciones gubernamentales y los desafíos constantes para mantener medidas de seguridad consistentes.

El costo promedio de una filtración de datos en el sector gubernamental fue de $4,88 millones en 2023, reflejando las importantes implicaciones financieras de estos incidentes. Las agencias gubernamentales se han convertido en objetivos principales para los ciberdelincuentes debido a su dependencia de sistemas obsoletos, infraestructuras heredadas y amplias redes de terceros. Para combatir estas amenazas crecientes, los gobiernos deben priorizar la modernización de sistemas antiguos, adoptar marcos de confianza cero y fortalecer la colaboración entre los sectores público y privado para reforzar las defensas ante futuros ataques.

Hostelería

El sector de hostelería ha mostrado uno de los cambios más drásticos en el Puntaje de Riesgo entre todas las industrias, especialmente en los últimos años. De 2018 a 2023, el Puntaje de Riesgo del sector aumentó de forma constante de 4,5 a 7,4, un incremento del 64,4% que refleja la creciente vulnerabilidad ante amenazas cibernéticas. Sin embargo, los cambios más notables ocurrieron en los dos últimos años, con el Puntaje de Riesgo pasando de 3,5 en 1S 2022 a 4,3 en 1S 2023, y luego disparándose a 10,0 en 1S 2024, un aumento del 185% en solo dos años.

Esta tendencia se refleja en el número de compromisos de datos, que aumentó de 20 incidentes en 2018 a 67 en 2023, un incremento del 235%. El número de víctimas creció de manera similar, de 1 millón a 3 millones en el mismo periodo. Curiosamente, la relación de víctimas por compromiso se ha mantenido relativamente estable, entre 50.000 y 70.000, lo que sugiere que, aunque los ataques son más frecuentes, su escala individual no ha crecido proporcionalmente.

El aumento considerable tanto en el Puntaje de Riesgo como en los incidentes refleja la creciente vulnerabilidad del sector, probablemente impulsada por la mayor dependencia de datos de clientes para sistemas de reservas y pagos. El fuerte incremento, especialmente en 1S 2024, podría estar vinculado a la rápida adopción de servicios digitales y operaciones remotas como respuesta a los cambios en el comportamiento del consumidor. Si bien estos avances han mejorado la experiencia del cliente, también han ampliado la superficie de ataque para los ciberdelincuentes.

Dadas estas tendencias, las organizaciones de hostelería deben priorizar la ciberseguridad más que nunca, enfocándose en mejorar las medidas de protección de datos, especialmente para la información de clientes y sistemas de pago. A medida que el sector sigue innovando y digitalizándose, debe asegurarse de que las medidas de ciberseguridad evolucionen al mismo ritmo. El aumento drástico en el Puntaje de Riesgo de 2022 a 2024 es una llamada de atención que resalta la necesidad urgente de mejorar las prácticas de ciberseguridad para protegerse ante amenazas crecientes.

Manufactura

El sector manufacturero ha experimentado un aumento significativo en su Puntaje de Riesgo de ciberseguridad en los últimos años. Aunque no se dispone de datos específicos para 2018-2022, el sector ha visto un incremento drástico en su Puntaje de Riesgo, pasando de 3,7 en 1S 2022 a 3,9 en 1S 2023, y luego aumentando bruscamente a 8,6 en 1S 2024. Esto representa un incremento del 132% en solo dos años, lo que indica un panorama de amenazas en rápida evolución para la industria manufacturera.

El fuerte aumento en el Puntaje de Riesgo coincide con un incremento en el número de compromisos y víctimas por compromiso, lo que sugiere que el sector enfrenta ciberataques cada vez más graves y frecuentes. Esta tendencia probablemente está impulsada por el auge de tecnologías de manufactura digital, como fábricas inteligentes y cadenas de suministro conectadas, que han ampliado la superficie de ataque para amenazas de ciberseguridad.

Las filtraciones en el sector manufacturero pueden tener consecuencias de gran alcance, potencialmente interrumpiendo líneas de producción, comprometiendo cadenas de suministro y exponiendo propiedad intelectual valiosa. El impacto de estas filtraciones va más allá de las pérdidas financieras inmediatas, pudiendo afectar la calidad del producto, los plazos de entrega e incluso la seguridad pública en algunos casos.

El aumento significativo en el Puntaje de Riesgo resalta la importancia de integrar medidas de ciberseguridad robustas en las operaciones de manufactura. A medida que el sector adopta tecnologías de la Industria 4.0, incluyendo dispositivos de Internet de las Cosas (IoT), inteligencia artificial y computación en la nube, también debe evolucionar su enfoque de ciberseguridad. Los fabricantes deben enfocarse en proteger infraestructuras de TI cada vez más complejas, implementar controles de acceso sólidos y evaluar y actualizar regularmente sus protocolos de ciberseguridad para protegerse ante amenazas cada vez más sofisticadas.

Servicios Profesionales

El sector de servicios profesionales ha experimentado fluctuaciones notables en su perfil de riesgo de ciberseguridad en los últimos años. Aunque no se dispone de datos específicos para 2018-2022, el Puntaje de Riesgo del sector ha mostrado cambios significativos en los periodos recientes de medio año. El Puntaje de Riesgo era de 5,6 en 1S 2022, subió a 6,9 en 1S 2023 y luego cayó considerablemente a 3,5 en 1S 2024.

Esta reciente disminución en el Puntaje de Riesgo sugiere que el sector ha avanzado notablemente en la gestión de sus riesgos de ciberseguridad, posiblemente mediante la implementación de mejores mecanismos de detección y respuesta a incidentes. Sin embargo, es importante destacar que las víctimas por compromiso en 1S 2023 fueron especialmente altas, lo que indica que, aunque hubo menos filtraciones, su impacto siguió siendo considerable.

Las mejoras observadas en 1S 2024 sugieren que el sector probablemente se ha enfocado en reducir el impacto de las filtraciones, posiblemente a través de mejores prácticas de protección de datos y protocolos de seguridad más robustos. Esta tendencia positiva es alentadora, pero el sector debe mantenerse alerta. La naturaleza del trabajo en servicios profesionales—gestión de datos confidenciales y sensibles de clientes—sigue haciéndolo un objetivo atractivo para los atacantes.

A pesar de la mejora reciente en el Puntaje de Riesgo, las firmas de servicios profesionales deben seguir priorizando la protección de datos, especialmente por su papel en la gestión de información sensible de múltiples clientes. El sector debe enfocarse en mantener y mejorar sus medidas de ciberseguridad, incluyendo prácticas de cifrado robustas, auditorías de seguridad regulares y programas integrales de capacitación para empleados. A medida que el panorama de amenazas sigue evolucionando, la inversión continua en ciberseguridad será clave para mantener la tendencia positiva observada en los datos recientes.

Retail

El sector retail ha experimentado fluctuaciones significativas en su Puntaje de Riesgo de ciberseguridad en los últimos seis años. El Puntaje de Riesgo alcanzó su punto máximo en 6,0 en 2021 antes de caer a 3,5 en 2022 y luego recuperarse a 6,2 en 2023. Esta variabilidad refleja el enfoque cambiante del sector hacia la ciberseguridad, especialmente a medida que se adapta al aumento del comercio electrónico y a las vulnerabilidades en los sistemas de pago.

Los datos recientes de medio año muestran una preocupante tendencia al alza, con el Puntaje de Riesgo subiendo de 3,8 en 1S 2022 a 6,1 en 1S 2023 y alcanzando 9,1 en 1S 2024. Esto representa un aumento del 139% en dos años, lo que resalta la amenaza creciente para el sector retail, especialmente en el contexto del comercio electrónico y las transacciones digitales.

El número de compromisos de datos en retail ha mostrado un aumento constante, creciendo un 47,90% de 2022 a 2023, con 167 incidentes reportados en 2023 frente a 87 en 2022. En los últimos cinco años, el número de compromisos ha fluctuado, alcanzando un máximo de 130 incidentes en 2021 antes de descender en 2022 y volver a aumentar en 2023.

Curiosamente, aunque el número de filtraciones aumentó, el número de víctimas cayó considerablemente de 249 millones en 2022 a 65 millones en 2023. Esto podría indicar que, aunque los ataques son más frecuentes, su escala en términos de registros expuestos puede ser más limitada, posiblemente debido a mejores medidas de contención.

El costo promedio de una filtración de datos en retail fue de $2,55 millones en 2023, lo que refleja la carga financiera asociada a estos incidentes. Los minoristas son especialmente vulnerables debido al alto volumen de transacciones financieras que gestionan y su dependencia de proveedores externos. Para reducir estos riesgos, el sector debe priorizar el fortalecimiento de la seguridad en los pagos, asegurar las cadenas de suministro y reducir la dependencia de herramientas de terceros involucradas en la gestión de datos de clientes.

Tecnología

El sector tecnológico ha mantenido un aumento relativamente constante en su Puntaje de Riesgo durante el periodo de seis años de 2018 a 2023. Comenzando en 5,3 en 2018, el Puntaje de Riesgo alcanzó 7,3 en 2023, lo que representa un aumento del 37,7%. Este crecimiento gradual pero constante refleja la exposición continua del sector a riesgos cibernéticos, impulsada por la dependencia de servicios en la nube, la amenaza de robo de propiedad intelectual y el potencial de filtraciones en infraestructuras críticas.

De forma interesante, los datos recientes de medio año muestran una fuerte caída en el Puntaje de Riesgo, bajando de 8,3 en 1S 2022 a 7,6 en 1S 2023 y luego a 3,8 en 1S 2024. Esta tendencia descendente es notable, especialmente dada la función crítica del sector en la infraestructura global y su posición a la vanguardia de la innovación tecnológica.

El número de compromisos de datos en tecnología se ha mantenido relativamente estable en los últimos años, con 71 incidentes reportados en 2023, similar a los 70 incidentes en 2022. Esta estabilidad se remonta a años anteriores, con 60 incidentes en 2021 y 55 en 2020. Aunque el número de víctimas fue menor en comparación con otros sectores, con 222.000 personas afectadas en 2023, la naturaleza sensible de los datos involucrados, como propiedad intelectual e información propietaria, hace que incluso filtraciones de pequeña escala tengan un alto impacto.

El costo promedio de una filtración de datos en el sector tecnológico fue de $5,29 millones en 2023, lo que refleja el alto valor de la propiedad intelectual y la infraestructura crítica involucrada. A pesar de la mejora reciente en el Puntaje de Riesgo, el sector enfrenta desafíos constantes debido a su papel en la gestión de grandes volúmenes de datos sensibles y su posición como objetivo principal de ciberataques sofisticados.

Para reducir estos riesgos, las empresas tecnológicas deben seguir priorizando el fortalecimiento de la seguridad en la nube, robustecer los protocolos de cifrado e implementar controles de acceso sólidos para proteger la propiedad intelectual de alto valor. La capacidad del sector para innovar en ciberseguridad será clave para mantener la tendencia positiva observada en los datos recientes del Puntaje de Riesgo.

Servicios Públicos

El sector de servicios públicos ha experimentado un crecimiento moderado pero constante en su Puntaje de Riesgo de ciberseguridad en los últimos cinco años. El Puntaje de Riesgo aumentó de 4,0 en 2019 a 6,9 en 2023, lo que representa un incremento del 72,5%. Este aumento refleja la creciente vulnerabilidad del sector ante ciberataques, especialmente aquellos dirigidos a infraestructuras críticas como redes eléctricas y sistemas de agua.

Aunque no hay datos de medio año para 1S 2022 y 1S 2023, el sector de servicios públicos emerge como un área de preocupación significativa en 1S 2024. Durante este periodo, se reportaron 34 compromisos de datos que afectaron a 1.566.546 víctimas. La relación de Víctimas por Compromiso de 46.075 es especialmente alarmante, lo que indica que cuando ocurren filtraciones en este sector, tienden a afectar a muchas personas. El número de compromisos de datos en servicios públicos se ha mantenido relativamente bajo en comparación con otras industrias, con 53 incidentes reportados en 2023 frente a 60 incidentes tanto en 2021 como en 2020. Sin embargo, el número de víctimas ha mostrado una tendencia al alza, alcanzando 297.000 en 2023, frente a 280.000 en 2021 y 260.000 en 2020.

El impacto financiero de las filtraciones de datos en el sector de servicios públicos es considerable. El costo promedio de una filtración de datos en servicios públicos fue de $5,10 millones en 2023, un ligero aumento respecto a los $4,82 millones en 2022. Este alto costo refleja la naturaleza crítica de los servicios públicos y el potencial de interrupciones generalizadas en caso de una filtración importante.

El sector de servicios públicos enfrenta desafíos importantes para proteger infraestructuras heredadas y gestionar los riesgos asociados con proveedores externos, que son parte integral de sus operaciones. Muchos servicios públicos continúan utilizando sistemas obsoletos que son vulnerables a ataques sofisticados tanto de ciberdelincuentes como de actores estatales.

Para enfrentar estos riesgos crecientes, los servicios públicos deben enfocarse en modernizar su infraestructura, implementar protocolos de ciberseguridad más sólidos y fortalecer la colaboración con agencias gubernamentales. Priorizar la seguridad de los sistemas de tecnología operativa (OT), mejorar la capacidad de respuesta ante incidentes y reforzar la seguridad en la cadena de suministro son pasos clave para proteger este sector crítico frente a amenazas cibernéticas en evolución.

Perspectivas Generales y Conclusiones

Crecimiento Persistente del Riesgo Cibernético en Todos los Sectores

De 2018 a 2023, todos los sectores experimentaron un aumento constante en sus Puntajes de Riesgo, lo que refleja la creciente complejidad de las amenazas cibernéticas y su impacto generalizado. El puntaje de riesgo promedio entre industrias subió a 7.2 en 2023, desde 5.9 en 2022, lo que representa un incremento del 18%. Este crecimiento indica no solo ataques más frecuentes, sino también una escalada significativa en la gravedad e impacto operativo de las filtraciones, incluyendo mayores pérdidas financieras, daños reputacionales y un aumento en el escrutinio regulatorio.

El periodo entre 2019 y 2020 mostró un aumento especialmente pronunciado en el número total de incidentes en todos los sectores, evidenciando cómo el cambio repentino al trabajo remoto y la aceleración de la transformación digital hicieron que las industrias fueran más vulnerables a las amenazas cibernéticas. Esta tendencia continuó en los años siguientes, con varios sectores mostrando incrementos notables en sus Puntajes de Riesgo:

• Educación: El Puntaje de Riesgo saltó de 4.9 en 2022 a 7.1 en 2023, un aumento del 44.9%, reflejando la creciente dependencia del sector en plataformas de aprendizaje digital y recursos en línea.
• Servicios Financieros: El sector vio su Puntaje de Riesgo aumentar de 6.1 en 2022 a 8.4 en 2023, un incremento del 37.7%, subrayando el constante enfoque en activos financieros de alto valor y datos confidenciales de clientes.
• Salud: Con un aumento en el Puntaje de Riesgo de 5.0 en 2018 a 8.1 en 2023, este sector enfrentó un alza del 62% en cinco años, resaltando la creciente vulnerabilidad de los sistemas de salud digitales y el alto valor de los datos médicos para los ciberdelincuentes.
• Gobierno: Experimentando uno de los aumentos más pronunciados, el Puntaje de Riesgo del sector gubernamental subió de 4.0 en 2019 a 7.8 en 2023, un incremento del 95%, reflejando las amenazas crecientes de actores estatales y los desafíos para proteger sistemas heredados.

El crecimiento persistente del riesgo cibernético también se evidencia en la escala e impacto cada vez mayores de las filtraciones de datos. Por ejemplo, el número total de compromisos de datos mostró una tendencia ascendente constante, con un aumento del 92.29% desde la primera mitad de 2022 hasta la primera mitad de 2024. Aún más llamativo es el crecimiento exponencial en el número total de víctimas afectadas por estos compromisos, con un asombroso incremento del 1639.75% en el mismo periodo.

El crecimiento continuo del riesgo cibernético también refleja la evolución de las amenazas. Los atacantes son cada vez más sofisticados, aprovechando tecnologías avanzadas como IA y aprendizaje automático para evadir las medidas de seguridad tradicionales. Además, la expansión de la superficie de ataque debido a la proliferación de dispositivos IoT, servicios en la nube y entornos de trabajo remoto ha generado nuevas vulnerabilidades que los ciberdelincuentes explotan rápidamente.

A medida que las industrias siguen digitalizando e interconectando sus operaciones, la tendencia de aumento del riesgo cibernético probablemente continuará. Esto resalta la necesidad urgente de que las organizaciones de todos los sectores no solo refuercen sus defensas de ciberseguridad, sino que también adopten un enfoque proactivo y basado en riesgos que pueda adaptarse al cambiante panorama de amenazas.

Compromisos de Datos vs. Víctimas: Entendiendo las Fluctuaciones

En los últimos seis años, la relación entre los compromisos de datos y el número de víctimas ha fluctuado drásticamente entre sectores. Esta tendencia se ejemplifica en varios ámbitos:

• Retail: En 2023, el sector registró 167 compromisos de datos, frente a 87 en 2022. Sin embargo, el número de víctimas cayó drásticamente de 249 millones a 65 millones. Esta fluctuación sugiere una mejor contención de las filtraciones o ataques de menor escala en 2023. La tendencia no ha sido lineal; en 2020, el sector retail tuvo 60 millones de víctimas con menos compromisos, lo que indica diferentes escalas e impactos de las filtraciones.
• Tecnología: El sector experimentó compromisos de datos relativamente estables a lo largo de los años, con 71 incidentes en 2023, solo un poco más que los 55 incidentes de 2020. Sin embargo, el número de víctimas varió considerablemente, de 222,000 en 2023 a 280,000 en 2021, demostrando cómo incluso un número limitado de compromisos puede exponer grandes cantidades de datos confidenciales.
• Salud: Este sector destaca por una gran discrepancia en la proporción entre compromisos de datos y víctimas. En 2021, 350 compromisos de datos resultaron en 48 millones de víctimas, mientras que en 2023, 809 compromisos de datos provocaron 56 millones de víctimas. Esto sugiere que los ataques se han vuelto más concentrados, afectando a organizaciones más grandes o apuntando a información de pacientes más valiosa.

Estas diferentes proporciones resaltan la importancia de comprender no solo el número de incidentes, sino también su escala y la sensibilidad de los datos comprometidos. Aunque ciertos sectores puedan registrar menos filtraciones en algunos años, las que ocurren suelen ser más sofisticadas y tener un impacto más profundo.

Riesgo Creciente de Proveedores Externos: Un Desafío Transversal

De 2018 a 2023, las industrias han dependido cada vez más de proveedores externos, ampliando significativamente sus superficies de ataque. Esta dependencia ha dificultado el seguimiento y la protección de los intercambios de datos confidenciales, lo que ha dado lugar a filtraciones más complejas y de mayor alcance. Los hallazgos clave incluyen:

• Servicios Financieros y Tecnología: El 66% de las instituciones financieras y el 65% de las empresas tecnológicas informaron intercambiar contenido confidencial con más de 1,000 proveedores externos. Esto representa un aumento de riesgo constante respecto a años anteriores.
• Gobierno: Casi el 30% de las agencias reportaron intercambiar datos con 5,000 o más terceros, una tasa significativamente superior a la de otros sectores. Esta enorme red de intercambio externo de datos representa un riesgo considerable, especialmente porque las organizaciones gubernamentales luchan por modernizar sistemas heredados que son blanco frecuente de actores estatales.
• Tendencia General: El porcentaje de filtraciones atribuidas a proveedores externos ha aumentado de forma constante de 2018 a 2023. Según Verizon, el porcentaje de filtraciones de datos relacionadas con terceros creció un 68% el año pasado, representando el 15% de todas las filtraciones de datos.

Esta tendencia resalta la creciente necesidad de una supervisión más estricta de los proveedores y estrategias más sólidas de gestión de riesgos de terceros en todos los sectores.