Conseguir y mantener una cobertura de seguro cibernético ya supone un reto de por sí en estos tiempos de constantes ataques de ransomware. Ahora, al parecer, las empresas deben preocuparse por la posibilidad de que las aseguradoras las lleven a los tribunales para rescindir sus pólizas, como si estas nunca hubieran existido.
A finales de agosto, Travelers Property Casualty Company of America e International Control Services (ICS) llegaron a un acuerdo ante un tribunal federal de Illinois para que se aprobara la cancelación de la póliza de ICS y de cualquier reclamación de cobertura derivada de un reciente ataque de ransomware . Travelers había alegado en su demanda que, al cumplimentar su solicitud de seguro contra riesgos cibernéticos, ICS había declarado falsamente que disponía de un sistema de autenticación multifactorial (MFA) , algo que la mayoría de estas pólizas exigen actualmente. (Ni Travelers ni ICS respondieron a las solicitudes de comentarios.)
El hecho de que una importante aseguradora intentara eludir el pago de una indemnización no resulta sorprendente. Las aseguradoras hacen eso constantemente. Sin embargo, cuestionar la validez de una póliza ya emitida es algo muy poco habitual en cualquier tipo de cobertura y debería servir de advertencia a las empresas que deseen contratar un seguro contra riesgos cibernéticos para que actúen con cautela.
¿Por qué buscar pelea?
Aunque los asegurados no deben esperar que este tipo de demandas se conviertan en algo habitual, es probable que aumenten, según Scott Godes, socio y copresidente del departamento de recuperación de indemnizaciones y asesoramiento en materia de seguros de Barnes & Thornburg, un bufete de abogados de ámbito nacional que representa a empresas en casos de recuperación de indemnizaciones.
«. Las aseguradoras llevan ya algún tiempo amenazando discretamente con recurrir a la rescisión de pólizas como “opción nuclear”.»Scott Godes, socio y copresidente del departamento de recuperación de indemnizaciones y asesoramiento en materia de seguros de Barnes & Thornburg
«Las aseguradoras llevan ya algún tiempo amenazando discretamente con recurrir a la rescisión de las pólizas como “opción nuclear”», afirma. «Es muy decepcionante verlo». En mi opinión, se trata de un modelo en el que se culpa al asegurado, en lugar de aplicar medidas de control de siniestros más rigurosas. «Se trata de una estrategia que consiste en utilizar preguntas ambiguas y redactadas con astucia en los formularios de solicitud para perjudicar a los asegurados».
Godes se refiere a la práctica de hacer recaer sobre las empresas la responsabilidad de acreditar periódicamente las medidas que han adoptado para reforzar la ciberseguridad , en lugar de colaborar estrechamente con los asegurados para garantizar que cumplen con las expectativas en materia de seguridad. Tras un ataque, las aseguradoras examinan con especial atención el nivel de preparación en materia de ciberseguridad del asegurado. A menudo se designa a un investigador forense para que verifique la exactitud de las prácticas de ciberseguridad que una empresa ha declarado en su solicitud de seguro.
Las aseguradoras deberían colaborar más estrechamente con los asegurados para prevenir los ciberataques y evitar cualquier confusión que pudiera dar lugar a desacuerdos, afirma Godes. Algunas aseguradoras ya lo hacen en el caso de otros tipos de seguros. Por ejemplo, algunas aseguradoras anuncian que pueden ofrecer tarifas con descuento a los conductores que estén dispuestos a instalar un dispositivo en sus vehículos para supervisar sus hábitos de conducción. Las aseguradoras podrían aplicar una estrategia similar de «control de pérdidas» a la hora de suscribir pólizas de riesgo cibernético, en lugar de utilizar las respuestas a las solicitudes como «cláusulas capciosas», sostiene Godes.
[Lea también: El ransomware está causando estragos en el sector de los seguros cibernéticos]
Sin embargo, muchas empresas se muestran reacias a compartir información detallada sobre sus prácticas de ciberseguridad. Les preocupa que las aseguradoras se entrometan en asuntos que quizá no les competan o las posibles implicaciones legales que pueda acarrear la divulgación de las prácticas de seguridad.
Cómo abordar las solicitudes tediosas
Dadas estas dificultades y la creciente oleada de ransomware y otros ciberataques, muchas aseguradoras cibernéticas exigen a los solicitantes que rellenen cuestionarios largos y engorrosos para poder optar a la cobertura, afirma Josephine Wolff, profesora asociada de política de ciberseguridad en la Fletcher School de la Universidad de Tufts y autora de «Cyberinsurance Policy: Rethinking Risk in an Age of Ransomware, Computer Fraud, Data Breaches, and Cyberattacks».
«. Cuando las personas proporcionan información errónea en sus pólizas, ya sea de forma intencionada o no, las compañías de seguros tomarán medidas.»Gerry Glombicki, director sénior de Fitch Ratings
«Estas solicitudes se han vuelto tan extensas que algunas empresas reúnen a equipos de tres o más personas en una sala y les dicen: “Rellenar este cuestionario será su tarea durante el próximo mes”».
Por supuesto, dedicar tanto tiempo resta tiempo a otras tareas. Lo más habitual es que sea una persona de la oficina del CISO, del CIO, del CFO o del tesorero quien se encargue de cumplimentar la documentación del seguro.
El problema: es poco probable que una sola persona cuente con los conocimientos necesarios o disponga del tiempo suficiente para responder de forma precisa y exhaustiva a todas las preguntas de carácter técnico. En consecuencia, se producen errores, omisiones y declaraciones falsas que llevan a las aseguradoras a denegar las reclamaciones o, tal y como demostró Travelers en su caso, que sentó un precedente, a rescindir la cobertura.
[Lea también: ¿Respaldarán las autoridades federales los seguros cibernéticos?]
«Creo que lo más destacado que se observará es que, a medida que las personas tergiversen la información en sus pólizas —ya sea de forma intencionada o involuntaria—, las compañías de seguros tomarán medidas al respecto», afirma Gerry Glombicki, director sénior de Fitch Ratings, una de las principales agencias de calificación crediticia.
Elegir bien sus batallas
Sin embargo, aunque otras empresas sigan el ejemplo de Travelers, los analistas del sector sostienen que probablemente lo harán con moderación. La imagen que se transmite al llevar a los asegurados de pólizas cibernéticas ante los tribunales no es muy buena.
«A las compañías de seguros no les conviene en absoluto verse envueltas en un sinfín de litigios en los que intentan anular la cobertura basándose en tecnicismos», afirma David Anderson, responsable de ciberseguridad para EE. UU. en la correduría de reaseguros McGill and Partners.
«: Todo lo que se envíe por escrito a las compañías de seguros constituye una declaración, independientemente de que lleve su firma o no.»David Anderson, director de ciberseguridad para EE. UU. de McGill and Partners
«Me sorprende que se produzcan este tipo de litigios, para empezar», coincide Sean O’Brien, investigador visitante del Proyecto de la Sociedad de la Información de la Facultad de Derecho de Yale. «Es una estrategia terrible, ya que provocará que nadie confíe en estos productos». «Ya les cuesta bastante vender seguros cibernéticos».
«Es una pendiente resbaladiza», añade Gerry Kennedy, director de Charles River Insurance. «Ustedes afirman ofrecer cobertura a los asegurados cuando la necesitan». ¿Pero luego les deja en la estacada [al rescindir los contratos] cuando llega ese momento? La mayoría de la gente diría: «Hubiera estado bien saber que existía esa posibilidad antes de que denegaran mi reclamación».
Cómo evitar los riesgos jurídicos
Para evitar sorpresas desagradables, los expertos del sector recomiendan tomar las siguientes precauciones.
- Tómese el cuestionario en serio. Por muy engorrosas que se hayan vuelto estas solicitudes, constituyen declaraciones de hechos jurídicamente vinculantes. Puede surgir un litigio siempre que exista ambigüedad. Antes de cumplimentar una solicitud, el Sr. Anderson, de McGill and Partners, recomienda formar un equipo multifuncional de gestión de riesgos para recopilar toda la información operativa y técnica necesaria con el fin de proporcionar las respuestas más completas y precisas.
- Busque un abogado. Anderson también recomienda contar con la ayuda de un abogado desde el principio para que le oriente en el proceso y revise las respuestas al cuestionario. «Todo lo que se envíe por escrito a las compañías de seguros constituye una declaración, independientemente de si lleva su firma o no», afirma. «Contratar a un abogado es un proceso costoso, y no son muchas las empresas, sobre todo los pequeños negocios familiares, que pueden permitírselo». «Pero, si puede, es recomendable».
- Analice su exposición. Durante el proceso de solicitud, es importante tener en cuenta que los ciberdelincuentes suelen atacar a terceros. «Podría convertirse en un problema en el futuro si una empresa afirma que cuenta con autenticación multifactorial (MFA), pero no se asegura de que sus socios y proveedores afiliados también la utilicen», señala Kennedy, de Charles River. Sugiere ponerse en contacto con la aseguradora para averiguar si la gestión de riesgos de terceros es uno de sus requisitos y, en caso afirmativo, obtener información detallada sobre dichos requisitos.
- Sepa qué es lo que está certificando. La responsabilidad recae en quienquiera que firme en la línea punteada de una solicitud de seguro cibernético. Si más adelante surge algún problema, esa persona será la que se vea envuelta en cualquier procedimiento judicial. Por ese motivo, Glombicki, de Fitch, subraya que el firmante —que, idealmente, debería ser un alto directivo— debe saber qué es lo que está certificando, tanto para su propia protección como para la de la organización.
- Sea franco. Wolff, de Tufts, señala que lo peor que puede hacer una empresa es pasar por alto la verdad. Aunque no es necesario que se excedan con los detalles, los directivos deben mostrarse lo más sinceros posible para evitar acusaciones de tergiversación. Por ejemplo, si una empresa ha implantado la autenticación multifactorial (MFA) en algunos lugares pero no en otros, los directivos deberían determinar dónde está presente y dónde no.
- Infórmese sobre el contenido de la póliza. Al contratar un seguro cibernético, no dé por sentado que su póliza le protege frente a cualquier situación imaginable. Los seguros no funcionan así. Por lo tanto, resulta sumamente importante comprender el contenido de una póliza y prestar especial atención a las exclusiones establecidas, advierte Eric Gyasi, abogado y vicepresidente de Stroz Friedberg, una empresa de Aon.
«Puede que suene un poco trillado, pero las organizaciones suelen configurarlo y olvidarse de ello», afirma. «De hecho, es posible que una póliza no cubra lo que usted pensaba que cubría».
Las aseguradoras aún no se están apresurando a rescindir las pólizas que han emitido. No obstante, los observadores consideran que es casi seguro que se producirán más demandas como la de Travelers contra ICS, a medida que el sector trate de perfeccionar sus modelos de riesgo y sus normas.
Tal y como advierte Godes, de Barnes & Thornburg: «Las empresas deben tener en cuenta que las entidades de crédito están adoptando posturas más agresivas y de interpretación estricta respecto a sus solicitudes, y deben reaccionar en consecuencia».
