Cuánto cuesta la ciberseguridad en una empresa mediana

Es la primera pregunta de cualquier gerencia y la que más rodeos recibe. La respuesta honesta es que depende de qué se quiera proteger y de cuánto duela perderlo, pero esa frase por sí sola no sirve para armar un presupuesto. Lo que sí sirve es entender de qué está hecho el costo, porque una vez desarmado deja de ser una cifra opaca y pasa a ser una serie de decisiones separadas.

Hay algo que conviene decir de entrada: una parte importante de lo que más reduce el riesgo no cuesta dinero adicional. Activar el segundo factor en el correo que ya se paga, revocar los accesos de gente que ya no trabaja, definir que un cambio de cuenta bancaria se verifica por teléfono. Cuesta tiempo y decisión, no presupuesto. Empezar por ahí es lo que evita gastar mal.

De qué está hecho el costo

Herramientas y licencias

Antivirus avanzado, respaldo, gestión de accesos, filtrado de correo. Es la parte visible y la única que la mayoría cotiza. Se paga por usuario o por equipo, así que escala con la dotación y es bastante predecible.

Dirección y seguimiento

Alguien que decida prioridades, revise avance, responda cuestionarios de clientes y mantenga el plan vivo. Es un costo recurrente y es el que más se omite: se compran herramientas y no queda nadie a cargo de que sirvan para algo.

Proyectos puntuales

Un diagnóstico, una evaluación, la implementación de un control nuevo, una certificación. Tienen inicio y fin, y son los que se pueden ordenar en el tiempo para repartir el impacto en el flujo de caja.

Horas internas

El tiempo del encargado de TI, de contabilidad, de operaciones. No aparece en ninguna cotización y es habitualmente el componente más grande del costo real de cualquier proyecto de seguridad.

El costo de no hacerlo

Días sin operar, un cliente que exige un cuestionario que no se puede responder, una multa. Es el único que no se paga en cuotas: llega completo y en el peor momento.

Lo que no aparece en la cotización

Casi siempre hay tres costos escondidos. El primero son las horas internas: implementar un control significa que alguien de la empresa coordine, pruebe y le explique el cambio al resto. Si esas horas no se presupuestan, el proyecto compite con la operación diaria y pierde.

El segundo es la fricción. Un segundo factor bien implementado agrega segundos a cada inicio de sesión y un doble control de pagos agrega una firma. Es un costo real, se paga en molestia, y conviene reconocerlo en vez de fingir que la seguridad es gratis para quien la usa.

El tercero es la mantención. Una herramienta comprada y no configurada no protege. El precio de una licencia incluye implícitamente el costo de alguien que la revise, y esa parte rara vez está en la propuesta.

Cómo se define el monto sin adivinar

El error habitual es partir del catálogo: cotizar herramientas y sumar. Eso produce presupuestos que protegen bien aquello que el proveedor vende y dejan descubierto todo lo demás.

El camino que funciona es al revés. Se parte identificando qué detiene la operación y qué datos hay, se estima cuánto cuesta un día sin operar, y recién ahí se decide cuánto tiene sentido invertir para reducir esa probabilidad. Una empresa que aguanta dos días detenida sin mayor daño y otra que no puede parar ni medio día no deberían gastar lo mismo, aunque tengan la misma dotación.

Como orden de magnitud práctico: un diagnóstico para saber dónde se está cuesta bastante menos que cualquier herramienta anual, y es justamente lo que evita comprar la herramienta equivocada. Empezar por ahí sale más barato que empezar comprando.

El criterio que entrega la ley chilena

La Ley 21.719 no fija un monto ni una lista cerrada de controles obligatorios. Exige medidas proporcionales al riesgo, considerando el estado de la técnica, la naturaleza de los datos y los costos de implementación.

Eso, que suena vago, es en realidad un criterio de presupuesto bastante útil: la ley reconoce de forma explícita que el costo es un factor legítimo en la decisión. Lo que no acepta es no haber decidido. Una empresa que documentó por qué invirtió en unas cosas y postergó otras está en una posición defendible; una que nunca hizo el ejercicio, no.

El mismo criterio sirve frente a un cliente que audita. Un plan con montos y fechas resuelve mejor una brecha declarada que una respuesta genérica sobre buenas intenciones.

Preguntas frecuentes

¿Cuánto debería gastar una empresa de mi tamaño?

No hay un porcentaje que sirva de referencia honesta: dos empresas de la misma dotación pueden tener exposiciones muy distintas según qué datos manejan y cuánto les duele estar detenidas. El punto de partida útil no es un porcentaje sino la cifra de cuánto cuesta un día sin operar; a partir de ahí la conversación deja de ser sobre gasto y pasa a ser sobre cobertura.

¿Se puede empezar con poco presupuesto?

Sí, y de hecho es lo recomendable. Los controles que más reducen riesgo —segundo factor, revocación de accesos, respaldo probado, verificación de pagos por otro canal— usan en su mayoría herramientas ya contratadas. Cuestan tiempo y decisión antes que dinero.

¿Conviene contratar una herramienta o un servicio?

Una herramienta sin alguien que la administre suele terminar mal configurada y generando una falsa sensación de cobertura. Si hay que elegir con presupuesto acotado, tener a alguien que decida y haga seguimiento rinde más que sumar una licencia. Lo ideal es proporción entre ambas, no todo en una.

¿Un ciberseguro reemplaza la inversión en seguridad?

No, y además las aseguradoras exigen controles mínimos tanto para emitir la póliza como para pagar el siniestro. En la práctica el seguro es una capa sobre una base que hay que tener igual, no un sustituto de esa base.