El seguro cibernético ha demostrado su ventaja, sus límites y los problemas que plantea en los recientes ataques de ransomware en particular. Pero cada año resulta ser un poco más caro, un poco más restrictivo y un poco más complejo. Descifrado…
¡Durante la última década, la ciberseguridad ha causado un gran revuelo en la escena general! El aumento meteórico en el número de ataques durante la crisis sanitaria de la COVID-19, grandes incidentes como el ataque al Oleoducto Colonial en Estados Unidos (que provocó escasez de combustible en la costa este del país) y un panorama geopolítico cada vez más tenso han todos contribuyeron a impulsar la ciberseguridad en el centro de atención mundial.
Y como el delito cibernético afecta cada faceta de nuestra vida diaria y los avances tecnológicos ya no son suficientes para detener la propagación, muchos profesionales de la seguridad están recurriendo a una solución tradicional para resolver este problema tan moderno: ¡el seguro cibernético!
Porque si miramos a nuestro alrededor, casi todo está asegurado: casas, vehículos ¡y hasta la vida humana! Por lo tanto, parece extraño a primera vista que la mayoría de las empresas aún no estén aseguradas contra un fenómeno potencialmente devastador como los ataques cibernéticos.
Un estudio reciente realizado por la aseguradora Hiscox incluso reveló que una quinta parte de las empresas en los Estados Unidos y Europa se han declarado insolventes tras un ciberataque. Lógicamente, en tal situación, el seguro debería ayudar a aliviar las preocupaciones sobre la continuidad del negocio después de un incidente, ¿verdad?
Desafortunadamente, no es tan simple como parece. No es fácil transponer los modelos de seguros tradicionales al mundo cibernético. Los factores que determinan la probabilidad de un ataque cibernético son innumerables y en gran parte desconocidos, especialmente cuando se comparan con las estadísticas históricas de hace décadas que ayudan a determinar las primas de seguro para una casa, un automóvil o incluso una vida.
En consecuencia, es difícil, desde un punto de vista puramente asegurador, evaluar el nivel de riesgo de una organización frente a la ciberamenaza.
Además, los propios profesionales de la ciberseguridad siguen divididos sobre el futuro de los ciberseguros. Si bien muchos lo ven como una «red de seguridad» esencial para las pequeñas empresas, otros creen que los obstáculos son insuperables y que asegurar el riesgo cibernético simplemente no será posible. La verdad debe estar en algún lugar entre las dos opiniones…
La historia del ciberseguro
Con el cambio de milenio, Lloyds of London suscribió la primera póliza de seguro cibernético moderna. Pero este producto no despegó. Aún así, las cifras parecían prometedoras al principio: una estimación conservadora de 2002 predijo que para 2005, los seguros cibernéticos representarían un mercado global de $2.500 millones. Por desgracia, esta estimación resultó ser cinco veces mayor que la del mercado en 2008.
¡Las aseguradoras han observado con asombro que el mercado de seguros cibernéticos se ha reducido mientras que la economía de Internet ha progresado considerablemente!
A pesar de un comienzo tan decepcionante, el mercado ha progresado: se valoró en $7360 millones en 2020 y se espera que alcance los $27,830 millones en 2026. Pero está claro que el seguro cibernético todavía está luchando por encontrar su lugar en un mundo cibernético que está ciertamente cada vez más amenazada, pero también cada vez más poblada.
Así, en 2020, solo el 13% de las pymes había contratado un ciberseguro. Peor aún, un estudio de la empresa GlobalData reveló que el 29 % de las pymes británicas cancelaron su póliza en 2021. Y en Francia no es raro escuchar a los CISO hacerse la misma pregunta…
Sin embargo, los profesionales de la seguridad ya no consideran los ciberataques como un riesgo, sino como una fatalidad (que es precisamente el problema de las aseguradoras, ¡para quienes debe existir un peligro para poder calcular un riesgo!).
Con esto en mente, se espera que la adopción de seguros cibernéticos crezca mucho más rápido que en la actualidad. ¿Qué, exactamente, impide que el seguro cibernético tenga éxito?
Los problemas del ciberseguro
Quizás el problema más apremiante en la industria de los seguros cibernéticos es el costo. Las primas se han disparado (¡hasta un +92% el año pasado en comparación con el año anterior para las principales aseguradoras americanas!). Para un sector que apunta a apuntar a las pymes, las primas altísimas son un verdadero freno a la suscripción.
El hecho es que las recompensas son tan altas porque los ataques son casi sistemáticos. Y tiene perfecto sentido: los inevitables ciberataques obligan a las aseguradoras a exigir primas muy altas. Este es todo el problema de la falta de aleatoriedad mencionado anteriormente. Y tal nivel de primas, a su vez, limita la adopción de seguros… y por lo tanto crea un ciclo que impide que este mercado despegue.
Entonces surgen otros problemas si queremos tratar el ciberseguro como otras ramas del seguro tradicional. Estos últimos, como los seguros de hogar o propiedad, tienen un extenso historial de siniestros y décadas de experiencia que han ayudado a desarrollar un modelo de negocio eficaz y sostenible. Evidentemente, este no es el caso en el dominio cibernético, un sector que aún está en pañales.
Aún más complejo: muchos factores determinan el costo del seguro de hogar: la tasa de criminalidad del área, la calidad de las medidas de protección implementadas, el valor de la propiedad, etc. Todos estos factores son relativamente fáciles de cuantificar y relativamente estáticos. Sin embargo, este no es el caso con los seguros cibernéticos. Es difícil hacerse una idea precisa del nivel exacto de seguridad de una empresa a través de sencillos cuestionarios. Y esto es particularmente cierto para las pequeñas empresas, porque las auditorías reales que permitirían tener una visión real del nivel de seguridad no son rentables a este nivel de primas. Los profesionales de seguros reconocen esto fácilmente, y uno incluso dijo:Ciertamente hacemos muchas preguntas a través de nuestros cuestionarios de suscripción, pero creo que si somos completamente honestos con nosotros mismos, en realidad solo estamos arañando la superficie de esa evaluación técnica.».
La estandarización insuficiente contribuye a las dificultades para calcular las primas de seguros cibernéticos. Las medidas mínimas de seguridad y las mejores prácticas aún no están completamente estandarizadas y varían según las fuentes. Esto no solo hace que los factores de riesgo sean más difíciles de evaluar y cuantificar y, por lo tanto, las primas más difíciles de calcular, sino que también alienta a los clientes a elegir pólizas con los requisitos menos estrictos y, por lo tanto, marcar la casilla sin tener una cobertura adecuada. Si esta situación persiste, no es exagerado pensar que los seguros cibernéticos podrían dañar el panorama de la ciberseguridad, al reforzar una falsa sensación de seguridad entre las empresas.
Sin embargo, a pesar de todos estos obstáculos, el seguro cibernético está lejos de ser un squib húmedo. Ciertamente, el sector es todavía muy joven y todavía tiene mucho tiempo para resolver sus problemas, pero su utilidad para las empresas no está en discusión.
Las soluciones
Porque el ciberseguro tiene el potencial de revolucionar el panorama de la ciberseguridad. No solo podría salvar a las PYME de la quiebra, sino que también podría fortalecer la seguridad de la economía en su conjunto.
La estandarización insuficiente es el principal obstáculo para el éxito de las pólizas de ciberseguro. Sin embargo, la estandarización podría ser el mayor activo de la industria. El ecosistema debe llegar a un consenso sobre las mejores prácticas y las medidas mínimas de seguridad como parte de las evaluaciones de riesgos. Esto proporcionaría a las aseguradoras una línea de base contra la cual medir los factores de riesgo, y las empresas podrían tomar medidas básicas para mejorar su seguridad.
La cultura colaborativa también abordaría muchos de los problemas que enfrentan los seguros cibernéticos. Compartir datos de reclamos, por ejemplo, es clave para acercar el seguro cibernético a las formas tradicionales de seguro. Al agrupar su información, los proveedores de seguros, las empresas y los actores de la seguridad cibernética pueden expandir masivamente el repositorio de inteligencia sobre amenazas, incidentes y pérdidas, a fin de establecer una base más sólida para la suscripción y el modelado de riesgos cibernéticos.
Finalmente, las evaluaciones de vulnerabilidad gratuitas antes de contratar una póliza de seguro permitirían a las aseguradoras tener una visión completa de la postura de seguridad de la empresa en cuestión, basada en un punto de referencia indiscutible. Y, por supuesto, desde el lado de las propias empresas, una evaluación de vulnerabilidad gratuita agregaría valor a la póliza de seguro y brindaría asesoramiento procesable para reducir el costo del seguro, lo que fomenta la aceptación. .
El futuro
A pesar de todos los temas discutidos, el seguro cibernético parece haber llegado para quedarse. Es importante recordar que la industria aún está en pañales, especialmente en comparación con las líneas de seguros tradicionales. Con un poco de tiempo y el enfoque correcto, el seguro cibernético podría tener un impacto importante y positivo en el panorama cibernético. ¡Vale la pena darle una oportunidad al producto!
___________________
Par Hisham Bouali, Una identidad
Lea también:
Por qué el modelo Zero Trust es el nuevo estándar Hicham Bouali, One Identity
Easyblue ofrece ciberseguros a pymes y autónomos
Ciberseguros: ¿los CIO son imprudentes?
¿Por qué y cómo debería Zero-Trust evolucionar hacia un modelo “adaptativo”?
El ciberseguro es un nivel extra de seguridad, no una solución en sí mismo
[
