Prepare su organización para las violaciones de datos

Puntos clave:

• El coste medio mundial de una filtración de datos fue de 4.44 millones de dólares en 2025, una cifra inferior a los 4.88 millones de dólares del año anterior, mientras que el promedio en Estados Unidos alcanzó la cifra récord de 10.22 millones de dólares (Informe de IBM sobre el coste de una filtración de datos de 2025).
• En 2025, las organizaciones tardaron una media de 241 días en identificar y contener una brecha de seguridad, y detectarla internamente, en lugar de enterarse de ella por un atacante o un tercero, supuso un ahorro de aproximadamente 900,000 dólares por incidente.
• La participación de terceros en las filtraciones confirmadas se duplicó hasta el 30 % en 2025, y el abuso de credenciales (22 %) y las vulnerabilidades explotadas (20 %) siguen siendo los dos principales puntos de entrada (Verizon 2025 DBIR).
• El ransomware apareció en el 44% de las filtraciones analizadas en el DBIR de 2025, un 37% más que el año anterior, y en el 88% de las filtraciones en pequeñas y medianas empresas específicamente.
• La preparación es un plan más la práctica: un plan escrito de respuesta a incidentes, roles definidos, detección probada y una lista de verificación de remediación vinculada a sus obligaciones de notificación de violaciones de seguridad, no la compra de una sola herramienta.

Publicado: febrero de 2022. Actualizado: agosto de 2026. Revisado por el equipo de asesoría en seguridad de Encryption Consulting.

¿Qué significa realmente estar preparado para una filtración de datos?

Estar preparado para una filtración de datos implica que una organización cuente con un plan de respuesta a incidentes documentado y probado, roles definidos y pasos de comunicación y notificación preaprobados, no solo firewalls, herramientas de seguridad para endpoints o un equipo de seguridad interno. Una filtración de datos es un evento en el que se accede, divulga o roba información sensible, protegida o confidencial sin autorización. Esta información suele ser información de identificación personal (IIP), es decir, cualquier dato que pueda identificar a una persona específica, como un nombre junto con un número de la Seguridad Social, credenciales de cuenta o historiales médicos.

En la planificación de la preparación para emergencias surgen constantemente dos términos que conviene definir con precisión:

• Respuesta ante incidentes (RI) Es el proceso estructurado que sigue una organización para detectar, contener, erradicar y recuperarse de un incidente de seguridad, y luego recopilar las lecciones aprendidas. Se trata de un plan documentado y un equipo capacitado, no de una reacción improvisada tras un fallo.
• Leyes de notificación de violaciones de seguridad Son los requisitos legales que dictan a quién debe informar una organización y con qué rapidez, una vez confirmada una violación de seguridad. En Estados Unidos, no existe una ley federal única de notificación de violaciones de seguridad; los 50 estados, el Distrito de Columbia y varios territorios mantienen sus propias leyes de notificación, complementadas con normas específicas del sector, como HIPAA para datos de salud y GLBA para datos financieros. Fuera de Estados Unidos, el RGPD exige notificar a la autoridad de control pertinente en un plazo de 72 horas desde que se tenga conocimiento de una violación de seguridad.

Una organización que posee todos los controles de seguridad del mercado, pero que nunca ha ensayado quién contacta con el asesor legal, quién notifica a los clientes afectados y en qué plazo, no está preparada. La preparación se mide por el desempeño de la organización en las primeras horas y días tras la detección de una vulnerabilidad, no por el tamaño de su presupuesto de seguridad.

¿Qué revelan las últimas estadísticas sobre filtraciones de datos?

Las dos fuentes primarias más citadas sobre las tendencias de las filtraciones de datos, el informe anual Cost of a Data Breach Report (DBIR) de IBM y el Data Breach Investigations Report (DBIR) de Verizon, publicaron nuevas ediciones en 2025, y las cifras muestran que los costes disminuyen ligeramente mientras que las rutas de ataque siguen desplazándose hacia terceros y credenciales.

Informe de IBM sobre el costo de una violación de datos de 2025

• Coste medio mundial de una filtración de datos: 4.44 millones de dólares, frente a los 4.88 millones de dólares de 2024.
• El costo promedio en Estados Unidos fue de 10.22 millones de dólares, una cifra récord y aproximadamente el doble que en el siguiente país con el costo más alto.
• Tiempo medio para identificar y contener una brecha de seguridad: 241 días, 17 días menos que el año anterior.
• Las organizaciones que detectaron una brecha de seguridad internamente, en lugar de ser informadas por el atacante o un tercero, ahorraron aproximadamente 900,000 dólares en comparación con las que no lo hicieron.
• El sector sanitario sigue siendo el más caro, con un coste medio de 7.42 millones de dólares por filtración de datos y un plazo de identificación y contención más largo, de 279 días, incluso después de una mejora interanual del 17 %.

Informe de investigaciones de violación de datos 2025 de Verizon

• El informe DBIR de 2025 analizó más de 22,000 incidentes de seguridad y 12,195 filtraciones de datos confirmadas.
• La participación de terceros en las filtraciones confirmadas se duplicó con respecto al año anterior, alcanzando el 30%, debido principalmente a problemas en la cadena de suministro y el acceso de los proveedores.
• El abuso de credenciales estuvo presente en el 22% de las filtraciones, y la explotación de vulnerabilidades en el 20%, lo que supone un aumento interanual del 34% en la ruta de vulnerabilidad.
• El ransomware apareció en el 44% de todas las filtraciones estudiadas, un 37% más que el año anterior, y en el 88% de las filtraciones que afectaron específicamente a pequeñas y medianas empresas.
• El pago medio del rescate fue de 115,000 dólares, y el 64% de las organizaciones de víctimas optaron por no pagar, frente al 50% de dos años antes.

En conjunto, estos dos informes apuntan a la misma conclusión: los atacantes acceden cada vez más a las organizaciones a través de un proveedor, credenciales robadas o sistemas sin actualizar, y las organizaciones que limitan los daños son aquellas que ya contaban con un plan ensayado para ese escenario específico antes de que ocurriera.

¿Qué tecnologías y tipos de datos son los más comúnmente atacados?

Los atacantes suelen centrarse en credenciales, correo electrónico y sistemas de colaboración, almacenamiento en la nube y bases de datos no cifradas, ya que estos ofrecen la vía más rápida para acceder a datos valiosos con la menor resistencia. Las categorías que se repiten en los informes de filtraciones año tras año son:

1. Credenciales de inicio de sesión y tokens de sesión. Las contraseñas robadas, reutilizadas o débiles siguen siendo una de las formas más fiables de acceder a una red, razón por la cual el abuso de credenciales todavía aparece en aproximadamente una quinta parte de las filtraciones confirmadas (Verizon 2025 DBIR).

2. Acceso de terceros y proveedores. Dado que la participación de terceros en las filtraciones de datos alcanza el 30 % y va en aumento, los controles de acceso débiles de un socio o un punto de integración sin parchear constituyen ahora una vía directa hacia la organización principal.

3. Sistemas sin parchear conectados a Internet. Las vulnerabilidades explotadas aumentaron un 34 % interanual como vector de acceso inicial, razón por la cual los dispositivos VPN, las herramientas de transferencia de archivos y las aplicaciones web sin parchear siguen siendo un punto de entrada predilecto.

4. Información personal y financiera. Los nombres, números de la Seguridad Social, datos de tarjetas de pago e historiales médicos tienen el mayor valor de reventa y conllevan las obligaciones de notificación más estrictas según leyes como HIPAA, GLBA y las normativas estatales sobre filtraciones de datos. Un programa de prevención de pérdida de datos (DLP) es una de las formas más directas de detectar la salida de esta categoría de datos de la red antes de que se confirme una filtración.

5. Claves de cifrado y certificados. Si las claves privadas se almacenan incorrectamente o los certificados se gestionan de forma inadecuada, un atacante que acceda a ellos puede descifrar datos protegidos o suplantar la identidad de un sistema de confianza, convirtiendo un incidente aislado en una brecha de seguridad a gran escala.

¿Cuál es el impacto real de una filtración de datos en una empresa?

El impacto de una filtración de datos se manifiesta en forma de costes financieros directos, tiempo de inactividad operativa y daños a la reputación que perduran más allá del incidente en sí, y los datos de 2025 cuantifican cada uno de estos aspectos con mayor precisión que en años anteriores.

1. Coste financiero directo. Con un valor de 4.44 millones de dólares a nivel mundial y 10.22 millones de dólares en Estados Unidos, los costes de una filtración de datos incluyen la detección, la escalada del problema, la notificación, los honorarios legales, las multas regulatorias y la atención al cliente posterior a la filtración, no solo la limpieza inmediata.

2. Tiempo de inactividad operativa. La contención y erradicación a menudo requieren desconectar los sistemas. Cuanto mayor sea el tiempo promedio para identificar y contener la enfermedad (241 días de media, 279 días en el sector sanitario), más se agravará la interrupción operativa.

3. Daños a la reputación y a la confianza de los clientes. Los clientes y socios están menos dispuestos a compartir datos con una organización que ya ha sufrido una brecha de seguridad, y esa reticencia se traduce en una mayor rotación de clientes y ciclos de ventas más lentos mucho después de que se haya resuelto el incidente técnico.

4. Riesgos regulatorios y legales. Incumplir el plazo de notificación establecido por la ley estatal sobre violaciones de datos, la HIPAA, la GLBA o el plazo de 72 horas del RGPD puede acarrear sanciones adicionales a las derivadas de la propia violación, independientemente de cómo se haya producido.

¿Cómo suelen detectar las organizaciones una filtración de datos?

La mayoría de las organizaciones detectan una brecha de seguridad mediante la monitorización interna, como alertas SIEM, detección de anomalías o informes de empleados, en lugar de ser informadas por el atacante o las fuerzas del orden. La detección interna es, sin duda, la vía más rápida y económica. Los datos de IBM de 2025 muestran que las organizaciones que detectan una brecha internamente ahorran, en promedio, unos 900 000 dólares en comparación con aquellas que se enteran por la divulgación del atacante o la notificación de un tercero. Las acciones de detección que reducen el plazo promedio de 241 días para identificar y contener una brecha suelen incluir:

• Recopilación centralizada de registros y una plataforma de monitorización SIEM o equivalente, adaptada al entorno real de la organización, no solo a las reglas predeterminadas.
• Supervisión continua de los eventos de autenticación para detectar anomalías como viajes imposibles, intentos de inicio de sesión fallidos repetidos o acceso desde dispositivos no reconocidos.
• Es fundamental realizar análisis de vulnerabilidades y seguimiento de parches en sistemas conectados a Internet, dado que las vulnerabilidades explotadas aumentaron un 34% interanual como punto de entrada.
• Se han realizado revisiones del acceso de terceros y proveedores, ya que la participación de terceros en las filtraciones se duplicó hasta el 30 % en el informe DBIR más reciente.
• Un canal de denuncia para los empleados y simulaciones periódicas de ataques de phishing, ya que el personal suele ser el primero en detectar algo inusual antes que las herramientas automatizadas.

¿Qué debe incluir una lista de verificación para la respuesta y la remediación ante una violación de datos?

Una lista de verificación para la respuesta a una violación de datos debe guiar a una organización desde la detección hasta la notificación legal y la remediación a largo plazo en una secuencia definida y ensayada. Esta es una descripción general del nivel de preparación; para un desglose completo fase por fase del proceso de respuesta, consulte nuestra guía complementaria, Respuesta a incidentes y sus fases . Utilice la siguiente lista de verificación como guía práctica, adaptada a su plan de respuesta a incidentes y obligaciones legales:

1. Confirme y defina el alcance del incidente. Verifique que la alerta corresponda a una brecha de seguridad real, identifique qué sistemas y tipos de datos se ven afectados y conserve las pruebas forenses antes de realizar cambios.

2. Active el plan y el equipo de respuesta ante incidentes. Notifique al equipo de respuesta predefinido, que incluye personal de seguridad, legal, de comunicaciones y directivos, y asigne un responsable del incidente.

3. Contenga el incidente. Aísle los sistemas afectados, revoque las credenciales y los certificados comprometidos y bloquee la infraestructura conocida del atacante sin destruir las pruebas.

4. Erradica la causa raíz. Elimina el malware, corrige la vulnerabilidad explotada y cambia todas las credenciales o claves que pudieran haber quedado expuestas, no solo las que se sabe que se utilizan.

5. Determinar las obligaciones de notificación. Colaborar con un asesor legal para identificar qué leyes de notificación de violaciones de datos se aplican según los datos involucrados y la residencia de las personas afectadas, y calcular el plazo exacto (tan solo 72 horas según el RGPD).

6. Notifique a los organismos reguladores, a las personas afectadas y a los socios. Envíe notificaciones que cumplan con el contenido y los plazos exigidos por cada jurisdicción y prepare una declaración pública si la infracción es grave.

7. Restaurar las operaciones. Poner los sistemas en línea nuevamente a partir de copias de seguridad limpias y verificadas o imágenes reconstruidas, y validar que la vulnerabilidad explotada se haya solucionado por completo antes de restaurar el acceso total.

8. Realice una revisión posterior al incidente. Documente qué funcionó, qué no funcionó y actualice el plan de respuesta a incidentes, las reglas de detección y las políticas de acceso de proveedores según corresponda.

¿Cómo se comparan los tipos más comunes de filtraciones de datos?

La tabla que aparece a continuación relaciona los tipos de brechas de seguridad que se registran con mayor frecuencia en los datos de fuentes primarias de 2025 con su causa raíz típica y el control que reduce ese riesgo de forma más directa.

Tipo de infracción	Causa raíz típica	Control defensivo primario
Violación de seguridad basada en credenciales	Contraseñas débiles, reutilizadas o robadas mediante phishing; falta de autenticación multifactor	Autenticación multifactor y autenticación basada en certificados en lugar de contraseñas estáticas.
Incumplimiento de terceros o de la cadena de suministro	Acceso excesivo de proveedores, integraciones no supervisadas, controles de seguridad de socios débiles	Revisiones de acceso de proveedores con privilegios mínimos y monitoreo continuo de riesgos de terceros.
Explotación de vulnerabilidades	Sistemas conectados a Internet sin parchear, ciclos de parcheo retrasados.	Escaneo continuo de vulnerabilidades y acuerdos de nivel de servicio (SLA) para la gestión de parches.
Ransomware	Acceso inicial mediante phishing, credenciales o vulnerabilidades explotadas, seguido de movimiento lateral.	Segmentación de red, copias de seguridad fuera de línea y detección y contención rápidas.
Datos expuestos en reposo o en tránsito.	Bases de datos sin cifrar, almacenamiento en la nube mal configurado, claves de cifrado no gestionadas.	Cifrado de datos confidenciales en reposo y en tránsito, respaldado por una gestión de claves adecuada basada en HSM.
Error interno o humano	Configuración incorrecta, divulgación accidental o uso indebido del acceso legítimo.	Control de acceso basado en roles, prevención de pérdida de datos y capacitación periódica en concientización sobre seguridad.

Limitaciones

Esta guía es un marco general de preparación, no un sustituto del asesoramiento legal ni de un plan de respuesta a incidentes personalizado para su entorno específico. Los requisitos de notificación de brechas varían según el estado, el sector y el país, y solo un asesor legal cualificado puede confirmar qué leyes se aplican a un incidente específico y qué plazos imponen. Las cifras de costos y plazos citadas aquí son promedios de los conjuntos de datos globales de IBM y Verizon; el costo real y el tiempo de recuperación para cualquier organización dependen en gran medida del sector, la magnitud de la brecha, el nivel de madurez de seguridad existente y la rapidez con que se detecta el incidente. Las organizaciones en sectores altamente regulados, como la atención médica, los servicios financieros o el gobierno, deben considerar estas cifras como una referencia y consultar la guía específica del sector, además de este marco.

¿Qué recomendaría Encryption Consulting?

La mayoría de las organizaciones con las que trabajamos no carecen de herramientas de seguridad, sino de un plan probado y de controles de cifrado que limiten el coste real de una brecha de seguridad cuando esta se produce. Nuestra recomendación consta de tres partes.

En primer lugar, elabore y pruebe el plan de respuesta a incidentes, incluyendo flujos de trabajo de notificación alineados con las leyes de notificación de violaciones de datos aplicables a su infraestructura de datos. Nuestros servicios de asesoramiento en cumplimiento ayudan a las organizaciones a alinear sus procesos de respuesta y notificación a incidentes con el RGPD, la HIPAA, las leyes estatales sobre violaciones de datos y otros marcos aplicables antes de que un incidente obligue a tomar medidas. Nuestros servicios de asesoramiento en cifrado evalúan dónde se almacenan los datos confidenciales y su nivel de protección actual, lo cual constituye el punto de partida de cualquier programa de preparación eficaz.

En segundo lugar, considere el cifrado como un control para reducir el impacto de las filtraciones, no solo como un requisito de cumplimiento. Los datos cifrados correctamente, tanto en reposo como en tránsito, con claves protegidas en un módulo de seguridad de hardware (HSM) con certificación FIPS, suelen quedar fuera de los estrictos requisitos de notificación que muchas leyes de protección de datos aplican a los datos en texto plano expuestos. Nuestro HSM como servicio ofrece a las organizaciones protección de claves con certificación FIPS y preparada para la computación cuántica, sin la complejidad de gestionar la infraestructura HSM internamente, de modo que las claves de cifrado permanecen aisladas incluso si otros sistemas se ven comprometidos.

En tercer lugar, subsanamos las deficiencias de identidad y acceso que se observan en la mayoría de los informes de filtraciones. Nuestra infraestructura de clave pública como servicio (PKI como servicio) reemplaza las credenciales y contraseñas estáticas y reutilizables con autenticación basada en certificados para usuarios, dispositivos y cargas de trabajo, abordando directamente el abuso de credenciales y los patrones de acceso no autorizado que causan aproximadamente una quinta parte de las filtraciones confirmadas. Si bien un plan de respuesta ensayado, datos cifrados y una autenticación sólida no previenen todos los ataques, reducen significativamente el alcance del ataque y el costo final del incidente.

Conclusión

Preparar una organización para una filtración de datos no se trata tanto de comprar más herramientas de seguridad, sino de elaborar y ensayar el plan de respuesta a incidentes, el flujo de trabajo de notificación y la lista de verificación de remediación que se utilicen realmente el día que ocurra un problema. Los datos de IBM y Verizon de 2025 son consistentes: los costos de las filtraciones siguen siendo altos, la detección aún tarda un promedio de 241 días, y las credenciales, el acceso de terceros y los sistemas sin parchear siguen siendo las vías de acceso más comunes. Las organizaciones que combinan un plan de respuesta probado con datos cifrados, una gestión de claves sólida y autenticación basada en certificados son las que convierten un incidente potencial de 4.44 millones de dólares en un evento contenido y bien gestionado.

Preguntas frecuentes

¿Cuánto tiempo suelen tener las organizaciones para notificar a las personas afectadas tras una violación de datos? Depende de la legislación aplicable. El RGPD exige notificar a la autoridad de control competente en un plazo de 72 horas desde que se tenga conocimiento de una violación que cumpla con los requisitos. En Estados Unidos, los plazos varían según el estado, generalmente entre 30 y 60 días después del descubrimiento, y algunos sectores, como el sanitario, están sujetos a la HIPAA y deben notificar en un plazo de 60 días. No existe un plazo federal único que se aplique a todas las organizaciones, por lo que un asesor legal debe confirmar los requisitos específicos que se aplican a sus datos y a la ubicación de las personas afectadas.

¿Cuál es la diferencia entre una filtración de datos y un incidente de seguridad? Un incidente de seguridad es cualquier evento que amenaza la confidencialidad, la integridad o la disponibilidad de sistemas o datos, como un intento de malware bloqueado o un pico de intentos de inicio de sesión fallidos. Una filtración de datos es un tipo específico de incidente en el que se confirma el acceso no autorizado o la divulgación de datos confidenciales. Toda filtración de datos es un incidente de seguridad, pero no todo incidente de seguridad se convierte en una filtración de datos.

¿El cifrado de nuestros datos elimina nuestras obligaciones de notificación de violaciones de seguridad? A menudo, sí, en parte. Muchas leyes de notificación de violaciones de seguridad, incluidas varias leyes estatales de EE. UU., incluyen una cláusula de exención de responsabilidad que exime a las organizaciones de la notificación si los datos expuestos se cifraron correctamente y las claves de cifrado no se vieron comprometidas. Esto hace que una gestión sólida de las claves sea tan importante como el cifrado en sí; si un atacante obtiene tanto los datos cifrados como las claves, la cláusula de exención de responsabilidad generalmente no se aplica.

¿Con qué frecuencia debemos poner a prueba nuestro plan de respuesta a incidentes? La mayoría de los expertos en seguridad recomiendan probar un plan de respuesta a incidentes al menos una vez al año mediante un ejercicio de simulación, y con mayor frecuencia, aproximadamente cada seis meses, para organizaciones en sectores de alto riesgo o altamente regulados. Un plan que nunca se ha puesto a prueba en un escenario realista suele fallar precisamente en los aspectos más importantes: quién tiene autoridad para tomar decisiones y con qué rapidez pueden actuar los equipos legales y de comunicaciones.

¿Cuál es la medida más rentable que una organización mediana puede tomar para reducir el impacto de una brecha de seguridad? Según los datos de IBM y Verizon de 2025, las dos medidas más efectivas son implementar la autenticación multifactor o basada en certificados para bloquear el acceso basado en credenciales (presente en el 22 % de las brechas) y desarrollar un plan de respuesta a incidentes probado que acorte el tiempo de detección y contención, ya que la detección interna por sí sola ahorra a las organizaciones aproximadamente 900 000 dólares por incidente en comparación con las brechas reveladas por los atacantes.

Referencias

• IBM Security, “Informe sobre el coste de una filtración de datos 2025”. https://www.ibm.com/reports/data-breach
• Verizon, “Informe de investigaciones de filtraciones de datos de 2025”. https://www.verizon.com/business/resources/reports/dbir/
• Reglamento General de Protección de Datos (RGPD), artículo 33, notificación de la violación de datos a la autoridad de control. https://gdpr-info.eu/art-33-gdpr/