La ciberseguridad sigue fuera de la lista de prioridades de una parte relevante de las empresas brasileñas, especialmente en los primeros meses de operación. Datos del Ransomware Survey Report, de Sophos, indican que el 63% de las organizaciones en el mundo ya han sufrido algún tipo de ataque cibernético. Por su parte, el Cost of a Data Breach Report, de IBM, señala que el costo promedio global de una violación de datos supera los US$ 4 millones, considerando impactos operativos, legales y reputacionales.
En Brasil, las pequeñas y medianas empresas concentran una parte significativa de estos incidentes al iniciar sus actividades sin controles mínimos de protección digital, aun cuando manejan desde el principio datos sensibles de clientes, proveedores y medios de pago. La combinación entre baja madurez en seguridad y digitalización acelerada amplía la superficie de ataque desde el inicio de la operación.
Wagner Loch, CTO de Under Protection , afirma que el problema está en la percepción equivocada de que la seguridad es un costo que puede posponerse. “El riesgo nace junto con la primera facturación. En el momento en que la empresa emite una factura, utiliza un sistema de gestión o almacena datos de clientes, ya está expuesta”, dice.
En la práctica, la prioridad dada a las ventas, la expansión comercial y la reducción de costos relega las inversiones en seguridad a un segundo plano.
Los controles de acceso, las políticas de copias de seguridad, la actualización de sistemas y el monitoreo continuo terminan posponiéndose, creando brechas explotadas por ataques automatizados y técnicas de ingeniería social. “Hoy ya no existe el ataque artesanal. Las amenazas son escalables, explotan vulnerabilidades conocidas y buscan entornos desprevenidos”, advierte.
Otro factor recurrente es la falsa sensación de anonimato. Muchas empresas creen que solo las grandes corporaciones están en el radar de los criminales digitales. Sin embargo, el Data Breach Investigations Report, de Verizon, muestra que más del 40% de las violaciones globales involucran a pequeñas y medianas empresas, precisamente por presentar menor madurez en controles de seguridad. “El atacante no busca el tamaño de la empresa, sino la fragilidad del entorno”, explica.
A medida que el negocio crece, el impacto potencial de un incidente también se amplía. Sistemas desactualizados, ausencia de segregación de funciones y falta de visibilidad sobre los riesgos elevan la probabilidad de parálisis operacional, pérdidas financieras directas y quiebra de confianza con clientes y socios. “Cuando la empresa percibe el problema, este ya dejó de ser técnico y pasó a afectar contratos, flujo de caja y reputación”, afirma.
Para el ejecutivo, el cambio de postura implica tratar la ciberseguridad como parte de la gestión desde el inicio, y no como respuesta a incidentes. Esto involucra conocer el entorno digital, mapear riesgos y priorizar inversiones de acuerdo con el impacto en el negocio. “La seguridad no comienza con la compra de herramientas. Comienza con la comprensión. Quien conoce sus riesgos decide mejor dónde invertir”, dice.
Con el avance de la automatización fiscal, el uso intensivo de datos y la digitalización de procesos, la tendencia es que el tema gane aún más peso en la agenda empresarial. Según Loch, las empresas que incorporan la ciberseguridad desde el inicio operan con más previsibilidad y menos sobresaltos. “No es una cuestión de si el ataque va a ocurrir, sino de cuándo. La diferencia está en estar preparado o no cuando esto ocurra”, concluye.
