Aunque cada vez más empresas recurren a soluciones basadas en la nube, muchas carecen de protección frente a los riesgos del entorno en línea. En Estados Unidos, por ejemplo, mientras el 80 % de las empresas depende de la tecnología en la nube, dos tercios de ellas no cuentan con protección. Con el coste de las brechas de seguridad cibernética en aumento, las empresas buscan formas de mitigar los riesgos para sus operaciones en línea. ¿Podría el seguro de ciberseguridad ser la respuesta?
En respuesta al creciente número de amenazas, algunas aseguradoras ya han empezado a ofrecer seguros contra las ciberamenazas y las interrupciones de las redes. La mayoría de las pólizas tienen un límite de 200 millones de dólares, lo que significa que los daños a gran escala, como un «Pearl Harbor cibernético», normalmente no estarían cubiertos por las pólizas de seguro. La mayoría de las empresas contratan pólizas con responsabilidades limitadas a entre solo 5 y 20 millones de dólares.
No solo las coberturas tienen límites, sino que también existe un número creciente de exclusiones. En 2012, el Tribunal de Apelaciones de Estados Unidos declaró responsable a una división bancaria por transferencias fraudulentas desde la cuenta de un usuario. El tribunal afirmó que el usuario no tenía los conocimientos suficientes para reconocer una actividad fraudulenta y responsabilizó al banco por no proporcionar medidas de protección adecuadas. Tras esta sentencia que sentó precedente, las aseguradoras están introduciendo diversas excepciones en sus pólizas.
Por último, para determinar lo eficaces que son las empresas a la hora de limitar su exposición a las ciberamenazas, las compañías de riesgo y de seguros realizan «evaluaciones de madurez». Los marcos óptimos para estas evaluaciones aún están en debate y plantean la cuestión de la fijación de precios de los seguros. Hasta ahora no existe consenso sobre cómo cuantificar y fijar el precio de las primas de ciberseguro, pero para muchas pequeñas y medianas empresas, el ciberseguro sigue siendo inasequible.
Sin embargo, con las cifras ya citadas, ¿pueden permitirse las empresas no contar con algún tipo de protección frente a las ciberamenazas? De hecho, en un estudio reciente, los directivos del sector asegurador situaron los ciberataques y la ciberguerra entre los cuatro principales riesgos extremos, junto con una pandemia a gran escala, una catástrofe natural y una crisis de alimentos, agua o energía. Y el año pasado, casi la mitad de los consejos de administración de empresas estadounidenses situaron la ciberseguridad como su principal preocupación, casi el doble que en 2008. Quizá por esta razón, el 77 % de las empresas que han contratado ciberseguros afirma que los recomendaría a otras compañías. Y, además del 31 % de las grandes empresas que ya han contratado un ciberseguro, otro 39 % tiene previsto hacerlo. Al mismo tiempo, hasta que las brechas de ciberseguridad les afecten directamente, la mayoría de las empresas cree que puede funcionar bien sin ciberseguro.
¿Y hacia dónde va el ciberseguro a partir de ahora? A medida que aumentan el número de ataques y su sofisticación, se prevé que crezca el tamaño del mercado del ciberseguro. Solo en Estados Unidos, el sector del ciberseguro genera 1.300 millones de dólares al año. En Europa, los ingresos anuales estimados del sector son de 192 millones de dólares y se espera que el mercado alcance 900 millones de euros en 2018. En Estados Unidos, la Casa Blanca respaldó el desarrollo de un mercado de seguros de ciberseguridad para empresas de infraestructuras críticas. La Unión Europea debate la nueva normativa que obliga a las empresas a notificar las brechas, lo que se considera otro factor que impulsa la demanda de este tipo de cobertura de seguro.
Sin embargo, quedan muchas preguntas sin respuesta. ¿Cómo debe fijarse el precio de la prima? ¿Cuál es la responsabilidad de las empresas con sus clientes? ¿Cómo pueden las empresas cuantificar el daño reputacional de los ciberataques? Sean cuales sean las respuestas a estas preguntas, mientras los laboratorios de seguridad registran alrededor de 69 nuevos fragmentos de malware por minuto, las empresas son cada vez más conscientes de la necesidad de mantener su resiliencia en todo momento.
Autora: Elena Kvochko es responsable del sector de TI en el Foro Económico Mundial
Imagen: Una lupa frente a la pantalla de un ordenador. REUTERS/Pawel Kopczynski