El interés compuesto del riesgo

Lo que un banco centroamericano paga hoy por no haber cerrado una puerta hace tres años

Erika Botero

CEO BOWI Group

La semana pasada les conté del garage. De esa mañana en que quise entrar el auto y ya no cupo, sin que nadie, en ningún momento, hubiera decidido perder ese espacio. Cerré esa historia con una pregunta incómoda: ¿quién tiene permiso para entrar aquí? Hoy quiero mostrarles lo que pasa cuando esa pregunta se queda sin respuesta demasiado tiempo. Y para eso, por primera vez en esta serie, voy a dejar de lado la metáfora un momento y les voy a mostrar los números.

Según el informe Cost of a Data Breach 2026 de IBM y el Instituto Ponemon, una filtración de datos en América Latina cuesta hoy, en promedio, USD 4,65 millones. No es un incidente puntual: son 40.300 registros comprometidos por evento, y 328 días para identificarlo y contenerlo. Casi once meses conviviendo con un intruso sin saberlo. En el sector financiero de la región, esa cifra sube todavía más.

Sólo por evidenciar lo que digo, hoy hablaré de Centroamérica , que no es una excepción dentro de ese promedio regional. Es, según el Banco Mundial, la subregión con más incidentes cibernéticos reportados por millón de habitantes de toda América Latina y el Caribe, con un crecimiento del 25% anual desde 2014, por encima del 21% que se observa a nivel global. En Honduras específicamente, Mastercard registró 1,8 millones de ataques entre 2023 y 2024, con el sector financiero entre los tres más golpeados junto al público y al de salud. En Guatemala, el sector financiero enfrenta en promedio 3.800 ataques por semana.

Léanlo de nuevo: 3.800 intentos, cada semana, tocando la puerta de un solo sector, en un solo país.

Ahora conectemos esto con el garage.

Ese acceso que alguien olvidó cerrar en 2021 no se quedó quieto esperando. Con el tiempo, un equipo construyó un proceso que depende de él. Después, alguien automatizó una tarea usando esa misma cuenta porque “ya estaba ahí y funcionaba”. Más tarde, un proveedor nuevo se conectó confiando en que lo que encontraba ya había sido validado por alguien más arriba. Nadie mintió. Nadie tomó una mala decisión el día que importaba. Y sin embargo, ahí está: una vulnerabilidad menor convertida en la base invisible de media operación, exactamente el tipo de brecha que hoy tarda 328 días en salir a la luz.

Esto es lo que vuelve tan traicionero al riesgo acumulado: no crece donde lo dejamos. Se traslada. Un permiso mal configurado en recursos humanos termina afectando la nómina. Una integración huérfana en el área comercial termina exponiendo datos financieros. El riesgo no respeta organigramas, aunque nuestras estructuras de gobierno sigan actuando como si cada área fuera una isla responsable solo de lo suyo.

Y aquí está la parte que más me cuesta explicar en una sala de directorio: para cuando el problema por fin se hace visible, ya no se puede resolver con la misma facilidad con la que se habría resuelto el día uno. Cerrar aquel acceso en 2021 tomaba cinco minutos. Cerrarlo hoy significa mapear qué depende de él, negociar con tres áreas que lo dan por hecho, y aceptar que algo, en algún lugar, probablemente se va a romper. La deuda no solo creció en tamaño. Creció en complejidad. Y la complejidad es lo que finalmente la vuelve casi imposible de pagar de una sola vez.

He visto organizaciones enteras paralizadas frente a esto. No por falta de voluntad, sino por puro vértigo. Saben que algo anda mal e intuyen dónde; pero tocar la base significa arriesgar todo lo que se construyó encima, y esa sola posibilidad basta para que, una vez más, se decida esperar un trimestre más. Mientras tanto, en el mismo país, alguien está lanzando en promedio más de cien intentos diarios contra sistemas hondureños, y ninguno de esos intentos espera a que la organización esté lista.

¡Escandalosas cifras! Y aún así, es poco usual detenerse as pensar y tomar decisiones entendiendon  que el costo no explota un día cualquiera de la nada. Explota el día en que alguien externo encuentra, antes que nosotros, esa base frágil sobre la que se apoya todo lo demás. Y ese día no vamos a estar pagando el problema original de USD 4,65 millones que reporta el promedio regional. Vamos a estar pagando cada capa que se construyó encima de él, sin que nadie, en ningún momento, se detuviera a preguntar si esa base todavía era segura.

Por eso creo que la pregunta correcta ya no es cuánto costaría resolver hoy cada excepción pendiente. La pregunta correcta, la que debería llegar a la mesa de un directorio o a la de un CISO antes que cualquier otra, es cuánto nos va a costar seguir sin mirarlas, trimestre tras trimestre, mientras la región entera acelera al 25% anual y nuestra base se vuelve, cada vez, un poco menos comprendida por quienes hoy la operan.

Volviendo al garage: no basta con abrir la puerta una vez y mirar. Hay que volver, con la misma disciplina con la que se revisa un estado de cuenta, antes de que la próxima caja “por mientras” se convierta en la base de la que ya no se puedan mover. La ciberresiliencia no se construye el día que por fin decidimos pagar la deuda completa. Se construye en la costumbre de no dejar que se acumule interés, mes a mes, en primer lugar.

¿Cuánto interés lleva acumulando, sin que nadie lo mire, la deuda de tu organización? Y más importante todavía: si hoy alguien en tu sala de directorio preguntara quién tiene permiso para entrar, ¿alguien podría responder?

Capítulo 5 de 5 de “La deuda de ciberresiliencia”. Cierro esta serie no con una respuesta única, sino con una pregunta que espero se queden haciendo cada trimestre.

Fuentes: Cost of a Data Breach Report 2026, IBM / Ponemon Institute · Banco Mundial, Cybersecurity in Emerging Markets · Estudio Mastercard sobre ciberataques en Honduras (2023–2024) · O.G.D.I., Análisis de ciberdelitos en Guatemala y Centroamérica 2026.