Por qué deberían las PYMES preocuparse «un poco» por la ciberseguridad

Cada vez más estudios y encuestas a nivel nacional e internacional demuestran que la ciberseguridad en las pequeñas y medianas empresas – PYMES o SMEs en terminología anglosajona (small and medium enterprises) – dista mucho de ser un objetivo preferente en la estrategia empresarial. Esto se manifiesta en primer lugar en la ausencia de personal cualificado en la materia en este tipo de empresas, o lo que es lo mismo, en que se prescinde de los puestos de responsable de Seguridad Informática o de Seguridad de la Información en sentido más amplio. Y no es éste un detalle menor, puesto que esta figura permite a una empresa “pararse a pensar” en la seguridad de sus sistemas informáticos y su red de comunicaciones en el contexto de la actividad diaria de sus empleados.

El resultado, a nivel global y no sólo en España, es que muchas PYMES descuidan la seguridad de sus activos de información digitales porque no lo consideran una prioridad para el éxito de sus actividades. Sí que es cierto que ya bien entrado el año 2013 el panorama por fin ha empezado a cambiar ligeramente y que según numerosas opiniones de expertos -entre los que destaca David Lacey, de ComputerWeekly-, este podría ser el año en que definitivamente la tendencia se vaya afianzando y las PYMES comiencen a preocuparse de forma creciente por la ciberseguridad. Factores para ello no faltan, entre los que podemos señalar los siguientes como más decisivos:

1. Regulaciones y estándares sobre privacidad y protección de datos

   Actualmente ninguna empresa puede permitirse el lujo de operar al margen de legislaciones como la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y el Reglamento que la desarrolla, pues las sanciones recogidas en esta normativa pueden llevar a una PYME directamente al cierre debido al elevado importe de las mismas (hasta 600.000 euros en infracciones graves).

   En sectores más específicos, como el comercio electrónico, el estándar PCI-DSS, un compendio de medidas de protección y ciberseguridad diseñado por la industria de las tarjetas de crédito, es de obligado cumplimiento en distintos niveles de exigencias en función del número de transacciones de pago generadas por la empresa.

2. Incremento de las ciberamenazas en número, sofisticación y objetivos

   Tradicionalmente las PYMES se han considerado a sí mismas fuera del punto de mira de la ciberdelincuencia. Esta idea no puede seguir manteniéndose si tenemos en cuenta el ritmo de crecimiento de los ataques y la ampliación de sus objetivos que vienen demostrando los atacantes año tras año. Hoy en día, ser una PYME no es garantía en absoluto de no ser atacado.

   Por otra parte, los ataques ganan en sofisticación y no es suficiente con una seguridad precaria para estar protegido sino que se hace necesario un estudio con cierto nivel de profundidad de los medios informáticos y las comunicaciones con los que cuenta la empresa para conocer con fundamento a qué amenazas se enfrenta.

3. Exigencias contractuales de clientes

   Numerosas PYMES que no tenían pensado implantar medidas de seguridad se encuentran finalmente con la necesidad de hacerlo si quieren seguir trabajando con algunos de sus clientes, y en un número notable casos con los más importantes en cuanto a volumen de negocio. Hoy ya es frecuente que muchas PYMES sean auditadas con cierta regularidad por sus principales clientes respecto al cumplimiento de requisitos de seguridad que esos mismos clientes consideran imprescindibles para poder continuar trabajando con garantías con sus proveedores de servicios.

4. Ventaja competitiva

   En relación precisamente con las exigencias de clientes, el contar con un marco apropiado de ciberseguridad, auditable y demostrable, concede a una PYME una ventaja competitiva que puede ir desde ser un simple valor añadido a ser tan definitiva como para que un potencial cliente descarte directamente a aquellas empresas que no demuestran preocupación por la seguridad.

No nos engañemos, las PYMES cuentan cada vez más con entornos de trabajo que, en su dimensión, están tan informatizados como los de las grandes empresas y que por tanto las hacen igualmente vulnerables a ataques y las colocan en la misma situación de obligado cumplimiento frente a la legislación vigente en materia de seguridad y privacidad.

Frente a los riesgos de robo de información, pérdida de clientes, pérdida de imagen y capacidad competitiva, así como de elevadas sanciones económicas, se ha hecho ya imprescindible la inclusión del término “ciberseguridad” en el diccionario de la PYME. Y será para bien, aunque suponga un cierto esfuerzo.