El seguro cibernético a menudo tiene una mala reputación.
Apagadas por el aumento de las primas, la ampliación de las exclusiones y el mayor escrutinio de las prácticas de higiene cibernética de los solicitantes, muchas empresas están eligiendo lanzar los dados e ir con poca o ninguna defensa financiera contra los ciberataques.
De hecho, solo el 55 % de las empresas norteamericanas encuestadas recientemente por BlackBerry y Corvus Insurance dijeron que tienen ciberseguro, y menos del 20 % tienen cobertura valuada en más de 600,000 USD, que fue la cantidad mediana que los atacantes de ransomware demandaron el año pasado.
Para ser justos, el ciberseguro no es para todos. Algunas empresas gigantescas no lo necesitan, ya que tienen el presupuesto y el personal para suscribir su propio riesgo. Pero otras empresas probablemente renuncian a la cobertura porque no comprenden completamente su valor.
“El seguro cibernético es probablemente el producto menos comprendido en el mercado de seguros hoy en día, y es el más desafiante”, dice Scott Godes, socio de Barnes & Thornburg LLP, un bufete de abogados a nivel nacional que representa a empresas en casos de recuperación de seguros.
A continuación, se presentan cinco mitos comunes sobre el ciberseguro, así como una verificación de la realidad de las personas internas de la industria , Focal Point , entrevistadas.
Mito: El seguro es costoso, por lo que es mejor hacerlo solo
Realidad: Sí, con la explosión de ataques de ransomware en los últimos años, las primas del seguro cibernético han aumentado. Subieron un promedio del 28 % en el primer trimestre de 2022 en comparación con el trimestre anterior, según el Consejo de Agentes y Corredores de Seguros (CIAB).
“El seguro cibernético es probablemente el producto menos comprendido en el mercado de seguros hoy en día, y es el más desafiante”.Scott Godes, socio de Barnes & Thornburg LLP
Y sí, hacerlo solo puede ser un enfoque viable para las grandes empresas que tienen enormes equipos de seguridad y se sienten seguras de su capacidad para evaluar y mitigar el riesgo, dice Josephine Wolff, profesora asociada de política de ciberseguridad en la Fletcher School de la Universidad de Tufts.
La renuncia al seguro también puede tener sentido financiero para algunas empresas más pequeñas, agrega John Pescatore, director de tendencias de seguridad emergentes en SANS Institute, una firma de capacitación, certificación e investigación de ciberseguridad. “El costo de los incidentes generalmente escala con la cantidad de clientes afectados, ya sea por una filtración de datos o una interrupción de los servicios”, dice.
Para una pequeña empresa con menos de 10,000 clientes, el costo de una póliza puede ser inferior a $5,000 al año por $1 millón en cobertura y un deducible de $10,000 , dice Pescatore. Eso probablemente cubrirá los costos duros de un incidente. Pero gastar esos $10,000 no significa que pueda omitir invertir en ciberseguridad, ya que simplemente se dejará abierto a ataques mucho más costosos y frecuentes.
[Leer también: El ransomware está afectando a la industria de los ciberseguros]
Jason Rebholz, CISO de Corvus Insurance, está de acuerdo en que el ciberseguro no es para todos. Pero sostiene que invertir en seguros vale la pena porque la mayoría de las empresas no tienen la capacidad técnica o financiera para resistir las filtraciones de datos, lo que Forrester estima que les cuesta a las organizaciones 2.4 millones de dólares en promedio. Aunque los costos varían ampliamente según el nivel de cobertura necesario, la prima típica del seguro cibernético en los Estados Unidos en 2021 era de 1,589 USD al año, según AdvisorSmith Solutions, una empresa de investigación de pequeñas empresas.
“Como CISO, me encantaría tener un presupuesto ilimitado para manejar incidentes de seguridad”, dice Rebholz. “Pero tampoco estoy bajo la percepción errónea que nunca tendría suficiente para manejar cualquier cosa que se me presente. Allí es donde el ciberseguro puede ayudar”.
Mito: Mi negocio es demasiado pequeño para ser atacado
Realidad: Un ciberataque está llegando para las pequeñas empresas, si aún no las ha afectado. AdvisorSmith Solutions estima que casi el 42 % de las pequeñas empresas experimentaron alguna forma de ciberataque en 2021. Es cierto que el 24 % de ellos parecían ser ataques de phishing de bajo nivel. Pero el 19 % eran filtraciones de datos a escala completa y el 11 % eran ataques de ransomware que potencialmente mataban a los negocios.
La realidad es que las pequeñas y medianas empresas (PYMES) no son inmunes a los ciberataques, y ser golpeado por uno puede ser desastroso. Los ataques digitales le cuestan a la pequeña empresa promedio hasta 25,612 USD, según Hiscox, un proveedor de seguros comerciales. Sin embargo, el 66 % de los responsables de la toma de decisiones de las pequeñas empresas creen que son demasiado insignificantes o infravalorados para que los ciberdelincuentes se interesen.
Rebholz dice que los ataques no son tan focalizados o personales como muchos líderes de pequeñas empresas podrían creer. “A los atacantes no necesariamente les importa quién es usted”, dice. “Muchos incidentes de ransomware, por ejemplo, son ataques oportunistas en los que los atacantes intentan obtener acceso a cualquiera y a todos. Si encuentran un lote de cinco o más empresas, lanzarán ataques contra todas ellas, esperando que una pague”.
Mito: Es riesgoso divulgar demasiado a las aseguradoras sobre sus prácticas de ciberseguridad
Realidad: Al igual que con sus solicitudes de seguro de auto, salud y vida, muchos consumidores han llegado a creer que divulgar demasiado a un proveedor de seguros dará como resultado primas más altas o la denegación de cobertura. Mientras tanto, los profesionales de seguridad ya son reacios al riesgo y no les gusta divulgar demasiados de sus secretos comerciales a nadie, ni hablar de aseguradoras en las que no confían por completo.
Esa reticencia a compartir demasiado a menudo lleva a los ejecutivos de la empresa a decidir no obtener seguro, minimizar lo que divulgan en solicitudes de seguro a menudo largas o acelerar sus respuestas.
Pero estos enfoques no benefician a nadie, dice Rebholz. Dice que las aseguradoras desean la mayor cantidad de información continua posible, para evitar proactivamente los ciberataques que podrían resultar costosos tanto para la aseguradora como para el asegurado. Al mismo tiempo, señala que las aseguradoras cibernéticas podrían ofrecer mejores tarifas a los asegurados que muestran que están siguiendo las mejores prácticas de ciberseguridad, al igual que las aseguradoras de automóviles ofrecen descuentos de conducción segura.
[Leer también: ¿Los feds respaldarán el ciberseguro?]
Gary Davis, defensor jefe de ciberseguridad de BlackBerry, un proveedor de software de ciberseguridad, dice que los asegurados están comenzando a encontrar una forma de pensar más proactiva y están siendo más francos con sus estrategias de ciberseguridad. “Nuestra investigación mostró que el 64 % de las empresas se sentirían cómodas compartiendo sus perspectivas de postura de seguridad con su aseguradora a cambio de menores costos de cobertura de seguro cibernético”, dice. “El riesgo de creer en este mito es que podría ocurrir el resultado opuesto: Sus primas podrían aumentar porque sus defensas cibernéticas son débiles o vulnerables”.
Mito: Los proveedores de seguros buscarán maneras de salir del pago de una reclamación
Realidad: Siempre es posible que una aseguradora pueda denegar una reclamación si una organización es atacada. Sucede todo el tiempo.
“La mayoría de las reclamaciones se están pagando. Las personas simplemente se ponen al día con sus suposiciones sobre lo que cubren las pólizas”.Jason Rebholz, CISO, Corvus Insurance
Pero, generalmente, las denegaciones ocurren porque las pólizas no cubren un escenario. Esta es una de las percepciones erróneas más comunes que las personas tienen sobre el seguro. Compran una póliza para propietarios de vivienda, por ejemplo, y se sorprenden al saber que no cubre los daños causados por un terremoto o una inundación. De manera similar, cuando algunas empresas se ven afectadas por un ataque de ransomware, compran nuevo hardware como parte del proceso de recuperación y se sorprenden al saber que el seguro no cubrirá ese tipo de actualizaciones.
Rebholz dice que las empresas no deben rechazar el ciberseguro porque es posible que no pague lo suficiente. En cambio, deben obtener protección con los ojos abiertos. Es vital saber qué hay en una política, dice. Si no cubre ciertos escenarios, como los costos legales relacionados con una afiliada que también se ve afectada, los ejecutivos deben investigar otras opciones.
[Leer también: Cómo la guerra de Ucrania afecta el seguro de ciberseguridad]
Las aseguradoras también pueden rechazar o incluso revocar la cobertura si los asegurados no cumplen con lo que certifican en las aplicaciones sobre su postura de seguridad. En otras palabras, si afirmaban tener autenticación multifactor pero en realidad no la usaban o mantenían, eso podría convertirse en un problema.
“Si observa todo en conjunto, la mayoría de las reclamaciones se están pagando”, dice Rebholz. “Las personas simplemente se ponen al día con sus suposiciones sobre lo que cubren las pólizas”.
Mito: El seguro cibernético básico es suficiente
Realidad: La mayoría de las veces en la vida, obtiene lo que paga. Si solo compra cobertura de responsabilidad civil para su auto más antiguo y está destruido, no podrá reemplazarlo. De manera similar, si obtiene el seguro cibernético más barato y ocurre algo grave, las consecuencias podrían ser devastadoras.
“Cuando obtiene un seguro para algo, puede hacerlo descuidado en la práctica y la póliza. Siente que va a estar cubierto cuando ocurra un desastre”.Sean O’Brien, becario visitante, Proyecto de la Sociedad de Información, Facultad de Derecho de Yale
“Nuestra investigación muestra que el 44 % de las empresas no tienen suficiente cobertura para pagar la mediana de la demanda de ransomware, y el 43 % no están cubiertas en caso de gastos auxiliares, como costos judiciales y tiempo de inactividad de los empleados”, dice Davis de BlackBerry. “El riesgo de creer en este mito es que podría convertirse en víctima de un ataque donde el costo potencial de excavar es más de lo que su negocio puede pagar razonablemente”.
Las empresas deben elegir invertir en ciberseguros en función de la realidad en lugar de los mitos, según lo acordaron los expertos entrevistados para este artículo. Al mismo tiempo, los profesionales de la seguridad no deben bajar la guardia, dice Sean O’Brien, un becario visitante del Proyecto de la Sociedad de Información en la Facultad de Derecho de Yale. “Cuando obtiene un seguro para algo, puede hacer que se descuide en la práctica y la póliza”, dice. “Siente que estará cubierto cuando ocurra un desastre y, por lo tanto, es posible que no esté tan atento como debería”.
En última instancia, argumenta O’Brien, evite dejar que su cobertura de seguro le impida adoptar completamente una estrategia de seguridad sólida. Al final, eso siempre vale la pena.
