En los últimos años, cada vez resulta más difícil solicitar y renovar pólizas de seguro cibernético. El mercado de los seguros cibernéticos es más volátil que nunca, debido al aumento tanto del número total de reclamaciones presentadas como de los tipos de amenazas cibernéticas a las que se enfrentan los asegurados. En respuesta al aumento del riesgo, las aseguradoras cibernéticas han endurecido sus procedimientos de suscripción, lo que, a su vez, ha obligado a los asegurados a dedicar más tiempo y recursos al proceso de aprobación, sin tener aún la certeza del resultado.
Es posible que el proceso de suscripción de pólizas se simplifique en los próximos años, a medida que el sector de los seguros cibernéticos siga madurando y el ritmo de los cambios se vaya moderando. No obstante, mientras tanto, es fundamental que las organizaciones comprendan a la perfección el proceso de suscripción de seguros cibernéticos y busquen formas de reducir al mínimo la carga administrativa que recae sobre sus equipos.
Una breve pero fascinante historia de la suscripción de seguros cibernéticos
El seguro cibernético es un segmento relativamente reciente del mercado de los seguros. Si bien los seguros de vida y de propiedad cuentan con más de 250 años de antigüedad —e incluso el seguro de automóvil existe desde hace más de 125 años—, la primera «póliza de responsabilidad civil por seguridad en Internet» reconocida fue suscrita por AIG en 1997. De hecho, el carácter reciente de este segmento es una de las razones por las que la suscripción de seguros cibernéticos puede resultar tan compleja. En un sector que se basa en el análisis de datos históricos y en la predicción de tendencias futuras, esta falta de datos históricos supone un obstáculo a la hora de elaborar modelos sobre las expectativas de riesgo futuras.
En los primeros tiempos, las previsiones de pérdidas se basaban casi exclusivamente en la intuición y en el método de prueba y error. En muy poco tiempo, esto evolucionó hacia una perspectiva macroeconómica, en la que las previsiones de siniestros se basaban en las pérdidas generales del mercado aplicadas a un conjunto de asegurados. Sin embargo, a medida que los incidentes cibernéticos se fueron haciendo más habituales y los autores de las amenazas se volvieron más sofisticados, comenzaron a producirse tres cosas:
- Las reclamaciones superaron las previsiones, lo que provocó un aumento de los índices de siniestralidad y una disminución de la rentabilidad
- Las aseguradoras observaron que el riesgo de pérdida se concentraba en un subconjunto de asegurados, en lugar de repartirse de manera uniforme entre todos ellos.
- Las aseguradoras comenzaron a preocuparse por el riesgo sistémico o de correlación, en el que una pérdida en una póliza aumentaba la probabilidad de que se presentaran reclamaciones contra otras pólizas
Ante estos nuevos retos, las aseguradoras se vieron en la necesidad de incorporar un componente «micro» a la determinación del riesgo. Las aseguradoras se vieron obligadas a analizar exhaustivamente el perfil de riesgo de cada solicitante de póliza en particular, y ya no podían basarse únicamente en su conocimiento del riesgo general del mercado.
Situación actual: el estado actual de la suscripción
Así comenzó el desarrollo del proceso de suscripción tal y como lo conocemos hoy en día. Las solicitudes se hicieron más extensas y complejas, lo que exigió cuestionarios y anexos adicionales. A continuación tuvieron lugar conversaciones detalladas, entrevistas y visitas sobre el terreno. Además de estos cambios, las aseguradoras comenzaron a utilizar análisis «de fuera hacia dentro» del entorno del solicitante, a menudo proporcionados por un tercero externo. Y pronto se exigió a las organizaciones que cumplieran una serie de requisitos mínimos específicos —como la implementación de la autenticación multifactorial (MFA) , y , así como de capacidades de detección y respuesta en los terminales (EDR) — antes de que una aseguradora aprobara una póliza.
Si bien estas mejoras en la suscripción han aportado cierto grado de evaluación individualizada del riesgo, siguen existiendo varias deficiencias evidentes. Aunque los parques informáticos se encuentran en constante evolución a lo largo del período de vigencia de la póliza, la evaluación de suscripción se lleva a cabo en un único momento. E incluso con la mejor de las intenciones, es posible que las personas que responden a las preguntas y rellenan los formularios no siempre dispongan de toda la información necesaria para dar una respuesta precisa. A esto se suma el hecho de que las preguntas se estructuran de tal manera que faciliten la recopilación y el análisis de datos, pero que pueden impedir o dificultar la obtención de respuestas matizadas. Y aunque una respuesta pueda ser correcta para la mayor parte de un patrimonio, suele ser el eslabón más débil el que permite que se produzca una brecha de seguridad.
Al mismo tiempo, a medida que las aseguradoras recopilaban más datos y mejoraban la sofisticación de sus análisis de riesgos cibernéticos, fueron adaptando las condiciones de sus contratos. Esto incluyó el evidente aumento de las primas de las pólizas para reflejar unos índices de siniestralidad más elevados y una mayor volatilidad de las reclamaciones. Asimismo, se prestó mayor atención a las exclusiones de las pólizas, en particular a las cláusulas relativas a los «actos de guerra».
Sin embargo, en algunos casos, la aceptación general del riesgo se redujo, lo que provocó una disminución de los límites de las pólizas individuales y, en algunos casos, la no renovación de las mismas. Este último cambio impulsó la búsqueda de fuentes alternativas de absorción de riesgos, como mercados de reaseguro más amplios o, a través de los mercados de capitales, mediante los valores vinculados a seguros (ILS), a veces denominados «bonos catastróficos».
En la actualidad, la suscripción es un proceso largo, realizado manualmente y que requiere mucho tiempo, que consiste en la recopilación de datos y la realización de la debida diligencia. Sin embargo, debido a la reciente volatilidad en los precios, así como en las condiciones y los límites de las pólizas, nos encontramos en una situación en la que las relaciones entre las aseguradoras y los asegurados pueden resultar, en ocasiones, tensas. Durante el proceso de suscripción, es posible que cada una de las partes mire a la otra con cierto recelo.
Hacia dónde queremos ir: la evolución deseada
En nuestra opinión, el primer (y más importante) cambio que debe introducirse de forma generalizada en el mercado y en el proceso de suscripción es una visión compartida de la colaboración entre las aseguradoras y sus clientes. Ambas partes deben reconocer que la reducción del riesgo redunda en su interés mutuo, y que el resultado deseado es un análisis riguroso del riesgo que dé lugar a precios y condiciones justas. Redunda en interés de todos los participantes en el mercado que esta forma de transferencia de riesgo esté a disposición de quienes decidan recurrir a ella. Para ello es necesario que tanto quienes asumen el riesgo (las aseguradoras) obtengan una rentabilidad aceptable como que quienes transfieren su riesgo (los asegurados) disfruten de unas condiciones aceptables.
Si se logra fomentar este espíritu de colaboración, consideramos que el siguiente paso significativo para mejorar el proceso de suscripción consistirá en compartir los indicadores recopilados electrónicamente desde dentro del cortafuegos en relación con la seguridad cibernética de la entidad asegurada. A diferencia de los cuestionarios cumplimentados manualmente, los datos recopilados electrónicamente pueden ofrecer una visión más precisa del entorno y reducir considerablemente el tiempo y el esfuerzo necesarios para obtener una imagen clara del mismo. Los indicadores seleccionados deben ser adecuados para el análisis de riesgos de la aseguradora y presentarse con un nivel de abstracción adecuado (es decir, proporciones de un entorno que presenten una determinada característica, en lugar de datos de dispositivos u hosts individuales).
Lo ideal sería que, una vez recibidos los datos del solicitante, la aseguradora respondiera con información detallada sobre las principales conclusiones y recomendaciones de corrección ordenadas por prioridad. Una vez subsanadas las irregularidades, el solicitante podrá volver a presentar los datos para que se adopte una resolución definitiva sobre las condiciones de la póliza. Además, gracias a un proceso optimizado que elimina muchos de los pasos más laboriosos y que requieren mucho tiempo, podemos imaginar un futuro en el que las medidas de supervisión y corrección de datos se apliquen con mayor frecuencia que una vez al año, lo que contribuirá a reducir aún más el riesgo, las reclamaciones y los precios.
Los retos a los que debemos enfrentarnos juntos
Las dificultades iniciales a las que se enfrentaron las aseguradoras en los primeros tiempos del desarrollo del mercado dieron lugar a algunas consecuencias desafortunadas. A medida que los índices de siniestralidad se disparaban debido al aumento de la incidencia de los ataques —en particular, aunque no exclusivamente, los relacionados con el ransomware—, la rentabilidad se vio afectada. En respuesta a ello, las compañías aéreas redujeron el riesgo y aumentaron las tarifas. La volatilidad resultante en cuanto al coste y la disponibilidad de los seguros cibernéticos generó desconfianza entre los compradores del mercado.
En el contexto actual, una estrategia que pretenda mejorar la recopilación de datos de los asegurados podría resultar complicada. Además, a medida que el mercado se estabiliza y los límites de riesgo se relajan ligeramente, se intensifica la competencia entre las aseguradoras. Esto significa que una aseguradora concreta que intente mejorar su método de recopilación de datos corre el riesgo de perder clientes en favor de otras aseguradoras que no impongan tales exigencias.
Se trata de una situación clásica del tipo «el huevo o la gallina», agravada por el escepticismo que impera en un mercado favorable a los compradores. Ante esta situación, las aseguradoras deben transmitir un mensaje de colaboración con sus clientes. El tema de una mejor puesta en común de datos debe integrarse en un mensaje centrado en la reducción del riesgo en general, el intercambio de conocimientos especializados (tanto en materia de prevención como de respuesta ante incidentes) y la eficiencia general del proceso de suscripción. Parte de ello radica en la idea de que el intercambio electrónico de datos no tiene por objeto recopilar información nueva o diferente de la que ya se recopila actualmente mediante procesos en papel. Más bien, se trata de una forma más eficiente, más precisa y más oportuna de recopilar datos.
Sin duda, el objetivo general es facilitar una mejor comprensión del riesgo de pérdida y adaptar las condiciones de la póliza en consecuencia. No obstante, es necesario convencer a los solicitantes de que el proceso dará lugar a mejores resultados, y no a sanciones por las deficiencias detectadas. Si se les logra convencer de que las aseguradoras desean colaborar con ellos para llevar a cabo medidas correctoras y reducir los riesgos, tal vez se genere una disposición a participar. Otro aspecto que hay que tener en cuenta en este segmento de productos tan regulado es el papel que pueden desempeñar los organismos reguladores, las asociaciones del sector y, posiblemente, los intermediarios. Esta coordinación propiciaría un resultado común que mejoraría el mercado para todos los participantes.
Para obtener más información sobre los seguros cibernéticos y las estrategias para garantizar que su póliza le indemnice cuando corresponda, consulte este libro electrónico: Tanium para seguros cibernéticos.
