La investigación se llevó a cabo entre 964 profesionales de tecnologías de la información y seguridad, pertenecientes a 204 organizaciones con plantillas superiores a los 1.000 empleados, repartidas entre América del Norte, Europa, Oriente Medio, África y Asia-Pacífico. En total, en los últimos 12 meses se identificaron 4.716 incidentes provocados desde el interior de las organizaciones.

El Ponemon Institute estudió tres tipos de perfiles que consideran amenazas internas: los usuarios negligentes, que cometen errores que causan incidentes de forma no intencionada; criminales infiltrados, que causan un daño desde dentro de la organización de manera intencionada, y ladrones de credenciales, que roban los datos de acceso de los infiltrados para obtener acceso no autorizado a aplicaciones y sistemas.

De los tres perfiles analizados, los ladrones de credenciales causaron el mayor daño por incidente, lo que costó a las organizaciones un promedio de 871.000 dólares por incidente, tres veces más que los causados por los infiltrados negligentes, que representaron el 62% del total de incidentes, con un coste de media de 4,58 millones de dólares.

Aunque los criminales infiltrados “suelen generar más titulares”, según indica el informe, su frecuencia de actuación es la más baja de los tres perfiles, representando sólo el 14% de todos los incidentes. Sin embargo, el coste de 756.000 dólares por incidente “es difícil de obviar”, ya que representa una media de 4,08 millones de dólares en pérdidas al año.

El coste más elevado para las organizaciones fue la contención de las amenazas, con un promedio anual de 211.533 dólares por compañía, mientras que el coste que más rápido creció fue el de la investigación, al que los organizaciones dedicaron un 86% más que hace solo tres años. De media, se tarda 77 días en contener un incidente, y los que duran más de 90 días cuestan a las organizaciones una media de 13,71 millones de dólares al año.

Por sectores, la industria de servicios financieros fue la que tuvo un coste medio anual más elevado, alcanzando los 14,5 millones de dólares, lo que supone un aumento del 20,3% en dos años. Además, las empresas más grandes, de más de 75.000 empleados, gastaron de media 17,92 millones de dólares, mientras que las de menos de 500 trabajadores gastaron una media de 7,68 millones en amenazas internas.