Tras alcanzar niveles desorbitados durante la pandemia, cuando de repente todo el mundo tuvo que trabajar a distancia, las primas de los seguros cibernéticos han descendido considerablemente. Lo ha leído bien: ha bajado considerablemente.
Entonces, ¿qué ha cambiado y cuál es el truco?
Un informe reciente titulado « » ( ), elaborado por Howden —una correduría y aseguradora con sede en el Reino Unido—, reveló que las primas de los seguros cibernéticos han descendido un 15 % a nivel mundial desde su punto álgido a mediados de 2022, a pesar de un panorama de amenazas cada vez más complejo. Además de las reducciones, que varían según la región, Howden señala que la capacidad ha aumentado y que las aseguradoras se muestran ahora más dispuestas a elevar los límites, eliminar las restricciones de cobertura relacionadas con el ransomware y reducir los niveles de retención. Mientras tanto, las tarifas en EE. UU. cayeron un 5 % en el segundo trimestre de este año, lo que supone el quinto trimestre consecutivo en el que se registra un descenso de las tarifas, según Marsh, una aseguradora con sede en Nueva York.
Howden y los expertos del sector afirman que la maduración del sector y el aumento de la competencia son los principales responsables de la caída de los precios. De hecho, según se ha informado, S&P Global afirma que la cobertura contra riesgos cibernéticos es actualmente uno de los productos de seguros de más rápido crecimiento y se prevé que supere los 20 000 millones de dólares en 2025, frente a los aproximadamente 15 000 millones de dólares registrados en 2023.
Hace tan solo unos años, cuando los tipos de interés alcanzaban su nivel máximo, la situación era muy diferente. En aquel momento, el seguro cibernético seguía siendo un producto relativamente nuevo en comparación con los seguros de hogar, de vida y de automóvil. Las aseguradoras aún no habían determinado qué tarifa aplicar para obtener beneficios.
La situación empeoró considerablemente durante la pandemia, ya que millones de trabajadores se vieron obligados de repente a trabajar a distancia, lo que aumentó la preocupación por la privacidad de los datos y provocó un repunte de la ciberdelincuencia. Algunas aseguradoras respondieron restringiendo la cobertura, añadiendo exclusiones (especialmente para los ataques de ransomware) y subiendo las primas. Otras compañías aéreas abandonaron el sector por completo.
Ahora la situación ha cambiado por completo. Sin embargo, hasta ahora las empresas no se han mostrado muy receptivas, al menos no del todo. Y hay una buena razón (aunque no del todo sólida) para ello.
Un mercado de seguros cibernéticos estabilizado
Las aseguradoras ya han perfeccionado en gran medida sus modelos de negocio, saben cómo obtener beneficios y compiten por captar nuevos clientes, a pesar de que siguen produciéndose incidentes de seguridad de gran envergadura.
«El coste de los seguros cibernéticos sigue bajando, a pesar de los continuos ataques, la creciente inestabilidad geopolítica y la proliferación de la IA general.»Sarah Heild, directora de comercio electrónico de Howden
«La dinámica favorable (sic) se ha mantenido en 2024, y el coste de los seguros cibernéticos sigue descendiendo, a pesar de los continuos ataques, la creciente inestabilidad geopolítica y la proliferación de la IA general», afirmó Sarah Heild, directora de ciberseguridad para el sector minorista de Howden, en un comunicado. «Ya se han sentado las bases para un mercado cibernético maduro, cuyo núcleo lo constituyen la innovación y el crecimiento impulsado por la visibilidad».
Traducción: El sector de los seguros cibernéticos ha logrado por fin definir sus modelos de suscripción, por lo que la situación se ha estabilizado. Los beneficios de la suscripción son sólidos y se prevé que sigan siéndolo. Además, las aseguradoras están captando clientes haciendo hincapié en los crecientes riesgos cibernéticos , al tiempo que ofrecen atractivas ofertas para asegurarse contra ellos.
[Lea también: 5 mitos —y realidades— sobre los seguros cibernéticos]
Parece que es un mercado favorable para los compradores. Y, sin embargo, son pocos los compradores que se benefician de ello. Aunque los datos indican que la mayoría de los responsables de la toma de decisiones en materia de tecnología de seguridad empresarial cuentan con algún tipo de cobertura de seguro cibernético, solo uno de cada cuatro disponía de una póliza independiente de cada 2023, según Forrester.
Por qué el seguro cibernético suscita escepticismo
Ilia Kolochenko, socio de Platt Law LLP —un bufete de abogados con sede en Washington D. C. y Nueva York especializado en ciberseguridad— y director ejecutivo de ImmuniWeb, una empresa global dedicada a la seguridad de aplicaciones, afirma que una de las razones principales es que muchas empresas no comprenden el producto. Hay quien lo ve como una disyuntiva: o bien se contrata un seguro cibernético para protegerse frente a un incidente, o bien se invierte en tecnología de ciberseguridad para prevenir los incidentes. Pero no se hacen las dos cosas a la vez. Kolochenko afirma que otras empresas se muestran simplemente escépticas respecto a los motivos de las aseguradoras. Temen que, si sufren un incidente cibernético, las aseguradoras aleguen todo tipo de cláusulas ocultas, topes, límites y exclusiones para evitar el pago, dejándoles en la estacada.
«En el caso de productos complejos como los seguros cibernéticos, cuando los precios bajan, es probable que eso signifique que algo ha cambiado. Si algo ha mejorado, es más probable que haya sido en beneficio de la aseguradora que del asegurado.»Ilia Kolochenko, socio de Platt Law LLP
Y hay algo que decir al respecto. Sin duda, las reclamaciones están aumentando: por ejemplo, Marsh anunció que sus clientes de Estados Unidos y Canadá presentaron 1,800 reclamaciones de seguros cibernéticos en 2023, lo que supone un récord para la empresa. Sin embargo, según Security Boulevard , , el 99 % de las empresas que presentaron reclamaciones ese año no recibieron el reembolso íntegro, ya que sus gastos superaron los límites de la póliza. Los límites de cobertura oscilan entre 500,000 y 5 millones de dólares por siniestro, según Embroker, una empresa de seguros comerciales. Por su parte, IBM, según se indica en y se recoge en , señaló que el coste medio mundial de una filtración de datos en 2024 ascendió a 4.88 millones de dólares, lo que supone un incremento del 10 % con respecto al año anterior.
Kolochenko relata la historia de un director de seguridad de la información (CISO) de , , que trabajaba en una organización que sufrió una filtración de datos, presentó una reclamación a su seguro cibernético y se llevó una grata sorpresa cuando su aseguradora le abonó la totalidad de la indemnización sin hacer preguntas.
«Estaba muy contento y dijo: “Probablemente deberíamos empezar a recortar nuestro presupuesto de ciberseguridad”.» «Ya no necesitamos esos controles de seguridad; ¡tenemos un seguro cibernético!»»
Posteriormente, el entusiasmo se fue apagando. Unos meses más tarde, el cliente llamó a Kolochenko muy alarmado para comunicarle que su empresa había sufrido otro ciberataque y que necesitaba ayuda.
«Me dijo: “Escuche, Ilia, según nuestro contrato, solo un siniestro está cubierto por el seguro por año natural”. Este es nuestro segundo incidente. Se trata de una filtración de datos de gran magnitud en , y es probable que suframos pérdidas por valor de millones. Sin embargo, nuestra aseguradora nos manda respetuosamente al infierno, alegando que ya ha abonado varios miles de dólares por nuestra reclamación anterior. «¿Qué debemos hacer?»
Mantenga los ojos bien abiertos
Kolochenko afirma que este tipo de historias de terror no deberían disuadir a las empresas de plantearse contratar un seguro cibernético, sobre todo teniendo en cuenta que las primas son más bajas en la actualidad. De hecho, deberían hacerlo. No obstante, afirma que las empresas deben evaluar las opciones normativas con total lucidez y dedicar el tiempo necesario a comprenderlas, ya que pueden resultar complejas.
«Puede traer a su director de TI a la sala y mantener una conversación bastante técnica sobre lo que contiene esa aplicación.»Peter Hedberg, vicepresidente de suscripción de seguros cibernéticos de Corvus Insurance
Además de que su responsable de contratación de seguros y su director financiero se reúnan con su aseguradora, «puede invitar a su director de TI a la reunión y mantener una conversación bastante técnica sobre el contenido de esa solicitud», afirma Peter Hedberg, vicepresidente de suscripción de riesgos cibernéticos de Corvus Insurance. «Si son capaces de profundizar en esos temas, eso es señal de que se trata de un agente bastante bueno». «Porque ahora es una cuestión técnica».
Esto es aún más cierto cuando bajan los precios.
«Cuando bajan los precios de productos básicos, como una lata de Coca-Cola o un coche de GM, eso suele ser positivo para los consumidores», afirma Kolochenko. «Sin embargo, en el caso de productos complejos como los seguros cibernéticos, cuando los precios bajan, es probable que eso signifique que algo ha cambiado». Si algo ha mejorado, es más probable que haya sido en beneficio de la aseguradora que del asegurado. Si una oferta parece demasiado buena para ser verdad, podría serlo. «No obstante, siempre recomiendo que examine detenidamente los términos y condiciones, que hable con su aseguradora y que se asegure de que ambos están de acuerdo, al tiempo que conserva toda la correspondencia escrita con ella sobre su interpretación mutua de las cláusulas del contrato y su significado».
El control no consiste en que un miembro de la empresa revise la documentación o llame a un corredor de seguros. Más bien, sugiere contar con un grupo multidisciplinar de personas implicadas, al igual que las compañías de seguros.
«El seguro cibernético es una combinación de ciencia, arte y derecho», afirma Kolochenko. «Es imprescindible contar con expertos en tecnología, profesionales especializados en gestión de riesgos y abogados con experiencia en ciberseguridad para que participen en la evaluación de las políticas».
