Las aseguradoras están redactando requisitos más restrictivos y prescriptivos para sus pólizas de seguro, diseñados para reducir el número de reclamaciones y protegerse mejor a sí mismas y a las compañías que aseguran. En algunos casos, las reclamaciones se deniegan directamente por estar vinculadas a actos de guerra.
Los seguros son complejos y cada vez menos ventajosos para las empresas que los contratan. Para poder optar a un seguro cibernético, que incluya protección contra el ransomware , las empresas deben completar extensos cuestionarios que confirmen que cuentan con las medidas mínimas de ciberseguridad necesarias. Las aseguradoras, desbordadas por las reclamaciones de ransomware y con grandes pérdidas económicas, están presionando a las empresas, exigiéndoles que respondan a sus preguntas y, en muchos casos, denegando las reclamaciones.
Quizás sea hora de que las empresas se centren más en medidas preventivas proactivas en lugar de depender de una indemnización reactiva del seguro cibernético.
Los ataques de ransomware son notoriamente difíciles de proteger con herramientas técnicas. Al igual que con otros eventos catastróficos, las aseguradoras intervinieron para ofrecer un producto de seguro que cubriera parte de los daños resultantes de un ataque de ransomware.
Dependiendo de la póliza contra ransomware, usted puede estar cubierto por la pérdida de ingresos debido a la interrupción del negocio, los costos de recuperación de sus sistemas, datos y redes, y posiblemente el costo de pagar una demanda de extorsión (rescate).
El monto exacto y las condiciones se definirán en su póliza de cobertura. Este documento describe las circunstancias de ataque que quedan excluidas de la cobertura (acto de guerra) y los requisitos de medidas de seguridad mínimas esenciales (copias de seguridad fuera de línea, capacitación en concientización) necesarias para que pueda presentar una reclamación con éxito.
Desde la perspectiva de CyberHoot, no considere las restricciones (o exclusiones) de la póliza como lagunas en la cobertura del seguro. En cambio, considérelas como buenas prácticas o requisitos mínimos esenciales de ciberseguridad que debe seguir para a) evitar un ataque de ransomware y b) garantizar su cobertura en caso de sufrir un ataque a pesar de haber seguido todas las buenas prácticas estipuladas en la póliza de ciberseguro.
Por ejemplo, su póliza le exigirá implementar una estrategia de respaldo para todos sus datos (siga la estrategia de respaldo 3-2-1 de CyberHoot para mayor eficacia). Su póliza podría exigirle eliminar los derechos de administrador de las computadoras con Windows de los usuarios finales. Finalmente, su póliza podría prescribir capacitación en concientización para usuarios finales sobre cómo detectar y evitar ataques de phishing y de ingeniería social . Existen muchas otras disposiciones en algunas pólizas de seguro; lea la letra pequeña para conocerlas y considere contratar a un profesional de ciberseguridad, como un CISO virtual, para que le ayude a desarrollar un programa de ciberseguridad sólido.
Todas ellas son medidas de prevención esenciales mínimas y razonables que se requieren en cualquier programa básico de ciberseguridad y ambas están prescritas por el seguro cibernético, aunque también ofrecen una salida para que los proveedores de seguros paguen los reclamos si usted dice que las hace, pero, de hecho, no lo hace.
De igual forma, probablemente encontrará una cláusula de notificación en su contrato que le exige notificar a su aseguradora sobre el ataque en un plazo mínimo. Asegúrese de contar con un proceso de respuesta a incidentes documentado (que también forma parte de la mayoría de los servicios de vCISO) que incluya una disposición para las notificaciones a la aseguradora.
Otra exclusión común es la relacionada con la guerra , donde las aseguradoras se reservan el derecho de rechazar el pago de una reclamación si el daño fue consecuencia de una guerra o acciones bélicas. Dado el contexto mundial actual, las aseguradoras buscan protegerse de ciertos ataques mediante la exención por daños relacionados con la guerra.
Cuando un Estado-nación ataca a otro, la ciberguerra puede utilizarse para infligir daños fuera del ámbito bélico tradicional. La ciberguerra puede ser indiscriminada; las partes afectadas no son necesariamente organizaciones gubernamentales, sino que podría tratarse de una empresa atrapada en el fuego cruzado.
Las aseguradoras tienen una razón válida para intentar excluir este nivel masivo de exposición. Sin embargo, existen un par de problemas. Definir una guerra es la primera cuestión: ¿cuándo se considera un acto de agresión una actividad relacionada con la guerra? Otra dificultad es la atribución, ya que los ciberatacantes generalmente intentan ocultar su identidad; es poco común que un atacante declare abiertamente su participación en un ataque.
Cuando una organización sufre un ataque de ransomware, ¿cómo prueba la aseguradora o el reclamante que una organización específica está detrás del ataque y cuál fue su motivación? Encontrar pruebas contundentes que respalden la atribución es casi imposible en la mayoría de los casos. En tales circunstancias, los reclamantes y las aseguradoras recurren a los tribunales para que dicten sentencia.
Las reclamaciones por ransomware abarcan desde un solo rescate en bitcoin hasta demandas millonarias. Estos costos no incluyen daños a la reputación, tiempo de inactividad, multas ni honorarios legales. Las compañías de seguros le exigirán que cumpla con las prescripciones y restricciones para reclamaciones, ya sea por ransomware o por cualquier otro motivo. Si descubren que su empresa no ha cumplido con sus promesas, es probable que rechacen su reclamación. Por eso, tantas reclamaciones se impugnan en los tribunales. En estos casos, los casos pueden durar meses o incluso años, lo que supone un coste aún mayor para todos.
Esto significa que no deberías confiar en el seguro contra ciberataques (o ransomware) como tu principal defensa. Si bien el seguro de ciberseguridad tiene su función, dependiendo de las primas y el nivel de cobertura, debería considerarse la última línea de defensa. La primera recomendación de CyberHoot es reforzar tus propios esfuerzos internos para proteger tus activos de TI contra ataques, ya que esta sigue siendo tu primera línea de defensa y tu mejor opción.
Cualquier póliza de seguro cibernético tendrá requisitos o condiciones mínimas esenciales que debe cumplir para garantizar el pago de la indemnización. Como se mencionó anteriormente, estos incluyen capacitación en seguridad informática , copias de seguridad 3-2-1 confiables , actualización de sistemas y más. Las siguientes recomendaciones mínimas de seguro ayudarán a su empresa a prevenir una brecha de seguridad y a aumentar sus posibilidades de obtener cobertura en caso de una catástrofe.
Para obtener más información sobre lo que ofrece el seguro cibernético, qué cubre y qué debe hacer, visite también nuestros artículos: Seguro Cibernético Parte 1: Por qué es necesario y Seguro Cibernético Parte 2: Lo que necesita saber.
El mensaje de CyberHoot es preparar a su empresa mediante la creación de un programa de ciberseguridad proactivo, la contratación de un profesional experimentado del sector (vCISO) y la inversión en controles técnicos y administrativos para prevenir una brecha de seguridad. Su póliza de seguro cibernético exige estas medidas de todos modos, y le ayudarán a prevenir un evento de forma proactiva y a recuperarse de forma reactiva con una indemnización por accidente en caso de desastre (a menos que se demuestre que se trata de un acto de guerra).
Las siguientes recomendaciones le ayudarán a usted y a su empresa a mantenerse seguros frente a las diversas amenazas cotidianas. Todas las sugerencias que se enumeran a continuación se pueden obtener contratando los servicios de desarrollo del programa vCISO de CyberHoot.
Cada una de estas recomendaciones, excepto el seguro cibernético, está integrada en el producto y los servicios virtuales de Director de Seguridad de la Información (CIO) de CyberHoot. Con CyberHoot, puede gestionar, capacitar, evaluar y poner a prueba a sus empleados. Visite CyberHoot.com y regístrese hoy mismo. Como mínimo, continúe aprendiendo suscribiéndose a nuestros boletines mensuales de ciberseguridad para mantenerse al día con las últimas novedades.
Fuente:
Lecturas adicionales:
Descubra y comparta las últimas tendencias, consejos y mejores prácticas en ciberseguridad, junto con nuevas amenazas a las que debe prestar atención.
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Incluso antes de que Claude Code hiciera...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Lo sabemos desde hace tiempo...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Un CAPTCHA debería comprobar si...
LEER MÁSObtenga una visión más clara de los riesgos humanos, con un enfoque positivo que supera las pruebas de phishing tradicionales.
