Com novas ameaças surgindo diariamente e se tornando cada vez mais complexas e sofisticadas, a segurança cibernética tornou-se uma prioridade fundamental para todas as organizações — já que todas as empresas, independentemente de seu tamanho e localização, correm o risco de sofrer um ataque cibernético. Como resultado, a maioria passou a optar por um seguro cibernético para cobrir as perdas que tais ataques possam causar, às vezes acompanhado de uma cobertura específica contra ransomware, impulsionado pelo fato de que esse tipo de ameaça é responsável por cerca de 75% dos sinistros de seguro cibernético (AM Best 2021). Além do ransomware, o seguro cibernético pode cobrir áreas como exigências de extorsão e esforços de remediação.
Mas este é um mercado sob pressão, com a relação entre perdas e prêmios arrecadados em 73% em 2021, segundo a Fitch Ratings, e dificuldade em diversificar o risco, já que os ataques cibernéticos não conhecem fronteiras. Além disso, a ausência de dados históricos dificulta a capacidade de realizar o tipo de previsão de risco que o setor de seguros normalmente utiliza para definir as taxas de precificação. Em conjunto, isso acaba ameaçando a rentabilidade do setor e, consequentemente, a proteção que ele oferece — além de impulsionar o aumento dos preços dos prêmios para os clientes.
As garantias oferecidas por ransomware que ganham destaque na mídia também são uma área que exige uma investigação mais aprofundada e a leitura das letras miúdas. O que pode parecer uma proposta atraente (e, muitas vezes, uma escolha óbvia) em muitos casos nunca resultará em pagamento e pode levar a uma complacência perigosa.
Além disso, as cláusulas relacionadas ao seguro de segurança cibernética estão se tornando cada vez mais restritivas, conforme destacado pelo recente anúncio da Lloyds of London sobre a limitação da cobertura; por exemplo, seus produtos de seguro não cobrirão mais as consequências de ataques cibernéticos entre Estados-nação. Muitas seguradoras também estão impondo requisitos de proteção mais rigorosos, o que, embora ajude a reforçar os níveis de defesa em segurança cibernética, também pode deixar algumas organizações — especialmente as pequenas e médias empresas — vulneráveis, já que elas têm menos condições de atender aos novos limites mínimos exigidos.
Isso torna essencial, tanto do ponto de vista empresarial quanto tecnológico, saber exatamente o que está coberto em qualquer apólice que você tenha hoje ou que esteja pensando em adquirir no futuro. As empresas devem estar cientes de que as apólices de seguro cibernético e as garantias de proteção contra ransomware não cobrem todos os aspectos dos ataques e, na maioria dos casos, haverá diferentes critérios de acionamento, limites, condições e coberturas para os diversos tipos de sinistros, o que pode levar à recusa do pedido de indenização ou a um valor reduzido, criando um descompasso entre as expectativas e a realidade. A educação e a conscientização são fundamentais nesse contexto — você deve estar plenamente ciente do que não está coberto pelo seu seguro cibernético hoje, para evitar surpresas mais tarde. Roy May aborda esse ponto com excelência.
Vamos explorar, uma a uma, algumas das principais questões para fundamentar exatamente isso.
- Erros de terceiros: As seguradoras cibernéticas não oferecem cobertura caso ocorra um ataque cibernético em qualquer sistema de terceiros que cause danos à sua atividade principal. Esses softwares ou serviços de terceiros podem incluir sua hospedagem na web, e-mail, serviços em nuvem, gestão de atendimento ao cliente ou qualquer outra relação comercial online significativa.
- Perdas sofridas durante o “período de carência”: No mundo dos seguros, costuma haver uma franquia baseada no tempo, conhecida como “período de carência”. Apenas as perdas ocorridas após o término desse período são cobertas pelo seguro. Esse período de carência geralmente varia de 10 a 12 horas. Isso significa que, se sua rede sofrer um ataque cibernético durante o período de carência, você não poderá solicitar indenização à sua seguradora.
- Prejuízo durante o tempo de inatividade: os prejuízos sofridos durante o evento de interrupção dos negócios não são cobertos pelas principais apólices. O tempo de inatividade pode causar danos à sua empresa de várias maneiras, levando à perda de produtividade e à perda da confiança e lealdade dos clientes e, em última instância, à perda de seus negócios. Não importa quanto prejuízo nas vendas esse tempo de inatividade lhe custe, ele não será coberto.
- Dano à reputação: Esse é um dos riscos mais significativos que uma empresa enfrenta caso ocorra um ataque cibernético ou uma violação de dados. De fato, 1 em cada 3 clientes está disposto a abandonar uma marca que ama após apenas uma experiência ruim, número que sobe para mais de 90% após 2 ou 3 interações com experiências insatisfatórias. (ADICIONAR REFERÊNCIA). Quaisquer ataques durante eventos especiais, como a Cyber Monday, podem causar danos ainda maiores à organização. Como é difícil quantificar tais perdas, as seguradoras cibernéticas não as cobrem em suas apólices.
- Lesões corporais ou danos materiais: os ataques cibernéticos têm consequências tangíveis. À medida que o mundo caminha em direção à IoT (Internet das Coisas), as conexões entre objetos estão aumentando, e há chances de que isso possa levar a lesões corporais ou danos materiais. Pode parecer incomum, mas muitas empresas de produção hoje em dia operam inteiramente por meio de computadores.
Tudo, desde a coleta de matérias-primas até o envio dos produtos finais, ocorre por meio de sistemas automatizados. Caso ocorra um ataque cibernético em qualquer etapa desse processo, isso resultaria em uma catástrofe. Se alguma empresa se deparar com tal situação, é provável que o seguro cibernético não cubra (na totalidade) as necessidades.
- Novo hardware: Normalmente, as apólices de seguro cibernético não cobrem danos materiais, como a substituição de hardware e outros equipamentos, causados por um ataque cibernético. Isso se torna um problema quando o hardware fica tão danificado que é impossível consertá-lo. A melhor solução nesses casos é substituir o hardware por um novo, mas a própria organização terá que arcar com os custos.
- Atualizações de software: Tradicionalmente, as versões mais recentes do software não são cobertas pelas apólices de seguro cibernético. Em caso de um ataque cibernético, as principais seguradoras cibernéticas apenas ajudarão a restaurar o software ao estado em que se encontrava antes do ataque ocorrer.
- Perda de equipamentos: A maioria das apólices de seguro cibernético não cobre crimes cibernéticos decorrentes da perda de dispositivos portáteis, como laptops ou tablets da empresa. Poucas apólices incluem apenas dispositivos criptografados em sua cobertura; portanto, todos os dispositivos utilizados na organização devem possuir patches de segurança adequados.
- Multas e penalidades impostas por emissores de cartões: Uma das principais preocupações ao lidar com uma violação de dados está relacionada às penalidades e possíveis multas impostas à empresa por emissores de cartões, como MasterCard, Visa etc., ou mesmo impostas aos diretores da empresa de acordo com o GDPR e regulamentações semelhantes. Essas multas ou penalidades podem atingir valores substanciais, chegando a seis dígitos. Algumas seguradoras excluem a cobertura desse tipo de multa, o que pode levar a graves prejuízos financeiros.
- Ataques especializados: Muitas apólices de seguro cobrem apenas os ataques cometidos por cibercriminosos que buscam lucros pessoais ou coletivos, quando agentes mal-intencionados colaboram entre si para obter ganhos compartilhados. Elas negam a cobertura se o ataque for realizado com motivação terrorista ou por um agente estatal para fins políticos — uma área em que pesquisas mostram um aumento na escala e no volume de ataques para evitar a detecção (Microsoft 2021)
Considerações finais – Então, vale a pena contratar um seguro cibernético?
A resiliência de uma empresa está ligada à sua resiliência cibernética, tornando fundamental um foco contínuo e abrangente em toda a organização na segurança cibernética, tanto na tecnologia quanto nos processos, na cultura e nas competências. Nesse contexto, o seguro cibernético desempenha um papel importante na proteção, exigindo avanços na segurança desde a concepção (security by design) sob termos cada vez mais rigorosos — e apoiando a Recovery da organização em caso de violação, desde que todas essas obrigações tenham sido cumpridas. No entanto, nem todas as apólices de seguro cibernético são iguais, havendo diferenças significativas na cobertura e nas condições. Portanto, é fundamental compreender plenamente tanto suas necessidades quanto suas obrigações antes de tomar uma decisão final.
Start-ups e pequenas e médias empresas (PMEs) com portfólios reduzidos ou poucos ativos digitais podem não conseguir justificar o custo de um seguro de segurança cibernética, já que é provável que se obtenha um melhor retorno sobre o investimento ao se concentrar na defesa da segurança, por exemplo, por meio de práticas de Zero Trust e de treinamento e conscientização dos funcionários. Para grandes empresas que gerenciam um volume significativo de informações financeiras confidenciais ou dados pessoais identificáveis (PII) de seus clientes, o investimento em uma apólice de seguro cibernético de renome pode ser bem justificado — mas apenas como parte de uma estratégia holística de segurança cibernética. Nenhuma apólice irá prevenir nem resolver espontaneamente problemas relacionados à segurança; pelo contrário, ela pode constituir a peça final de um programa de defesa proativo que se concentra tanto na identificação precoce de riscos quanto na Recovery rápida quando (e não se) um ataque de algum tipo inevitavelmente ocorrer.
Sobre a autora
A Dra. Sally Eaves é presidente do Global Cyber Trust no renomado think tank GFCYBER e consultora em Descentralização Digital, Democracia e Segurança do Centro para uma Nova Segurança Americana (CNAS), órgão que presta contas ao Governo dos Estados Unidos. Com vasta experiência como diretora de tecnologia, professora de tecnologias avançadas e consultora estratégica global em transformação digital, Sally é especialista na aplicação de tecnologias emergentes — notadamente inteligência artificial, segurança, 5G, nuvem e Internet das Coisas — para a transformação empresarial e de TI, além de promover impacto social em grande escala.
Palestrante internacional e autora, Sally foi a primeira vencedora do prêmio “Frontier Technology and Social Impact”, concedido pelas Nações Unidas, e tem sido descrita como a “porta-bandeira da tecnologia ética”. Ela fundou a Aspirational Futures com o objetivo de promover a inclusão, a diversidade, a equidade e o sentimento de pertencimento no setor de tecnologia e em outras áreas.
