Cuando las tropas rusas invadieron Ucrania el 24 de febrero, los expertos militares occidentales se enfocaron en el tamaño de la tropa y el armamento. Los políticos se reunieron sobre las ramificaciones para Europa. Y a los corredores de seguros cibernéticos, que agrupan pólizas con cláusulas de “exclusión de guerra”, les preocupa cómo llamar a la incursión.
Los medios de comunicación de ABC a la BBC lo llamaban “conflicto”, “invasión” o, el término preferido de Rusia, “operación militar especial”. No es una guerra real. Finalmente, se levantó la niebla verbal. El mundo occidental comenzó a pronunciar la palabra “guerra”, llamando al ataque lo que es. Para las compañías de ciberseguros, eso parecía resolver el asunto a su favor y dejó a los asegurados, con miedo a los ciberataques rusos, en frío.
La prisa por comprar ciberseguros ha crecido en los últimos años, impulsada por el aumento drástico de las ciberinfracciones y la preocupación corporativa por la prevención. Los clientes de seguros que optaron por la cobertura cibernética aumentaron del 26 % en 2016 al 47 % en 2020, según un análisis reciente de la Oficina de Contabilidad Gubernamental.
La mayoría de las pólizas excluyen la cobertura para actos de guerra. Pero dichas cláusulas de “guerra” pueden ser difíciles de aplicar. Por ejemplo, los estados-nación adversarios rara vez, o nunca, se atribuyen el crédito de los ciberataques a gobiernos y empresas extranjeras. Además, naciones como Rusia y Corea del Norte albergan a sindicados ciberdelincuentes y hacktivistas, cuyos ataques, incluso si están alineados con la tierra madre, no se consideran actos de guerra.
Las aseguradoras no se arriesgan. Muchos están redactando nuevas cláusulas, buscando cubrir sus riesgos expandiendo la cantidad de exclusiones de cobertura. “Chubb se ha hecho pública con su estrategia de limitar la cobertura para eventos generalizados”, y otro mercado está considerando la misma estrategia, Monica Tigleanu, suscriptora cibernética sénior del gigante alemán de reaseguros Munich Re,
dijo recientemente a Endpoint.
“Hay mucha sensibilidad al riesgo sistémico en el mercado de seguros”, explica, “y las exclusiones son otra forma de gestionar ese riesgo”.
Eso debería poner a los asegurados en alerta, al igual que la advertencia del presidente Biden el lunes: “Cuanto más se encuentre la espalda de Putin contra la pared, mayor será la gravedad de las tácticas que pueda emplear... Una de las herramientas que es más probable que use, en mi opinión, en nuestra opinión, son los ciberataques”. En caso de que hubiera alguna duda, agregó: “La magnitud de la capacidad cibernética de Rusia es bastante consecuente y está por venir”.
Eso significa que la presión sobre los líderes comerciales, tecnológicos y de ciberseguridad nunca ha sido mayor. Deben detectar y mitigar los riesgos digitales, educar a sus trabajadores sobre el valor de una higiene cibernética adecuada, todo mientras calculan exactamente lo que sus aseguradoras pagarán y no pagarán cuando ocurra una filtración inevitable.
Guerra o ausencia de guerra, deben estar preparados.
¿Por qué es esa exclusión de guerra en su póliza de seguro cibernético?
Las exclusiones de guerra aparecieron por primera vez en los contratos de seguro en el 1930s en respuesta a la Guerra Civil española. Pueden parecer un policía para algunos, solo otra forma de que las compañías de seguros se salgan del pago a los clientes. Pero el objetivo real de estas exclusiones es proteger a las aseguradoras de eventos tan catastróficos que se pondrían en bancarrota tratando de pagar todas las reclamaciones. Eso también nos protege al resto. No tiene sentido tener un seguro si su compañía de seguros se quedará sin fondos.
Pero las aseguradoras redactaron las cláusulas de guerra originales durante una guerra real, cuando el daño a las personas y la propiedad era físico. La ciberguerra es más difícil de detectar.
“Hay mucha sensibilidad al riesgo sistémico en el mercado de seguros, y las exclusiones son otra forma de gestionar ese riesgo”.Mónica Tigleanu, suscriptora cibernética sénior, Munich Re
También es más difícil de definir. En 2013, el exdirector de CIA Michael Hayden denominó una erupción de ciberataques patrocinados por el estado que se originaron en China similar a Hiroshima. Un año después, el senador John McCain, R-Ariz., dijo que el hackeo de Corea del Norte de Sony Pictures Entertainment era
“una nueva forma de guerra”. No es así, dijo
el presidente Obama, quien llamó a Sony “cibervandalismo” y “no un acto de guerra”.
Tres años después de eso, el ciberataque de NotPetya, que afectó a empresas de todo el mundo y causó daños de 2 000 a 10 000 millones de USD, también se consideró vandalismo, aunque tanto los gobiernos de los EE. UU. como del Reino Unido atribuyeron el ataque al ejército ruso.
NotPetya se había dirigido al sector financiero de Ucrania. Pero se volvió viral y global gracias a las redes informáticas interconectadas del mundo. El gigante farmacéutico Merck & Co. afirmó que sufrió 1.4 000 millones de dólares en pérdidas en el ataque. Pero sus casi tres docenas de compañías de seguros rechazaron la reclamación, citando la exclusión de la guerra.
Merck demandó a sus proveedores de ciberseguros y ganó
El pasado mes de diciembre, un juez de Nueva Jersey acompañó al gigante farmacéutico. El juez dictaminó que la cláusula de exclusión de guerra se relacionaba con el conflicto armado. El juez señaló además que si las aseguradoras hubieran querido evitar pagar por dichos ciberataques, deberían haber cambiado la redacción para definir esos eventos.
La política de Merck era lo que se conoce como política de todos los riesgos. Como escribió Michael Bahar, socio de litigios de Eversheds Sutherland y ex asesor legal adjunto del Consejo de Seguridad Nacional, en un informe reciente: “Las pólizas de All-Risks están diseñadas para proporcionar cobertura contra daños físicos a la propiedad, pero muchas pólizas anteriores a 2018 no excluyen explícita o implícitamente el riesgo cibernético y, por lo tanto, pueden proporcionar cobertura, denominada “cibernética silenciosa” por la industria de seguros”.
Como resultado, Bahar informó que, a la luz del caso de Merck, y debido a la nueva inestabilidad geopolítica y al mayor riesgo de ciberataques, las empresas deben examinar detenidamente sus pólizas de seguro “para garantizar una cobertura suficiente”.
Hoy en día, las empresas con frecuencia confían en pólizas de seguro ciberespecíficas. De hecho, a las empresas con dichas pólizas no se les denegaron sus reclamaciones de NotPetya.
[Leer también: Exjefe de defensa sobre ciberseguridad: “Somos nuestro peor enemigo”]
Pero las aseguradoras están preocupadas. Los ataques de ransomware continúan aumentando. Las tasas de seguros están aumentando (130 % en los EE. UU. y 92 % en el Reino Unido en el cuarto trimestre de 2021, según Marsh, una aseguradora líder). “Si la ciberdelincuencia continúa sin control, [seguro] se volverá inasequible”, señaló Adrian Cox, director ejecutivo de la aseguradora Beazley, con sede en Londres, en Financial Times el mes pasado.
Fortalezca su cobertura con higiene cibernética básica
Aunque ningún experto en seguridad puede garantizar un futuro libre de ciberataques (o el litigio que puede surgir de ellos), hay algunas prácticas básicas de higiene cibernética que los líderes comerciales y tecnológicos pueden adoptar para reducir su riesgo.
- Lea la letra pequeña. Primero, debe examinar detenidamente sus pólizas de seguro para determinar si tienen la cobertura cibernética adecuada para usted. “Y donde haya dudas”, señala el abogado Bahar, usted “debería buscar incluir mayor claridad”.
Lloyd’s Market Association, un grupo comercial de seguros para el mercado de Lloyd’s of London, en noviembre escribió cuatro nuevas cláusulas que podrían reemplazar o complementar la cláusula estándar de exclusión de guerra en futuras pólizas cibernéticas. Actualmente no está claro si alguno de sus 350 corredores ha adoptado la nueva redacción.
- Practique la higiene cibernética. Este no es solo un consejo entusiasta para ignorar como esos gritos de su instructor de Peloton. Las compañías de seguro cibernético ahora exigen “mejores requisitos de protección cibernética para los asegurados, como la autenticación multifactor”, afirma Fitch Ratings en una publicación de Fitch Wire a principios de este mes.
- Evalúe su riesgo cibernético. Un puntaje de riesgo cibernético puede alertar a una empresa sobre debilidades en su estrategia de ciberseguridad y destacar errores evitables, como no instalar actualizaciones de software o administrar configuraciones. La calificación de riesgos también muestra sus fortalezas. Al igual que una tarjeta de llamada o una herramienta de marketing, es una manera de anunciar los atributos cibernéticos de su organización a aseguradoras, juntas ejecutivas y socios de la cadena de suministro. Incluso un puntaje de riesgo deficiente es útil, lo que brinda a los líderes de seguridad los datos precisos y necesarios para establecer nuevas prioridades y aumentar los presupuestos de TI.
- Automatice siempre que pueda. Esto no se puede repetir lo suficiente. Los departamentos de TI no tienen personal suficiente; los trabajadores están agotados. Las herramientas de automatización reducen el riesgo de error humano; refuerzan su escuadrón de seguridad, reemplazando las disposiciones manuales con scripts y archivos de configuración administrados por máquinas. Pueden manejar una gran cantidad de tareas de bajo nivel, desde restablecimientos de contraseña hasta gestión de parches e identificación y mitigación de amenazas. Pueden mejorar la respuesta a incidentes consolidando la información de amenazas de múltiples fuentes, y el hecho de que los hackers también estén utilizando estas herramientas (hola, NotPetya) dice mucho.
Las herramientas de automatización también se comunican con los aseguradores de seguros, lo que demuestra que, a pesar de tener poco personal o presupuestos limitados, sus sistemas de seguridad están configurando, aplicando parches y restableciendo la contraseña de manera rápida y regular.
[Leer también: Por qué aún necesitamos el Día Mundial de la Contraseña]
- Haga amigos con su asegurador de póliza de seguro cibernético. Las aseguradoras están preguntando a más clientes. Literalmente, los cuestionarios utilizados para establecer tarifas se están volviendo más largos y detallados. No tome eso de la manera incorrecta. “Si siente que está siendo asado... es porque necesitamos entender lo mejor posible [de su negocio]”, dijo Paul Gooch, asegurador cibernético de Tokio Marine Kiln, en el podcast Respuesta no solicitada de Dale Peterson. “Intente no verlo como adversario”.
Ese último consejo se aplica en tiempos de guerra o paz. Tan fácil como sea imaginar a los aseguradores como frotar la yema del dedo al Sr. Burnses para extorsionar tanto dinero de los clientes como sea posible, la realidad es menos colorida. Si los aseguradores rechazaran a todos los clientes y denegaran todas las reclamaciones, el mercado no existiría.
Monica Tigleanu, de Munich Re, suscriptora cibernética, estuvo de acuerdo. “Es importante que la comunidad eduque a los aseguradores [en cuanto a] por qué tomaron ciertas decisiones”, dijo. “Solo necesitamos entender los controles implementados que harán que esos propietarios de activos sean resilientes”.
