En los últimos meses, los ciberdelincuentes han lanzado una alarmante oleada de ataques de ransomware contra empresas e infraestructuras estadounidenses. Han cerrado plantas de procesamiento cárnico, gasoductos, colegios y centros sanitarios. En todos los casos, han bloqueado los sistemas informáticos de sus víctimas y han exigido dinero a cambio de restablecer el acceso. Los pagos conocidos a estos ciberextorsionadores aumentaron un 344 %, pasando de 2019 a 2020, lo que supone un total de 416 millones de dólares en criptomonedas, según un informe de July 2021 elaborado por la plataforma de datos de blockchain Chainalysis. Este año, la cifra ya ha alcanzado los 210 millones de dólares.
En muchos casos de ransomware, las víctimas no son quienes firman los cheques (o, mejor dicho, quienes entregan los bitcoins). Sus compañías de seguros cibernéticos sí lo son. De hecho, el 70 % de las primas de los seguros cibernéticos acabó pagándose a los piratas informáticos en 2020, según Fitch Ratings.
Ante este aumento en las demandas y los pagos de ransomware, no es de extrañar que el sector de los seguros cibernéticos esté ahora subiendo sus primas y replanteándose qué cubre y cómo opera. A finales de 2020, más de la mitad de los contratantes de seguros cibernéticos vieron cómo el precio de su cobertura aumentaba entre un 10 % y un 30 %, según la Oficina de Responsabilidad Gubernamental de los Estados Unidos ( , GAO) (GAO). Las aseguradoras también se están mostrando más selectivas en cuanto a qué es lo que cubrirán exactamente y a quiénes aceptarán como clientes. En algunos casos, están estableciendo nuevas normas, reduciendo los límites de cobertura o aumentando las franquicias.
Además, están analizando con mayor profundidad los departamentos de TI y seguridad de sus clientes, y examinando sus pilas tecnológicas y sus procesos. Por ejemplo, algunas aseguradoras se niegan a ofrecer cobertura si un cliente no utiliza la autenticación multifactorial básica para acceder a su red. Algunas empresas están contratando a empresas independientes especializadas en ciberseguridad para evaluar el riesgo cibernético de un cliente y determinar su puntuación de riesgo.
De hecho, la puntuación de riesgo de se ha convertido en una herramienta muy eficaz para ambas partes. En el caso de las aseguradoras, esto puede ayudarles a comprender el perfil de seguridad de las redes, los servidores y los dispositivos finales de un cliente, lo que, a su vez, les permite establecer las condiciones de las pólizas o denegarlas por completo. Para las empresas de cualquier tamaño, la evaluación de riesgos se ha convertido en una herramienta valiosa a la hora de determinar la magnitud del riesgo y establecer prioridades. Además, proporciona a los directores de sistemas de información (CIO) y a los directores de seguridad de la información (CISO) datos claros y concretos que les permiten justificar un aumento de los presupuestos en determinadas áreas.
¿Qué cubre su seguro?
Cuando aparecieron por primera vez las pólizas de seguro cibernético en el 1990s, las aseguradoras limitaban la cobertura a los errores en el procesamiento digital. A medida que las pólizas —y la actividad delictiva en el ciberespacio— fueron evolucionando, las aseguradoras comenzaron a cubrir el acceso no autorizado, las brechas de seguridad en las redes, la pérdida de datos y los daños relacionados con virus. Las aseguradoras también ampliaron la cobertura para incluir la interrupción de la actividad empresarial y la extorsión.
De hecho, parte de esta cobertura se incluía en pólizas de seguro de propiedad o de responsabilidad civil ya existentes, lo que a menudo daba lugar a una redacción ambigua de las pólizas, lo que permitía a las aseguradoras eludir el pago de indemnizaciones cuantiosas. Hoy en día, la mayoría de los seguros cibernéticos cubren claramente la seguridad de las redes, de modo que las empresas están protegidas en caso de fuga de datos, infección por malware, ciberchantaje o ataque de ransomware.
Quedan cubiertos los costes relacionados con aspectos tales como los gastos jurídicos, la informática forense, las notificaciones a los clientes, las investigaciones regulatorias y, sí, las negociaciones y el pago de las demandas de los autores de ataques de ransomware. Algunas aseguradoras especializadas en ciberseguridad llegan incluso a ofrecer la denominada «cobertura de terceros», es decir, asumen las pérdidas y las reclamaciones tanto del tomador de la póliza como de los clientes de este que se vean afectados por un incidente cibernético.
[Lea también: ¿Qué es la respuesta ante incidentes?]
Sin embargo, el seguro cibernético suscita opiniones encontradas. Los críticos afirman que esto anima a las víctimas de ransomware a ceder a las exigencias de los delincuentes, cuando, por el contrario, deberían invertir de forma proactiva en reforzar su seguridad y sus tecnologías empresariales. Hay quienes lo consideran una medida de precaución necesaria para hacer frente a unos ciberdelincuentes cada vez más sofisticados y destructivos. En el contexto empresarial actual, hay quien incluso afirma que el seguro cibernético debería ser obligatorio, al igual que el seguro de automóvil para los conductores.
Mejorar la defensa
Por supuesto, la mejor protección frente a una violación de la seguridad cibernética es contar con una base sólida. A menudo, lo primero es consultar , donde se explican los fundamentos de una buena higiene cibernética. Disponer de una visión clara del número, el tipo y el estado operativo de los dispositivos finales conectados a su red le ayudará a evaluar su riesgo. La gestión de software , las soluciones , las plataformas de configuración y la gestión automatizada de parches son elementos fundamentales para reforzar las defensas internas de una empresa, mientras que la gestión de la privacidad de los datos permite a las organizaciones proteger la información confidencial y subsanar las infracciones de privacidad.
«El hecho de que hace tres meses lo solucionara todo no significa que hoy esté bien». Debe identificar las vulnerabilidades y actuar con rapidez.»Shawn Marriott, director de gestión de productos de Tanium
Una vez implantadas estas herramientas cibernéticas, la evaluación de riesgos permite identificar las áreas que es necesario reforzar. Esto resulta fundamental en los entornos actuales de TI y seguridad de las empresas, en los que los datos inconsistentes y puntuales procedentes de una proliferación de herramientas y de numerosas unidades de negocio diferentes hacen que resulte prácticamente imposible establecer prioridades. Además, los datos deben ser actuales. «Constantemente se descubren vulnerabilidades y vectores de ataque», afirma Shawn Marriott, director de gestión de productos de Tanium y profesional con amplia experiencia en seguridad de la información. «El hecho de que hace tres meses lo solucionara todo no significa que hoy esté bien». «Es necesario identificar las vulnerabilidades y actuar con rapidez».
La evaluación de riesgos a partir de una única plataforma de gestión y seguridad de terminales, como la de Tanium, resulta de gran ayuda. Su funcionamiento consiste en evaluar todas las áreas potenciales que puedan constituir vectores de ataque. Entre ellos se incluyen las vulnerabilidades del sistema, el cumplimiento normativo del sistema, los derechos de administrador, la identificación mediante contraseña, el software antivirus, los cortafuegos y los protocolos de cifrado. Estas herramientas pueden generar recomendaciones para mejorar la seguridad en todos los rincones o para hacer frente a las vulnerabilidades más evidentes.
[Véase también: La medición del riesgo desde una perspectiva de la cadena de suministro]
«En cualquier organización, siempre hay más cosas que hacer de las que permite el tiempo o los recursos disponibles», afirma Marriott. «La puntuación ayuda a poner de relieve cuáles son las tareas más importantes que hay que realizar». Le ofrece esta lista ordenada por prioridad: . Haga estas cosas primero, ya que serán las que tengan un mayor impacto global a la hora de reducir su puntuación. Se trata simplemente de comprender qué es lo importante y de ser capaz de responder a la pregunta: « ¿Cómo nos va?»
La evaluación de riesgos también ayuda a las empresas a integrar la ciberseguridad en sus objetivos fundamentales. Las empresas saben dar prioridad a la gestión de riesgos, y una calificación baja en materia de ciberseguridad supone un gran incentivo para que los altos directivos subsanen las brechas de seguridad y reduzcan la probabilidad de que se produzca una filtración, así como el consiguiente perjuicio para la reputación y las operaciones —por no hablar de las sanciones económicas impuestas por los organismos reguladores—.
Riesgos políticos
Algunos analistas sugieren que las amenazas de los delincuentes que utilizan ransomware llevarán a las aseguradoras a eliminar por completo la cobertura cibernética. En su informe « » (Mayo de ),, la GAO expresó su preocupación por la capacidad de las aseguradoras para ofrecer seguros cibernéticos, afirmando que «sigue siendo incierto hasta qué punto los seguros cibernéticos seguirán estando disponibles de forma generalizada y serán asequibles».
«. Sigue sin estar claro hasta qué punto los seguros cibernéticos seguirán estando disponibles de forma generalizada y serán asequibles.»Informe de la GAO sobre «seguros cibernéticos», May 2021
En lo que se considera una primicia en el sector, el gigante asegurador AXA decidió dejar de reembolsar los daños causados por ataques de rescate en Francia, después de que el fiscal jefe encargado de los delitos informáticos de ese país advirtiera de que las empresas no deben pagar a los ciberextorsionadores. Las propias aseguradoras no están a salvo de los ataques. En marzo, CNA Financial pagó 40 millones de dólares a unos piratas informáticos para recuperar el control de su red después de que unos delincuentes se infiltraran en sus sistemas y robaran datos.
A pesar de los aparentes riesgos que entraña esta póliza, se prevé que el seguro cibernético tenga un futuro prometedor. El mercado se valoró en 7.36 000 millones de dólares en 2020 y se estima que alcanzará los 27.83 000 millones de dólares en 2026, según Mordor Intelligence. Algunos observadores afirman que las aseguradoras incluirán cláusulas adicionales en sus pólizas en lugar de suprimir por completo la cobertura cibernética. Al fin y al cabo, se trata de un mercado muy rentable. Stewart Baker, abogado de Steptoe & Johnson y antiguo consejero jurídico general de la NSA, afirma: «Las aseguradoras subirán las primas e incluirán exclusiones más amplias antes de abandonar el mercado».
[Read also: Ransomware 101: what it is and how do I prevent an attack]
Y recuerde que las aseguradoras se dedican a la gestión de riesgos. Al igual que en cualquier otra iniciativa empresarial, deben reducir al mínimo los pagos para seguir siendo viables. Eso significa que en una póliza siempre habrá cláusulas de exención de responsabilidad. Y, al fin y al cabo, muchas pólizas simplemente no cubrirán el coste total de una filtración de datos.
El seguro cibernético puede resultar útil, pero solo si va acompañado de buenas prácticas de seguridad cibernética interna. Y solo si utiliza la evaluación de riesgos para identificar sus principales vulnerabilidades y priorizar su corrección antes de que un ciberdelincuente se le adelante y se vea obligado a recurrir a los peritos de seguros.