Muchos directivos tienen la impresión de que las aseguradoras están abandonando el mercado de la ciberseguridad, dado el vertiginoso aumento de las indemnizaciones tras el repunte de los ataques de ransomware.
Bueno, eso no es del todo cierto.
Aunque hay indicios anecdóticos que sugieren que algunas aseguradoras más pequeñas están limitando o eliminando la cobertura cibernética, la mayoría de las aseguradoras, corredores y reaseguradoras encuestadas por Endpoint siguen estando muy presentes en este sector. De hecho, Fitch Ratings, la agencia que asigna calificaciones crediticias a las aseguradoras, afirma que el mercado estadounidense de seguros cibernéticos , valorado en 4.8 000 millones de dólares, creció un 74 % en 2021. GlobalData prevé que las primas brutas emitidas superarán los 20 000 millones de dólares en un 2025 .
«El seguro cibernético se ha convertido en el segmento de más rápido crecimiento del mercado estadounidense de seguros de daños materiales y de responsabilidad civil, ya que la evolución de las amenazas ha impulsado la demanda de cobertura», afirma Gerry Glombicki, director sénior de
Fitch Ratings.
Sin embargo, a pesar de dar la impresión de ser un mercado próspero, el sector de los seguros cibernéticos se encuentra en una encrucijada. Las aseguradoras siguen obteniendo beneficios, pero también están revisando en profundidad sus modelos de suscripción para adaptarse a el perfil de riesgo en constante evolución.
La conclusión para los responsables financieros y otros directivos que buscan pólizas es la siguiente: los seguros cibernéticos siguen estando ampliamente disponibles, pero las organizaciones tendrán que pagar más y cumplir una serie de requisitos adicionales a cambio de una protección considerablemente menor.
¿Qué cubre el seguro cibernético?
Los directivos que se inician en este ámbito deben saber que el seguro cibernético funciona de manera muy similar a cualquier otro tipo de seguro. Las empresas solicitan la cobertura a los corredores o a las aseguradoras. Las aseguradoras evalúan el nivel de seguridad de los solicitantes para asegurarse de que cada uno de ellos adopta las precauciones básicas contra los ciberataques que podrían provocar un tiempo de inactividad considerable y una pérdida de ingresos.
«. Prevemos que la mayoría de nuestros clientes se enfrentarán a algún tipo de ciberataque cada cinco o siete años.»David Anderson, director de ciberseguridad para EE. UU. de McGill and Partners
Las aseguradoras consultan modelos en constante evolución para determinar qué cobertura están dispuestas a ofrecer y a qué tarifa. Si todo está en orden, se emite la póliza y, por lo general, la aseguradora transfiere una parte del riesgo de dicha póliza a una empresa de reaseguros . El mercado del reaseguro permite a las aseguradoras suscribir aún más pólizas y seguir ampliando su negocio.
Según David Anderson, responsable de ciberseguridad para EE. UU. de la correduría de reaseguros McGill and Partners, en el pasado, la suscripción era un proceso rápido y sencillo. Es posible que se pregunte a los solicitantes si disponen de un programa antivirus (AV) y de sistemas de copia de seguridad.
«Si lo hicieran, la aseguradora diría: “Estupendo, aquí tiene un presupuesto, que tenga un buen día”», afirma Anderson. «Ahora, es: “Demuéstramelo”.» «El proceso de suscripción se ha vuelto mucho más riguroso, prolongado y minucioso».
Los ataques de ransomware lo cambian todo
La amenaza del ransomware ha cambiado las reglas del juego tanto para las aseguradoras como para las organizaciones a las que protegen. Analicemos algunas de las estadísticas:
- Los ataques de ransomware notificados se dispararon casi un 51 % el año pasado, en comparación con el 2020.
- Las pérdidas ajustadas ascendieron a más de 49 millones de dólares, lo que supone un aumento de casi el 69 % con respecto a los 29.2 millones de dólares registrados en 2020.
- El importe medio de los pagos por ransomware ascendió a 812,000 dólares en 2021, frente a los 170,000 dólares de 2020.
- El ransomware estuvo presente en el 75 % de todas las reclamaciones de seguros cibernéticos durante el primer semestre de 2021.
Las aseguradoras están preocupadas por estos acontecimientos, así como por la creciente sofisticación y la descarada audacia de los ciberataques.
Los atacantes del caso 2021 mostraron una tendencia preocupante en cuanto a la magnitud de sus demandas y las cantidades que, según se informa, recibieron: Kaseya VSA (70 millones de dólares exigidos); Acer (50 millones de dólares exigidos); la compañía de seguros CNA Financial (40 millones de dólares pagados); Kia Motors (20 millones de dólares exigidos); y Colonial Pipeline (4.4 millones de dólares pagados).
Para hacer frente a este repunte de actividades ilícitas, el sector de los seguros ha endurecido considerablemente las condiciones de suscripción con el fin de reducir el elevado volumen de reclamaciones, que, según Fitch, ha aumentado un 100 % anual en los últimos tres años.
Pagar más por un seguro cibernético con menos cobertura
Como primer paso, el sector aumentó las tarifas de las primas suscritas directamente un 74 % en 2021. Según el asesor Smith, las empresas estadounidenses pagan actualmente, de media, 1,485 dólares al año, o 124 dólares al mes, por una póliza de seguro cibernético. «Los precios están aumentando a un ritmo considerablemente superior al de otras líneas de negocio», señala un informe de Fitch.
Al mismo tiempo, la industria ha reducido los límites de los seguros cibernéticos —la cantidad máxima que pagarán por una reclamación— de 10 millones de dólares a 5 millones de dólares para muchos sectores, al tiempo que ha aumentado las franquicias, también conocidas como «retenciones», según informa la Asociación Nacional de Comisionados de Seguros (NAIC). De hecho, los expertos del sector afirman haber observado casos en los que las franquicias han pasado de unos 25,000 dólares a hasta 250,000 dólares en el último año o los dos últimos años.
Es más, las aseguradoras se están volviendo mucho más selectivas a la hora de decidir en qué sectores están dispuestas a ofrecer cobertura. Cada vez resulta «casi imposible» asegurar a sectores que han sido objeto de ataques de forma desproporcionada, como gobierno, educación, sanidad y servicios públicos, afirma Kirsten Bay, directora ejecutiva de Cysurance, empresa especializada en seguros cibernéticos para pequeñas y medianas empresas. Además, si es usted un proveedor de servicios gestionados (MSP), puede olvidarse de obtener una buena cobertura.
«Eso no significa que no haya plazas disponibles», afirma. «Esto significa que el límite de 5 millones de dólares que realmente necesita va a ser mucho más difícil de conseguir». Por ejemplo, podrían ofrecer una cobertura de 3 millones de dólares, cobrar mucho más por ella y decirle que los otros 2 millones de dólares deben proceder de una póliza de exceso.
Algunas aseguradoras están incluso intentando limitar los grandes pagos restringiendo —en ocasiones de forma drástica— el tamaño de las empresas a las que están dispuestas a asegurar, afirma Kurt Suhs, director ejecutivo de Cyber Special Ops, un servicio de tipo «concierge» que ayuda a las empresas a responder ante los ciberataques. Afirma que las aseguradoras podrían presionar a los corredores para que suscriban pólizas por valor de mil millones de dólares y limitar la cobertura a empresas con unos ingresos de 250 millones de dólares o menos.
Demuéstrelo o lo perderá
Cada vez es más habitual que las aseguradoras endurezcan sus requisitos de admisión. Del mismo modo que una persona que solicita un seguro de vida podría tener que someterse a un reconocimiento médico y facilitar su historial clínico para que se le apliquen determinadas tarifas de prima, las aseguradoras cibernéticas exigen a las organizaciones que cumplan unas normas básicas de higiene cibernética .
«Algunas aseguradoras han reducido el volumen de pólizas cibernéticas que suscriben o incluso se han retirado por completo del mercado.»Tom Johansmeyer, director de PCS, una división de Verisk
Entre las buenas prácticas suelen figurar el uso de una autenticación multifactorial (MFA), la protección de terminales, un antivirus robusto, copias de seguridad actualizadas, redundantes y fuera de línea, y programas de sensibilización y formación en materia de seguridad. Las puntuaciones de riesgo cibernético también revisten una importancia cada vez mayor para las aseguradoras. Si una organización no cumple todos los requisitos necesarios, es probable que se enfrente a primas más elevadas, a una cobertura reducida o a que se rechace su solicitud.
«Este es el tipo de datos que todos los suscriptores consideran ahora aspectos decisivos para la aprobación o el rechazo», afirma Anderson, de McGill and Partners. «La falta de MFA es, por ejemplo, un completo fracaso. «Si no dispone de ello para el acceso remoto, no podrá contratar un seguro».
El creciente número de requisitos previos en materia de ciberseguridad puede resultar frustrante para los directivos, afirma Bay, de Cysurance. Sin embargo, afirma que estas limitaciones también brindan a los CISO la oportunidad de hablar con sus altos directivos sobre la necesidad de destinar más recursos a la mejora de la ciberseguridad en toda la organización.
«Los profesionales de la seguridad deben mantener más conversaciones con sus responsables sobre el valor de invertir en ciberseguridad y el impacto financiero que ello podría tener en la empresa», afirma. «Creo que, entre lo que está sucediendo con los seguros cibernéticos y el auge del ransomware, esta conversación resulta más sencilla que nunca».
Además de los requisitos de seguridad, la mayoría de las aseguradoras están ampliando la lista de situaciones que no cubren, lo que se conoce como «exclusiones». Por ejemplo, tras haber aprendido la lección de la crisis de 9/11 y de la pandemia, son pocas las aseguradoras privadas dispuestas a asumir las pérdidas derivadas de la guerra cibernética o de fallos en las infraestructuras.
El Programa Federal de Seguros contra el Riesgo de Terrorismo (TRIP) podría ayudar a las aseguradoras a cubrir algunas de las pérdidas derivadas de ataques de ciberterrorismo. Sin embargo, las normas que regulan qué se considera un incidente relacionado con el terrorismo están redactadas de forma muy restrictiva y, en estos momentos, no resultan de gran ayuda para las empresas. Recientemente, la falta de cobertura ha llevado a la Oficina de Responsabilidad Gubernamental de los Estados Unidos (GAO) a recomendar que el Departamento del Tesoro y el Departamento de Seguridad Nacional evalúen la necesidad de un mecanismo federal de respaldo para los seguros de infraestructura crítica ( ) —al igual que el Gobierno subvenciona, por ejemplo, los seguros de cosechas— con el fin de subsanar la falta de cobertura para las organizaciones de, en particular.
La reducción de la exposición a las reclamaciones por ciberataques mediante primas más elevadas y exclusiones ha contribuido a que el sector de los seguros cibernéticos reduzca su índice de siniestralidad directa —es decir, lo que abona a los reclamantes— del 72 % en 2020 al 65 % el año pasado, según Fitch. Recientemente, «The Wall Street Journal» describió cómo los responsables de la Casa Blanca aplaudieron la aplicación de un mayor escrutinio a los criterios de aprobación en medio de una oleada de ataques perpetrados por Estados-nación, especialmente desde la invasión rusa de Ucrania.
Sin embargo, la endurecimiento de las directrices también ha tenido como consecuencia una disminución de la disponibilidad de los niveles anteriores de seguros cibernéticos, lo cual es una de las «razones clave por las que la gente piensa que la cobertura está desapareciendo», afirma Anderson.
¿Contratar un seguro cibernético o no?
La percepción de que no se puede contratar un seguro probablemente persistirá a medida que las aseguradoras sigan modificando sus modelos de negocio para mantener su rentabilidad, afirma Tom Johansmeyer, director de PCS, una división de la empresa de análisis de datos y evaluación de riesgos Verisk que se dedica al cálculo de las pérdidas catastróficas en bienes asegurados. A pesar de que parece que apuestan por los seguros cibernéticos, «algunas aseguradoras han reducido el volumen de pólizas cibernéticas que suscriben o incluso se han retirado por completo del mercado», afirma.
La consecuencia para las organizaciones, añade, podría ser una creciente «brecha en la cobertura de los seguros cibernéticos». Aunque las empresas o agencias cumplan los requisitos para un determinado nivel de cobertura, es posible que esta no sea suficiente para cubrir las posibles pérdidas.
La reducción de la cobertura ha llevado a algunas organizaciones a plantearse si necesitan un seguro cibernético o si, en caso de que se produzca un incidente, podrían simplemente correr con los gastos de su propio bolsillo. «Hablamos con un distrito escolar en el que su prima iba a aumentar de 1 millón a 2 millones de dólares al año, a pesar de que no habían sufrido pérdidas ni habían presentado reclamaciones», afirma Suhs, de Cyber Special Ops. «Empezaron a preguntarse: “¿Merece la pena autoasegurarse?”» «Creo que cada vez son más las organizaciones que lo hacen hoy en día».
Sin embargo, no todo el mundo recomienda el enfoque del autoseguro, dada la magnitud de las pérdidas a las que podrían enfrentarse las organizaciones en caso de un ciberataque grave.
«Prevemos que la mayoría de nuestros clientes se enfrentarán a algún tipo de ciberataque cada cinco o siete años», afirma Anderson. «Incluso con los precios y las primas que vemos hoy en día, si parte de la base de que va a sufrir un siniestro y que eso le va a suponer un gasto, [contratar un seguro] probablemente sea una inversión bastante buena a largo plazo».
