Retorno de inversión en seguridad
abril 6, 2010 6:37 pmHace unos días compartíamos en este mismo blog un primer concepto respecto a las inversiones en seguridad de la información: TCO (Total Cost Ownership), un modelo diseñado para calcular al momento de invertir no sólo los costos directos (o únicamente el precio) sino realizar una evaluación más completa de todo el dinero necesario para contar con un producto o servicio en la organización.
Hoy continuaremos extendiendo otro concepto importante al momento de invertir, y su aplicación particular en lo que respecta a seguridad: el Retorno de Inversión (ROI, del inglés Return On Investment).
El ROI es un valor que relaciona la inversión en un proyecto con los beneficios económicos que este traerá. Es utilizado en las empresas para evaluar la viabilidad de una inversión. Es decir, si voy a invertir 2 mil dólares, y el proyecto traerá un beneficio económico de 5 mil dólares en el primer año, el mismo es económicamente viable.
La fórmula básica para el cálculo del ROI es la siguiente:
ROI = (Beneficio – Inversión) / Inversión x 100
Según el ejemplo brindado, se puede realizar el cálculo de la siguiente manera:
ROI = (5000 – 2000) / 2000 * 100 = 150 %
Es decir que el proyecto tiene retorno de inversión esperado de un 150%. Esto quiere decir que al plazo dado (un año en este caso), se ganará dinero en función de la inversión en el porcentaje indicado.
Ahora, ¿cómo se puede evaluar un ROI a la hora de invertir en seguridad? Mientras que en una inversión convencional se pueden establecer ganancias (por ejemplo, si se invierte en un nuevo software de gestión, se invierte en personal, o en un proyecto determinado), las inversiones en seguridad no ofrecen el ingreso de dinero (directo) por su implementación.
¿Cuánto dinero ingresará en la empresa si se compran matafuegos como medida de seguridad? Pensando en la seguridad informática, ¿cuánto dinero ingresará en la empresa por comprar un antivirus o instalar un firewall? Claramente las respuestas a estas preguntas es cero. Las inversiones en seguridad no son realizadas para obtener el ingreso de dinero en la organización.
Sin embargo, es posible hacer una medición del retorno de inversión en seguridad (o ROSI), analizando los beneficios económicos relacionados a dichas inversiones. ¿Cómo es posible? Analizando los incidentes que dicha medida de seguridad prevendrá o evitará, y cuál es el impacto económico que se evita.
Cada vez que ocurre un incidente de seguridad (una infección de malware, un daño en una base de datos, un intruso), la empresa pierde dinero; y al cuantificar este dinero es posible analizar la viabilidad económica de dicha inversión.
Por ejemplo, si una empresa sabe que un antivirus tendrá un costo anual determinado, podrán analizarse cuáles son los gastos que se deberá incurrir si no se cuenta con un antivirus, en lo que respecta a tiempo de reparación de incidentes, costo de información perdida, costo en horas hombre para reinstalar un sistema o costos por pérdida de productividad por interrupción de servicios. Todos estos costos deben cotejarse contra el costo de la solución para obtener el ROSI de la misma.
En resumen, mientras que el ROI evalúa cuánto dinero se ganará por realizar una inversión, el ROSI evalúa cuánto dinero se dejará de perder.
Existen diversas fórmulas para calcular el ROSI, que iremos compartiendo con los lectores en futuros post, de forma que puedan seguir optimizando en las empresas los procesos de decisión de inversión en materia de seguridad de la información.
Sebastián Bortnik
Analista de Seguridad
Promedio: 4
11-11-2011 a las 8:55 am
[...] Tras un reciente análisis del mercado de seguridad, Frost & Sullivan ha destacado el fuerte crecimiento de ESET a nivel internacional. Además, la consultora valoró la excelencia de ESET en la implementación de estrategias de modernización que proactivamente crean valor para los clientes con un importante foco en la mejora del retorno de inversión (ROI). [...]
10-11-2011 a las 7:32 pm
[...] Recientemente, ESET ha sido también reconocida por la prestigiosa compañía internacional de consultoría para el crecimiento Frost & Sullivan con el Premio Global Customer Value Enhancement Award 2011. El galardón es otorgado a empresas que demuestran sólidos porcentajes de crecimiento, tanto en expansión de mercado como en retención de clientes. Tras un reciente análisis del mercado de seguridad, Frost & Sullivan ha destacado el fuerte crecimiento de ESET a nivel internacional. Además, la consultora valoró la excelencia de ESET en la implementación de estrategias de modernización que proactivamente crean valor para los clientes con un importante foco en la mejora del retorno de inversión (ROI). [...]
21-9-2011 a las 4:02 pm
[...] Tras un reciente análisis del mercado de seguridad, Frost & Sullivan ha destacado el fuerte crecimiento de ESET a nivel internacional. Además, la consultora valoró la excelencia de ESET en la implementación de estrategias de modernización que proactivamente crean valor para los clientes con un importante foco en la mejora del retorno de inversión (ROI). [...]
27-7-2011 a las 1:35 pm
La inversión en materia de seguridad es un factor muy importante a tener en cuenta en cualquier negocio que se sustente por internet, es muy valioso contar con estos elementos a la hora de discutir un presupuesto para una inversión nueva, porque ciertamente no todos los empresarios se inclinan a invertir en materia de seguridad lógica, es importante por lo tanto revestirse de estas variables que argumentarán nuestras razones, por demás importantes para garantizar perdidas de datos y por consiguiente credibilidad de nuestros clientes, por ejemplo.
4-3-2011 a las 12:55 am
[...] la información es un bien de valor y por lo tanto debe ser protegido. Sin embargo, la decisión de invertir en seguridad, no puede estar sujeta sobre cuánta suma de dinero está dispuesta a gastar la empresa (para [...]
28-2-2011 a las 4:41 pm
[...] la información es un bien de valor y por lo tanto debe ser protegido. Sin embargo, la decisión de invertir en seguridad, no puede estar sujeta sobre cuánta suma de dinero está dispuesta a gastar la empresa (para [...]
10-5-2010 a las 10:50 pm
[...] tema que ya hemos estado tratando antes en TCO: ¿Cómo evaluar una inversión en seguridad? y Retorno de inversión en seguridad. Respecto a lo afirmado por el informe de Verizon, son dos los aspectos a [...]
10-5-2010 a las 2:58 pm
[...] Este informe da lugar a un interesante debate sobre las inversiones en seguridad, tema que ya hemos estado tratando antes en TCO: ¿Cómo evaluar una inversión en seguridad? y Retorno de inversión en seguridad. [...]
15-4-2010 a las 12:40 pm
Sin dedicarme a la seguridad ni a la informatica, pero si a la administración, puedo agregar a este post que lo importante surge en tratar a la seguridad de la información y a los sistemas de información como un activo más de la organización (intangible en este caso). Todos los activos pueden valorizarse, y pueden hacerse estimaciones sobre que erogaciones generarán. Todos los activos pueden optimizarse ya sea en sus ingresos como en sus egresos.
Sin embargo no debemos confundir rentabilidad con retorno de inversión, el ROI solo nos muestra la relación de 2 variables, y nos va a servir para luego calcular la rentabilidad por ejemplo del capital de trabajo…la rentabilidad sería la especie y el retorno de la inversión un género…
Muy bueno el post!
8-4-2010 a las 1:19 pm
[...] ESET [...]
7-4-2010 a las 4:08 pm
Que buen aporte, muchas gracias!!!
Hay muchas variables que pueden tomarse de referencia a la hora de evaluar los beneficios económicos cuando de inversión en seguridad informática se trata. Por ejemplo, se puede cuantificar el ahorro que obtiene una compañía al gestionar la seguridad de su infraestructura tecnológica desde un único centro de administración centralizada remota. En este sentido los costos operativos disminuyen, se optimiza la productividad ya que el personal tendrá más tiempo para realizar otras actividades productivas al tiempo que protege su información contra todo tipo de amenazas informáticas de forma proactiva y efectiva; tal y como lo ofrecen las soluciones de eset.
Lo importante es que entre menos comprometida se encuentre la información de una organización, mayor sera la rentabilidad de la empresa.