Dado que cada día surgen nuevas amenazas, que además son cada vez más complejas y sofisticadas, la ciberseguridad se ha convertido en un aspecto fundamental para todas las organizaciones, ya que cualquier empresa, independientemente de su tamaño y ubicación, corre el riesgo de sufrir un ciberataque. Como consecuencia, la mayoría ha comenzado a optar por un seguro cibernético para cubrir las pérdidas que dichos ataques puedan acarrear, a veces junto con una garantía específica contra el ransomware, impulsadas por el hecho de que este tipo de amenaza representa alrededor del 75 % de las reclamaciones de seguros cibernéticos (AM Best 2021). Además del ransomware, el seguro cibernético puede cubrir ámbitos como las demandas de extorsión y las medidas de reparación.
Pero se trata de un mercado sometido a presión, con un índice de siniestralidad respecto a las primas devengadas del 73 % en 2021, según Fitch Ratings, y con dificultades para diversificar el riesgo, ya que los ciberataques no conocen fronteras. Además, la falta de datos históricos complica la capacidad de realizar el tipo de previsión de riesgos que el sector asegurador suele emplear para fijar las tarifas. En conjunto, todo ello amenaza en última instancia la rentabilidad del sector y, por ende, la protección que ofrece, al tiempo que provoca un aumento de las primas para los clientes.
Las garantías contra el ransomware, que acaparan los titulares, son también un ámbito que requiere una investigación más profunda y la lectura de la letra pequeña. Lo que puede parecer una propuesta atractiva (y, a menudo, una decisión obvia) en muchos casos nunca se materializará y podría dar lugar a una complacencia peligrosa.
Además, las cláusulas relativas a los seguros de ciberseguridad son cada vez más estrictas, tal y como ha puesto de manifiesto el reciente anuncio de Lloyds of London sobre la limitación de la cobertura; por ejemplo, sus productos de seguro ya no cubrirán las consecuencias de los ciberataques entre Estados-nación. Muchas aseguradoras también están imponiendo requisitos de protección más estrictos, lo que, aunque contribuye a reforzar los niveles de defensa en materia de ciberseguridad, también puede dejar expuestas a algunas organizaciones, especialmente a las pymes, ya que tienen menos capacidad para cumplir los nuevos umbrales mínimos exigidos.
Por ello, saber exactamente qué cubre cualquier póliza que tengas en la actualidad, o que estés pensando en contratar en el futuro, es una necesidad imperiosa tanto desde el punto de vista empresarial como tecnológico. Las empresas deben saber que las pólizas de seguro cibernético y las garantías de protección contra el ransomware no cubren todos los aspectos de los ataques y que, en la mayoría de los casos, habrá distintos factores desencadenantes, límites, condiciones y coberturas para los diferentes tipos de reclamaciones, lo que puede dar lugar a la denegación o a una reducción de la indemnización, creando una brecha entre las expectativas y la realidad. La formación y la concienciación son fundamentales en este sentido: debes ser plenamente consciente de lo que no cubre tu seguro cibernético en la actualidad, para evitar sorpresas más adelante. Roy May aborda este tema a la perfección.
Analicemos uno por uno algunos de los aspectos clave para respaldar precisamente eso.
- Errores de terceros: Las compañías de seguros cibernéticos no te cubren si se produce un ciberataque en cualquier sistema de terceros que cause daños a tu actividad principal. Este software o estos servicios de terceros pueden ser tu alojamiento web, tu correo electrónico, tus servicios en la nube, la gestión de tu servicio de atención al cliente o cualquier otra relación comercial en línea significativa.
- Pérdidas sufridas durante el «período de carencia»: En el mundo de los seguros suele existir una franquicia temporal denominada «período de carencia». El seguro solo cubre las pérdidas que se produzcan una vez finalizado dicho período. Este período de carencia suele ser de entre 10 y 12 horas. Esto significa que, si tu red sufre un ciberataque durante el período de carencia, no podrás reclamar una indemnización a tu seguro.
- Pérdidas durante el tiempo de inactividad: Las pérdidas sufridas durante el período de interrupción de la actividad empresarial no están cubiertas por las principales pólizas. El tiempo de inactividad puede perjudicar a tu empresa de muchas formas, lo que conlleva una pérdida de productividad y de la confianza y fidelidad de los clientes y, en última instancia, de tu negocio. Independientemente de la cuantía de la pérdida de ventas que te suponga este tiempo de inactividad, no estará cubierta.
- Daño a la reputación: Este es uno de los riesgos más importantes a los que se enfrenta una empresa si se produce un ciberataque o una filtración de datos. De hecho, 1 de cada 3 clientes está dispuesto a abandonar una marca que le encanta tras una sola mala experiencia, porcentaje que se eleva a más del 90 % tras 2 o 3 interacciones con experiencias negativas. (AÑADIR REFERENCIA). Cualquier ataque durante eventos especiales como el «Cyber Monday» puede causar aún más daño a la organización. Dado que resulta difícil cuantificar dicha pérdida, las compañías de seguros cibernéticos no la incluyen en sus pólizas.
- Lesiones corporales o daños materiales: Los ciberataques tienen consecuencias tangibles. A medida que el mundo avanza hacia el IoT (Internet de las cosas), aumentan las conexiones entre objetos, y existe la posibilidad de que esto provoque lesiones corporales o daños materiales. Puede parecer inusual, pero muchas empresas de producción funcionan hoy en día íntegramente mediante ordenadores.
Todo el proceso, desde la recogida de materias primas hasta el envío de los productos finales, se lleva a cabo mediante sistemas automatizados. Si se produjera un ciberataque en cualquier fase de este proceso, las consecuencias serían catastróficas. Si una empresa se viera envuelta en una situación de este tipo, es probable que el seguro cibernético no cubra (en su totalidad) las necesidades.
- Nuevo hardware: Por lo general, las pólizas de seguro cibernético no cubren los daños materiales, como la sustitución de hardware y otros equipos, provocados por un ciberataque. La situación se complica cuando el hardware resulta tan dañado que resulta imposible repararlo. La mejor solución en estos casos es sustituir el hardware por uno nuevo, pero será la propia organización la que tenga que correr con los gastos.
- Actualizaciones de software: Por lo general, las pólizas de seguro cibernético no cubren las últimas versiones del software. En caso de un ciberataque, las principales aseguradoras cibernéticas solo te ayudarán a restaurar el software al estado en el que se encontraba antes de que se produjera el ataque.
- Pérdida de equipos: La mayoría de las pólizas de seguro cibernético no cubren ningún delito cibernético que se haya originado a raíz de la pérdida de un dispositivo portátil, como un ordenador portátil o una tableta de la empresa. Pocas pólizas de seguro incluyen únicamente dispositivos cifrados en su cobertura, por lo que todos los dispositivos utilizados en la organización deben contar con los parches de seguridad adecuados.
- Multas y sanciones de los emisores de tarjetas: Una de las principales preocupaciones a la hora de hacer frente a una filtración de datos está relacionada con las sanciones y posibles multas impuestas a una empresa por emisores de tarjetas como MasterCard, Visa, etc., o incluso impuestas a los directivos de la empresa en virtud del RGPD y normativas similares. Estas multas o sanciones pueden alcanzar una cuantía considerable, de hasta seis cifras. Algunas compañías de seguros excluyen la cobertura de este tipo de multas, lo que podría acarrear graves pérdidas económicas.
- Ataques especializados: Muchas pólizas de seguro solo cubren los ataques perpetrados por ciberdelincuentes que buscan beneficios personales, o beneficios colectivos cuando los actores maliciosos colaboran entre sí para obtener ganancias compartidas. Deniegan la cobertura si el ataque se lleva a cabo con motivos terroristas o por parte de un actor estatal con fines políticos, un ámbito en el que las investigaciones muestran un aumento en la escala y el volumen de los ataques para evadir la detección (Microsoft 2021).
Reflexiones finales: ¿merece la pena contratar un seguro cibernético?
La resiliencia de una empresa está ligada a su ciberresiliencia, por lo que resulta fundamental prestar una atención constante y generalizada a la ciberseguridad en toda la organización, abarcando la tecnología, los procesos, la cultura y las competencias. En este contexto, el seguro cibernético desempeña un papel protector, ya que exige avances en materia de «seguridad desde el diseño» en condiciones cada vez más estrictas, y respalda la recuperación de la organización en caso de que se produzca una violación de la seguridad, siempre que se hayan cumplido todas esas obligaciones. Sin embargo, no todas las pólizas de seguro cibernético son iguales, ya que existen diferencias sustanciales en cuanto a la cobertura y las condiciones. Por lo tanto, debe comprender a la perfección tanto sus necesidades como sus obligaciones antes de tomar una decisión definitiva.
Es posible que las empresas emergentes y las pymes con carteras reducidas o activos digitales mínimos no puedan justificar el gasto que supone un seguro de ciberseguridad, ya que probablemente obtengan un mejor retorno de la inversión si se centran en la defensa de la seguridad, por ejemplo, mediante prácticas de «Zero Trust» y la formación y sensibilización de los empleados. En el caso de las grandes empresas que gestionan un volumen significativo de información financiera sensible o de datos personales de sus clientes, la inversión en una póliza de seguro cibernético de prestigio puede estar plenamente justificada, pero solo como parte de una estrategia integral de ciberseguridad. Ninguna póliza prevendrá ni resolverá por sí sola los problemas relacionados con la seguridad, sino que puede constituir la pieza final de un programa de defensa proactivo que se centre tanto en la identificación temprana de los riesgos como en una rápida Recovery cuando (no «si») se produzca inevitablemente algún tipo de ataque.
Sobre la autora
La Dra. Sally Eaves es presidenta de Global Cyber Trust en el prestigioso centro de estudios GFCYBER y asesora en materia de descentralización digital, democracia y seguridad del Centre for a New American Security (CNAS), dependiente del Gobierno de Estados Unidos. Con una dilatada trayectoria como directora de tecnología, profesora de tecnologías avanzadas y asesora estratégica global en transformación digital, Sally se especializa en la aplicación de tecnologías emergentes —en particular, la inteligencia artificial, la seguridad, el 5G, la nube y el Internet de las cosas— para la transformación empresarial y de las tecnologías de la información, además de propiciar un impacto social a gran escala.
Sally, ponente principal internacional y autora, fue la primera galardonada con el premio «Frontier Technology and Social Impact», entregado en las Naciones Unidas, y ha sido descrita como la «abanderada de la tecnología ética». Fundó Aspirational Futures con el objetivo de potenciar la inclusión, la diversidad, la equidad y el sentido de pertenencia en el ámbito tecnológico y más allá.
