Los seguros cibernéticos suelen tener mala fama.
Desanimadas por el fuerte aumento de las primas , la ampliación de las exclusiones y el mayor escrutinio de las prácticas de ciberseguridad de los solicitantes, muchas empresas están optando por arriesgarse y seguir adelante con poca o ninguna protección financiera frente a los ciberataques.
De hecho, solo el 55 % de las empresas norteamericanas encuestadas recientemente por BlackBerry y Corvus Insurance afirmaron disponer de un seguro cibernético, y menos del 20 % cuentan con una cobertura por un valor superior a 600,000 dólares, que fue la cantidad media que exigieron los atacantes de ransomware el año pasado.
Para ser justos, hay que reconocer que el seguro cibernético no es adecuado para todo el mundo. Algunas empresas gigantes no lo necesitan, ya que cuentan con el presupuesto y el personal necesarios para asumir sus propios riesgos. Sin embargo, es probable que otras empresas estén renunciando a dicha cobertura porque no comprenden plenamente su valor.
«El seguro cibernético es probablemente el producto menos comprendido del mercado de seguros actual, y es el que plantea mayores dificultades», afirma Scott Godes, socio de Barnes & Thornburg LLP, un bufete de abogados de ámbito nacional que representa a empresas en casos de reclamación de indemnizaciones de seguros.
A continuación se presentan cinco mitos comunes sobre los seguros cibernéticos, así como una visión realista de la situación por parte de los expertos del sector que ha entrevistado Focal Point .
Mito: El seguro es caro, por lo que es mejor arreglárselas por su cuenta
Realidad: Sí, con el aumento vertiginoso de los ataques de ransomware en los últimos años, las primas de los seguros cibernéticos se han disparado. Según el Consejo de Agentes y Corredores de Seguros (CIAB), las primas de « » registraron un aumento medio del 28 % en el primer trimestre de 2022 , en comparación con el trimestre anterior.
«El seguro cibernético es probablemente el producto menos comprendido del mercado de seguros actual, y es el que plantea mayores retos.»Scott Godes, socio de Barnes & Thornburg LLP
Y, sí, actuar por cuenta propia puede ser una opción viable para las grandes empresas que cuentan con equipos de seguridad muy amplios y confían en su capacidad para evaluar y mitigar los riesgos, afirma Josephine Wolff, profesora asociada de política de ciberseguridad en la Fletcher School de la Universidad de Tufts.
Renunciar al seguro también puede resultar una decisión sensata desde el punto de vista financiero para algunas empresas más pequeñas, añade John Pescatore, director de tendencias emergentes en seguridad del SANS Institute, una empresa dedicada a la formación, la certificación y la investigación en ciberseguridad. «El coste de los incidentes suele ser proporcional al número de clientes afectados, ya sea por una filtración de datos o por una interrupción de los servicios», afirma.
Según el señor Pescatore, para una pequeña empresa con menos de 10,000 clientes, el coste de una póliza puede ser inferior a 5,000 dólares al año por una cobertura de 1 millón de dólares y una franquicia de 10,000 dólares. Es probable que eso cubra los costes directos de un incidente. Sin embargo, gastar esos 10,000 dólares no significa que pueda prescindir de invertir en ciberseguridad, ya que, de hacerlo, simplemente se expondrá a sufrir ataques mucho más costosos y frecuentes.
[Lea también: El ransomware está causando estragos en el sector de los seguros cibernéticos]
Jason Rebholz, director de seguridad de la información (CISO) de Corvus Insurance, coincide en que el seguro cibernético no es adecuado para todo el mundo. No obstante, sostiene que merece la pena invertir en seguros, ya que la mayoría de las empresas carecen de la capacidad técnica o financiera para hacer frente a las filtraciones de datos, que, según estima Forrester, suponen un coste medio de 2.4 millones de dólares para las organizaciones . Aunque los costes varían considerablemente en función del nivel de cobertura necesario, la prima típica de un seguro cibernético en Estados Unidos en 2021 era de 1,589 dólares al año, según AdvisorSmith Solutions, una empresa de investigación especializada en pequeñas empresas.
«Como responsable de seguridad de la información (CISO), me encantaría disponer de un presupuesto ilimitado para gestionar los incidentes de seguridad», afirma Rebholz. «Pero tampoco tengo la falsa impresión de que alguna vez vaya a tener lo suficiente para hacer frente a cualquier cosa que se me presente». «Ahí es donde un seguro cibernético puede ser de ayuda».
Mito: Mi empresa es demasiado pequeña como para ser objeto de un ataque
La realidad: Las pequeñas empresas se enfrentan a un ciberataque, si es que aún no las ha afectado. AdvisorSmith Solutions estima que casi el 42 % de las pequeñas empresas sufrieron algún tipo de ciberataque en 2021. Hay que reconocer que el 24 % de ellos parecían ser ataques de phishing de bajo nivel de . Sin embargo, el 19 % fueron filtraciones de datos a gran escala, y el 11 % fueron ataques de ransomware que podrían haber supuesto el fin de las empresas.
La realidad es que las pequeñas y medianas empresas (pymes) no son inmunes a los ciberataques, y sufrir uno puede resultar desastroso. Según Hiscox, una aseguradora especializada en empresas, los ataques digitales suponen un coste de hasta 25,612 dólares para una pequeña empresa media. Sin embargo, según , el 66 % de los responsables de la toma de decisiones en pequeñas empresas consideran que son demasiado insignificantes o pasan demasiado desapercibidos como para que los ciberdelincuentes se fijen en ellos.
Rebholz afirma que los ataques no son tan selectivos ni tan personales como podrían creer muchos responsables de pequeñas empresas. «A los atacantes no les importa necesariamente quién sea usted», afirma. «Muchos incidentes de ransomware, por ejemplo, son ataques oportunistas de tipo « » , en los que los atacantes intentan acceder a cualquier persona sin distinción. «Si encuentran un grupo de cinco o más empresas, lanzarán ataques contra todas ellas, con la esperanza de que alguna pague».
Mito: Es arriesgado revelar demasiada información a las aseguradoras sobre sus prácticas de ciberseguridad
Realidad: Al igual que ocurre con sus solicitudes de seguros de automóvil, de salud y de vida, muchos consumidores han llegado a creer que facilitar demasiada información a una aseguradora dará lugar a primas más elevadas o al rechazo de la cobertura. Por su parte, los profesionales de la seguridad ya son reacios al riesgo y no les gusta revelar demasiados de sus secretos profesionales a nadie, y mucho menos a aseguradoras en las que no confían plenamente.
Esa reticencia a revelar demasiada información suele llevar a los directivos de las empresas a descartar la contratación de un seguro, a reducir al mínimo la información que facilitan en los formularios de solicitud —que suelen ser muy extensos— o a dar respuestas evasivas.
Sin embargo, estos enfoques no benefician a nadie, afirma Rebholz. Afirma que las aseguradoras desean disponer de la mayor cantidad posible de información actualizada, con el fin de prevenir de forma proactiva los ciberataques que podrían resultar costosos tanto para la aseguradora como para el asegurado. Al mismo tiempo, señala, las aseguradoras cibernéticas podrían ofrecer mejores tarifas a los asegurados que demuestren que siguen las mejores prácticas en materia de ciberseguridad, de forma similar a como las aseguradoras de automóviles ofrecen descuentos por conducción segura.
[Lea también: ¿Respaldarán las autoridades federales los seguros cibernéticos?]
Gary Davis, responsable principal de ciberseguridad de BlackBerry, un proveedor de software de ciberseguridad, afirma que los asegurados están empezando a adoptar una mentalidad más proactiva y se muestran más abiertos a la hora de hablar de sus estrategias de ciberseguridad. «Nuestra investigación reveló que el 64 % de las empresas estarían dispuestas a compartir información sobre su situación de seguridad con su aseguradora a cambio de unos costes más bajos en la cobertura del seguro cibernético», afirma. «El riesgo de creer en este mito es que podría ocurrir justo lo contrario: sus primas podrían aumentar debido a que sus defensas cibernéticas son débiles o vulnerables».
Mito: Las aseguradoras buscarán formas de eludir el pago de una indemnización
Realidad: Siempre existe la posibilidad de que una aseguradora deniegue una reclamación si una organización sufre un ataque. Es algo que ocurre constantemente.
«. La mayoría de las reclamaciones se están abonando». La gente simplemente se confunde con sus suposiciones sobre lo que cubren las pólizas.»Jason Rebholz, director de seguridad de la información (CISO) de Corvus Insurance
Sin embargo, por lo general, las denegaciones se producen porque las pólizas no cubren esa situación. Esta es una de las ideas erróneas más comunes que tiene la gente sobre los seguros. Por ejemplo, contratan una póliza de seguro de vivienda y se quedan atónitos al descubrir que no cubre los daños causados por un terremoto o una inundación. Del mismo modo, cuando algunas empresas sufren un ataque de ransomware, adquieren nuevo hardware como parte del proceso de recuperación y se llevan una sorpresa al descubrir que el seguro no cubre ese tipo de actualizaciones.
Rebholz afirma que las empresas no deberían rechazar los seguros cibernéticos por el mero hecho de que quizá no ofrezcan una indemnización suficiente. En cambio, deberían buscar protección sin perder de vista lo que ocurre a su alrededor. Es fundamental saber qué incluye una póliza, afirma. Si no cubre determinadas situaciones, como los gastos legales relacionados con una filial que también se vea afectada, los directivos deberían estudiar otras opciones.
[Lea también: Cómo afecta la guerra de Ucrania a los seguros de ciberseguridad]
Las aseguradoras también pueden denegar o incluso revocar la cobertura si los asegurados no cumplen con lo que declaran en las solicitudes respecto a su nivel de seguridad. En otras palabras, si afirmaran que disponen de una autenticación multifact pero, en realidad, no la utilizaran ni la mantuvieran, eso podría suponer un problema.
«Si se analiza el conjunto de los datos, la mayoría de las reclamaciones se están liquidando», afirma Rebholz. «La gente simplemente se confunde con sus suposiciones sobre lo que cubren las pólizas».
Mito: Un seguro cibernético básico es suficiente
La realidad: La mayoría de las veces en la vida, se obtiene lo que se paga. Si solo contrata un seguro de responsabilidad civil para su coche antiguo y este sufre un siniestro total, no podrá sustituirlo. Del mismo modo, si contrata el seguro cibernético más barato y se produce un incidente grave, las consecuencias podrían ser devastadoras.
«: Cuando se contrata un seguro para algo, esto puede llevar a descuidarse tanto en la práctica como en la aplicación de las normas. Tiene la sensación de que estará protegido cuando se produzca una catástrofe.»Sean O’Brien, investigador visitante del Proyecto de la Sociedad de la Información de la Facultad de Derecho de Yale
«Nuestra investigación revela que el 44 % de las empresas no cuenta con una cobertura suficiente para hacer frente a la demanda media en casos de ransomware, y que el 43 % no está cubierto en caso de gastos adicionales, como las costas judiciales y el tiempo de inactividad de los empleados», afirma Davis, de BlackBerry. «El riesgo de creer en este mito es que podría convertirse en víctima de un ataque cuyo coste potencial de recuperación supere lo que su empresa puede permitirse razonablemente».
Las empresas deberían optar por invertir en seguros cibernéticos basándose en la realidad y no en los mitos, según coincidieron en señalar los expertos entrevistados para este artículo. Al mismo tiempo, los profesionales de la seguridad no deben bajar la guardia, afirma Sean O’Brien, investigador visitante del Proyecto de la Sociedad de la Información de la Facultad de Derecho de Yale. «Cuando se contrata un seguro para algo, eso puede llevar a descuidarse tanto en la práctica como en la aplicación de las normas», afirma. «Uno tiene la sensación de que estará protegido cuando se produzca una catástrofe y, por eso, es posible que no preste toda la atención que debería».
En definitiva, sostiene O’Brien, evite que su cobertura de seguro le impida adoptar plenamente una estrategia de seguridad sólida. Al final, eso siempre da sus frutos.
