Cuando las tropas rusas invadieron Ucrania el 24 de febrero, los expertos militares occidentales se centraron en el número de efectivos y el armamento. Los políticos se reunieron para analizar las repercusiones para Europa. Y los corredores de seguros cibernéticos —que se aferraban a pólizas con cláusulas de «exclusión de guerra»— se preguntaban cómo denominar a dicha incursión.
Los medios de comunicación, desde la ABC hasta la BBC, lo calificaban de «conflicto», «invasión» o, según el término preferido por Rusia, «operación militar especial». No se trata de una guerra propiamente dicha. Al fin, la confusión verbal se disipó. El mundo occidental comenzó a pronunciar la palabra «guerra», denominando a la agresión por su nombre. Para las compañías de seguros cibernéticos, esto pareció zanjar la cuestión a su favor y dejó a los asegurados —preocupados por los ciberataques rusos— en la estacada.
En los últimos años ha aumentado la demanda de seguros cibernéticos , impulsada por el espectacular aumento de las infracciones de seguridad cibernética y la preocupación de las empresas por la prevención. El porcentaje de clientes de seguros que optaron por una cobertura cibernética pasó del 26 % en 2016 al 47 % en 2020, según un análisis reciente de la Oficina de Contabilidad del Gobierno ( ) .
La mayoría de las pólizas excluyen la cobertura de actos de guerra. Sin embargo, estas cláusulas de «guerra» pueden resultar difíciles de hacer cumplir. Por ejemplo, los Estados-nación hostiles rara vez, por no decir nunca, se atribuyen la autoría de los ciberataques contra gobiernos y empresas extranjeros. Además, países como Rusia y Corea del Norte dan cobijo a organizaciones de ciberdelincuentes y a hacktivistas, cuyos ataques, aunque estén alineados con los intereses de la patria, no se consideran actos de guerra.
Las aseguradoras no se arriesgan en absoluto. Son muchos los que están redactando nuevas cláusulas con el fin de protegerse frente a los riesgos ampliando el número de exclusiones de la cobertura. «Chubb ha hecho pública su estrategia de limitar la cobertura ante sucesos de gran alcance», y otra entidad del sector está barajando la misma estrategia,
según declaró recientementeMónica Tigleanu, suscriptora sénior de riesgos cibernéticos del gigante alemán de reaseguros Munich Re, a Endpoint.
«En el mercado de los seguros existe una gran sensibilidad ante el riesgo sistémico», explica, «y las exclusiones constituyen otra forma de gestionar ese riesgo».
Esto debería poner en alerta a los asegurados, al igual que la advertencia del presidente Biden del lunes: «Cuanto más acorralado se sienta Putin, mayor será la gravedad de las tácticas que pueda emplear…». «Una de las herramientas que, en mi opinión, en nuestra opinión, es más probable que utilice son los ciberataques». Por si quedara alguna duda, él añadió: «La magnitud de la capacidad cibernética de Rusia es bastante considerable, y ya está en camino».
Esto significa que la presión a la que se ven sometidos los responsables del mundo empresarial, tecnológico y de la ciberseguridad nunca ha sido tan grande. Deben detectar y mitigar los riesgos digitales, formar a sus trabajadores sobre la importancia de una higiene cibernética adecuada, al tiempo que calculan con exactitud qué cubrirán y qué no cubrirán sus aseguradoras cuando se produzca una inevitable violación de la seguridad.
Haya guerra o no, deben estar preparados.
¿Por qué es que excluye la guerra de su póliza de seguro cibernético?
Las cláusulas de exclusión por guerra aparecieron por primera vez en los contratos de seguro en el año 1930s , como respuesta a la Guerra Civil Española. Para algunos, pueden parecer una excusa, simplemente otra forma que tienen las compañías de seguros de eludir el pago a sus clientes. Sin embargo, el verdadero objetivo de estas exclusiones es proteger a las aseguradoras frente a sucesos tan catastróficos que, de tener que pagar todas las indemnizaciones, acabarían en quiebra. Eso también nos protege al resto. No tiene sentido tener un seguro si su compañía aseguradora se va a quedar sin fondos.
Sin embargo, las aseguradoras redactaron las cláusulas de guerra originales durante un conflicto bélico real, cuando los daños a las personas y a los bienes eran de carácter físico. La guerra cibernética es más difícil de detectar.
«. En el mercado de los seguros existe una gran sensibilidad ante el riesgo sistémico, y las exclusiones constituyen otra forma de gestionar dicho riesgo.»Monica Tigleanu, suscriptora sénior de seguros cibernéticos, Munich Re
Además, resulta más difícil de definir. En 2013, el exdirector de la CIA, Michael Hayden, calificó una oleada de ciberataques patrocinados por el Estado y procedentes de China como algo comparable a lo ocurrido en Hiroshima. Un año después, el senador John McCain, republicano por Arizona, afirmó que el ataque informático de Corea del Norte contra Sony Pictures Entertainment era «
»una nueva forma de guerra. No es así, afirmó el presidente Obama, quien calificó la filtración de Sony en
como «cibervandalismo» y «no un acto de guerra».
Tres años después, el ciberataque NotPetya, que afectó a empresas de todo el mundo y causó daños por valor de entre 2 000 y 10 000 millones de dólares, también se consideró un acto de vandalismo, a pesar de que tanto el Gobierno de Estados Unidos como el del Reino Unido atribuyeron el ataque al ejército ruso.
NotPetya había atacado el sector financiero de Ucrania. Sin embargo, se hizo viral y se extendió por todo el mundo gracias a las redes informáticas interconectadas a escala mundial. El gigante farmacéutico Merck & Co. afirmó que sufrió pérdidas por valor de 1.4 000 millones de dólares a raíz del ataque. Sin embargo, las casi tres docenas de compañías de seguros rechazaron la reclamación, alegando la cláusula de exclusión por guerra.
Merck demandó a sus aseguradoras de ciberriesgos… y ganó
El pasado mes de diciembre, un juez de Nueva Jersey falló a favor del gigante farmacéutico. El juez del Tribunal de Apelación de la Región de Londres ( ) dictaminó que la cláusula de exclusión de la guerra se refería a los conflictos armados. El juez señaló además que, si las aseguradoras hubieran querido evitar el pago de tales ciberataques, deberían haber modificado la redacción para definir dichos sucesos.
La póliza de Merck era lo que se conoce como una póliza a todo riesgo. Tal y como escribió Michael Bahar, socio especializado en litigios de Eversheds Sutherland y antiguo asesor jurídico adjunto del Consejo de Seguridad Nacional, en un informe reciente de : «Las pólizas a todo riesgo están diseñadas para ofrecer cobertura frente a daños físicos a los bienes; sin embargo, muchas pólizas anteriores a 2018 no excluyen, ni explícita ni implícitamente, el riesgo cibernético y, por lo tanto, pueden ofrecer una cobertura que el sector asegurador denomina “silent cyber”».
En consecuencia, Bahar recomendó que, a la luz del caso Merck y debido a la nueva inestabilidad geopolítica y al mayor riesgo de ciberataques, las empresas deberían examinar detenidamente sus pólizas de seguro «para garantizar una cobertura suficiente».
Hoy en día, las empresas suelen recurrir a pólizas de seguro específicas para riesgos cibernéticos. De hecho, a las empresas que contaban con este tipo de pólizas no se les denegaron las reclamaciones relacionadas con NotPetya.
[Lea también: El exministro de Defensa sobre la ciberseguridad: «Somos nuestro peor enemigo»]
Sin embargo, las aseguradoras están preocupadas. Los ataques de ransomware de tipo « » siguen aumentando vertiginosamente. Las tarifas de los seguros están aumentando (un 130 % en EE. UU. y un 92 % en el Reino Unido durante el cuarto trimestre de 2021, según Marsh, una aseguradora líder). «Si la ciberdelincuencia sigue sin control, [los seguros] pasarán a ser inasequibles», señaló Adrian Cox, director ejecutivo de la aseguradora londinense Beazley, en el artículo « » (La ciberdelincuencia: ¿un riesgo de seguros inasequible?) publicado el mes pasado en el Financial Times .
Refuerce su protección con unas prácticas básicas de ciberseguridad
Aunque ningún experto en seguridad puede garantizar un futuro libre de ciberataques (ni de los litigios que puedan derivarse de ellos), existen algunas prácticas básicas de «higiene cibernética» que los líderes empresariales y tecnológicos pueden adoptar para reducir su riesgo.
- Lea la letra pequeña. En primer lugar, debería examinar detenidamente sus pólizas de seguro para determinar si le ofrecen la cobertura cibernética adecuada. «Y cuando haya dudas», señala el abogado Bahar, «debería procurarse aportar mayor claridad».
La Lloyd’s Market Association, una asociación sectorial del mercado de Lloyd’s de Londres, redactó en noviembre cuatro nuevas cláusulas que podrían sustituir o complementar la cláusula estándar de exclusión de riesgos de guerra en futuras pólizas cibernéticas. Por el momento, no está claro si alguno de sus 350 corredores ha adoptado la nueva redacción.
- Practique la ciberhigiene. No se trata simplemente de un consejo entusiasta que se pueda ignorar, como esas animaciones de su instructor de Peloton. Las compañías de seguros cibernéticos exigen ahora «mejores requisitos de higiene cibernética para los asegurados, como la autenticación multifactorial», afirma Fitch Ratings en una publicación de Fitch Wire titulada « » (La ciberseguridad se convierte en un requisito para las pólizas de seguro cibernético), disponible en , a principios de este mes.
- Evalúe su riesgo cibernético. Una puntuación de riesgo cibernético de puede alertar a una empresa sobre los puntos débiles de su estrategia de ciberseguridad y poner de relieve errores evitables, como no instalar las actualizaciones de software o no gestionar las configuraciones. La puntuación de riesgo también pone de manifiesto sus puntos fuertes. Al igual que una tarjeta de visita o una herramienta de marketing, es una forma de dar a conocer las capacidades cibernéticas de su organización a las aseguradoras, a los consejos de administración y a los socios de la cadena de suministro. Incluso una puntuación de riesgo baja resulta útil, ya que proporciona a los responsables de seguridad los datos precisos y necesarios para establecer nuevas prioridades y aumentar los presupuestos de TI.
- Automatice todo lo que pueda. Nunca está de más repetirlo. Los departamentos de TI se encuentran con falta de personal; los trabajadores están agotados. Las herramientas de automatización reducen el riesgo de error humano; refuerzan su equipo de seguridad, sustituyendo las tareas manuales por scripts y archivos de configuración gestionados por máquinas. Pueden encargarse de una gran variedad de tareas de bajo nivel, desde el restablecimiento de contraseñas hasta la gestión de parches , pasando por la identificación y mitigación de amenazas. Pueden mejorar la respuesta ante incidentes al consolidar la información sobre amenazas procedente de múltiples fuentes, y el hecho de que los piratas informáticos también estén utilizando estas herramientas (hola, NotPetya) lo dice todo.
Las herramientas de automatización también transmiten información a las aseguradoras, lo que demuestra que, a pesar de contar con una plantilla reducida o un presupuesto limitado, sus sistemas de seguridad se configuran, se actualizan y se restablecen las contraseñas de forma rápida y periódica.
[Lea también: Por qué seguimos necesitando el Día Mundial de la Contraseña]
- Establezca una buena relación con el suscriptor de su póliza de seguro cibernético. Las aseguradoras están exigiendo más a sus clientes. Literalmente, los cuestionarios que se utilizan para fijar las tarifas son cada vez más extensos y detallados. No se lo tome a mal. «Si tiene la sensación de que le están sometiendo a un interrogatorio… es porque necesitamos comprender [su negocio] lo mejor posible», afirmó Paul Gooch, suscriptor de seguros cibernéticos de Tokio Marine Kiln, en el podcast « : Unsolicited Response» (: Respuesta no solicitada) de Dale Peterson, disponible en . «Intente no verlo como algo conflictivo».
Ese último consejo es válido tanto en tiempos de guerra como de paz. Por muy fácil que resulte imaginarse a los aseguradores como unos señores Burns — , que se frotan los dedos— , empeñados en sacarles a los clientes todo el dinero posible, la realidad es menos pintoresca. Si las aseguradoras rechazaran a todos los clientes y denegaran todas las reclamaciones, el mercado no existiría.
La suscriptora de seguros cibernéticos Mónica Tigleanu, de Munich Re, se mostró de acuerdo. «Es importante que la comunidad informe a los suscriptores [sobre] por qué tomaron determinadas decisiones», afirmó. «Solo tenemos que comprender los mecanismos de control existentes que permitirán a los propietarios de esos activos hacer frente a las adversidades».
