| John Bosman | 1154 palabras
El riesgo cibernético suele presentarse como un problema de tecnología, pero no lo es. Para la mayoría de los negocios, los incidentes cibernéticos no empiezan con un ataque informático sofisticado. Empiezan con actividades de rutina: el correo electrónico, las facturas, los proveedores, las contraseñas y los accesos. Cuando algo sale mal, el impacto se nota en consecuencias para el negocio: tiempo sin operar, costos urgentes de respuesta y preguntas legales o regulatorias incómodas. El seguro cibernético existe para ayudar a manejar esas consecuencias después de un evento cibernético cubierto. No reemplaza las buenas prácticas de informática (TI) y no responde a todos los problemas de tecnología. Esta guía explica, desde el punto de vista del negocio, cómo funciona el seguro cibernético, dónde fallan los supuestos sobre la cobertura y cómo encaja con el resto del seguro de su negocio.
Respuesta corta
El seguro cibernético es una herramienta de cobertura para las consecuencias que sufre el negocio (tiempo sin operar, costos de respuesta y responsabilidad civil) cuando las provoca un evento digital cubierto. La cobertura depende de los desencadenantes de la póliza, las definiciones, las condiciones y los controles de seguridad documentados.
Punto de control del lector
- ¿Qué evento digital le haría más daño económico a nuestro negocio: la recuperación de un ataque de secuestro de datos (ransomware), la interrupción del negocio, un fraude en una transferencia de fondos, la responsabilidad por privacidad o la notificación de una filtración de datos?
- ¿Nuestras pólizas actuales (cibernética, contra delitos, de responsabilidad civil general, de responsabilidad profesional y de propiedad) dejan un vacío previsible cuando un incidente digital provoca un reclamo?
- ¿Hemos documentado nuestros controles de seguridad con suficiente precisión para que lo que declaramos en la solicitud y en la renovación coincida con la forma en que operamos?
Respuesta rápida
El seguro cibernético responde a las consecuencias para el negocio (costos de respuesta, interrupción del negocio, extorsión y responsabilidad civil) cuando ocurre un evento digital cubierto. La cobertura depende de los desencadenantes de la póliza, las exclusiones, los sublímites y de si los controles de seguridad existen y están documentados. No cubre todos los problemas de tecnología ni reemplaza las prácticas de TI.
De un vistazo
Qué identificar antes de la próxima decisión
| Tema principal | La cobertura del seguro cibernético y los supuestos sobre ella |
|---|---|
| Punto ciego común | Suponer que cualquier problema de tecnología es un evento cibernético cubierto, o que las pólizas actuales de responsabilidad civil general y de propiedad cubren ese vacío |
| Documento útil | Póliza cibernética, póliza contra delitos, póliza de responsabilidad civil general, respuestas de la solicitud, notas sobre los controles de seguridad, lista de proveedores, proceso de pagos y plan de respuesta a incidentes |
| Siguiente paso recomendado | Usar la Puntuación de Preparación para la Renovación Comercial antes de la renovación |
Comparar propuestas de seguro cibernético es leer sublímites, no comparar primas
Las propuestas de seguro cibernético a menudo describen coberturas parecidas con sublímites y condiciones diferentes. La comparación que importa es la que relaciona los eventos cubiertos con los sistemas reales del negocio, sus flujos de pago, el acceso de sus proveedores y sus datos, no la prima que aparece en primer plano.
Puntos que conviene revisar en cualquier propuesta: la cobertura de ingeniería social y de fraude en transferencias de fondos (con frecuencia sujeta a sublímites o excluida), la interrupción del negocio por fallas de un proveedor del que usted depende, los sublímites de respuesta a filtraciones de datos y si están presentes tanto la recuperación de pérdidas propias como la responsabilidad ante terceros.
Exclusiones específicas que conviene buscar: ataques patrocinados por un Estado, vulnerabilidades preexistentes o sin parchear y condiciones relacionadas con errores humanos.
Una póliza fuerte en una de esas áreas y débil en la otra deja un vacío previsible. Por eso la comparación de propuestas se hace antes de la presión de la renovación, no en medio de ella.
Los controles de seguridad pueden afectar su cobertura cibernética
Muchas pólizas cibernéticas incluyen condiciones relacionadas con los controles de seguridad. Las aseguradoras se fijan en los controles porque influyen directamente en qué tan grave llega a ser una pérdida. Hablar de controles es parte de hablar de cobertura.
Controles que suelen revisar las aseguradoras en su evaluación de riesgos y en las solicitudes de renovación: autenticación multifactor (sobre todo para el acceso remoto), detección y respuesta en los equipos (EDR), gestión de parches, segmentación y separación de la red, manejo del software que ya no tiene soporte, protecciones del acceso por escritorio remoto (RDP), autenticación del correo electrónico, copias de seguridad de datos fuera de línea y probadas, un plan de respuesta a incidentes y capacitación de los empleados.
Estas son declaraciones que usted hace en la solicitud y en la renovación. Según la redacción de la póliza, los controles que faltan o que se declaran de forma incorrecta pueden afectar si un reclamo tiene cobertura y cómo se cubre, porque los controles son parte de la base sobre la que se redacta la póliza. Lea las condiciones de su póliza y su solicitud, y pregunte a su agente cómo se aplican.
La conclusión práctica no es la perfección. Es la coherencia: los controles que usted documenta deben coincidir con los controles que mantiene, para que la póliza que compra responda, según sus términos, de la forma que usted espera.
Preguntas frecuentes
Preguntas frecuentes sobre el seguro cibernético
¿Qué suele ayudar a cubrir el seguro cibernético?
El seguro cibernético puede ayudar con la respuesta a una filtración de datos, la recuperación de un ataque de secuestro de datos, la interrupción del negocio, los costos de notificación, los gastos legales y ciertos reclamos de responsabilidad civil. La cobertura depende del formulario de la póliza, las exclusiones, los controles de seguridad y la causa exacta de la pérdida.
¿El seguro cibernético es solo para empresas grandes?
No. Los negocios pequeños pueden sufrir pérdidas cibernéticas por correos electrónicos comprometidos, el acceso de proveedores, fraudes en pagos, credenciales robadas o la filtración de datos de clientes. El tamaño no elimina el riesgo.
¿Qué debo revisar antes de comprar un seguro cibernético?
Revise los eventos cubiertos, las exclusiones, los sublímites, los períodos de espera, los requisitos de controles de seguridad, el apoyo para responder a incidentes y si se atienden tanto las pérdidas propias como las de terceros.
El seguro cibernético es más fácil de entender cuando se relaciona con las operaciones reales del negocio. Empiece por los sistemas, el movimiento de dinero, los datos de clientes y el acceso de proveedores de los que depende su negocio, y luego compare esos riesgos con el texto de la póliza.
Si este artículo le hizo ver que una situación cibernética es incómodamente posible, úsela como punto de partida. Busque su póliza o cotización actual, documente sus sistemas y controles principales y use la Puntuación de Preparación para la Renovación Comercial antes de la renovación.
Qué hacer a continuación
Iniciar una Revisión de Cobertura | Seguro de responsabilidad civil cibernética