El papel de la industria de los seguros cibernéticos en garantizar un ecosistema mundial de ciberresiliencia se ve menoscabado por la falta de un marco estandarizado para medir su ciberresiliencia.
El aumento de la demanda de seguros cibernéticos significa que las aseguradoras están en posición y tienen incentivos para influir en la implementación de estándares de ciberresiliencia como parte de una metodología mejorada de evaluación de riesgos.
Las aseguradoras cibernéticas desempeñan un papel importante en la mejora de la ciberresiliencia mediante la colaboración, la mejora, el seguimiento, la calidad y la inteligencia.
La guerra entre Rusia y Ucrania de 2022 demuestra que los ciberataques siguen aumentando y que la militarización de las ciberamenazas se está convirtiendo en una herramienta para maximizar el impacto en múltiples empresas e infraestructuras críticas importantes para las economías nacionales. Garantizar la ciberresiliencia depende de una identificación y mitigación eficaces de los riesgos. Por eso, ahora es más importante que nunca que las organizaciones se pongan una «chaqueta antibalas digital».
La industria de los seguros cibernéticos tiene un papel importante en la mejora y la garantía de un ecosistema mundial de ciberresiliencia. Sin embargo, las aseguradoras cibernéticas y las organizaciones aseguradas carecen de un marco estandarizado para medir su ciberresiliencia. En su lugar, se basan en parámetros de referencia del sector para asignar recursos y en técnicas obsoletas para cuantificar el riesgo cibernético.
A medida que los incidentes cibernéticos aumentan en frecuencia y se intensifican sus efectos disruptivos, queda claro que un mayor gasto en ciberseguridad no necesariamente impulsa una mayor madurez cibernética. En los últimos dos años, las aseguradoras han experimentado de primera mano los efectos de los métodos inmaduros de evaluación de riesgos al asegurar organizaciones, ya que las 20 principales aseguradoras cibernéticas han registrado recientemente índices de siniestralidad récord.
Con el aumento de la demanda de seguros cibernéticos, las aseguradoras están ahora en posición (y tienen motivación financiera) para influir en la implementación de estándares de ciberresiliencia como parte de una metodología mejorada de evaluación de riesgos.
Hay varias formas en que las aseguradoras cibernéticas son esenciales para mejorar la ciberresiliencia.
1. Colaboración
Las aseguradoras cibernéticas pueden colaborar con gobiernos, organismos reguladores y organizaciones para mejorar continuamente y priorizar las acciones en función de la exposición actual a los ataques, ya que están en una posición única para adoptar las mejores prácticas de ciberresiliencia y observar una buena higiene y conducta de seguridad.
No solo pueden ofrecer los incentivos adecuados para fomentar conductas resilientes, sino que también tienen un interés financiero en mitigar el riesgo cibernético de la sociedad en distintos sectores y geografías. En consecuencia, sus balances están intrínsecamente vinculados al éxito de otros en materia de ciberseguridad.
Estandarizar las técnicas de medición del riesgo cibernético y los principios de gobernanza beneficia tanto a los seguros como a la sociedad.
2. Sugerir planes de mejora
Las aseguradoras cibernéticas también pueden animar a las organizaciones a seguir el orden de las operaciones sugiriendo planes de mejora.
Los proveedores evalúan la postura de seguridad de una organización para determinar las primas. Para ello, tienen acceso a múltiples aspectos de información interna, como incidentes de seguridad, brechas y datos de reclamaciones que quizá no se hayan hecho públicos.
A partir de esa información, las aseguradoras cibernéticas determinan las primas y los contratos, y también podrían definir objetivos de mejora que incentiven acciones positivas en materia de seguridad.
Incentivos como revisar las primas y ofrecer descuentos a los asegurados con posturas de seguridad consistentemente sólidas podrían tener un gran impacto.
3. Herramientas de seguimiento y aseguramiento de la calidad
Las aseguradoras cibernéticas pueden aplicar prácticas y herramientas de seguimiento continuo para garantizar una postura cibernética mejorada mediante métricas como las calificaciones de seguridad.
El seguimiento continuo minimiza los riesgos cibernéticos y permite comprender mejor las calificaciones de ciberseguridad de una entidad asegurada en el momento de una brecha o un incidente. Combinar este tipo de conocimientos con descubrimientos cruciales sobre el tipo de brecha o incidente ocurrido y las categorías de impacto indicadas en las reclamaciones proporcionará información única.
Por ejemplo, descubrir correlaciones entre el tipo de entidad (p. ej., sector y tamaño), la calificación de madurez cibernética de la entidad y el impacto de la brecha en la empresa que dio lugar a una reclamación ante la aseguradora (o varias aseguradoras en algunos casos) supone una mejora inestimable de nuestros conocimientos sobre los indicadores de riesgo.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en desarrollar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la ciberresiliencia y abordar desafíos que requieren respuestas colectivas.
La agregación y anonimización de los análisis de los datos de reclamaciones debería revelar indicadores, patrones y tendencias emergentes con fuertes correlaciones. Estos datos pueden servir como argumento legítimo durante las negociaciones de primas con los asegurados, tanto las anuales como las posteriores a incidentes.
Está claro que las aseguradoras están bien posicionadas para influir en las organizaciones y ayudarlas a lograr la ciberresiliencia. Pueden hacerlo aprovechando la posibilidad de una suscripción continua, en la que las aseguradoras supervisan periódicamente la postura de riesgo de los asegurados. Esta supervisión activa puede ser útil para asesorar de forma proactiva a los clientes sobre las mejores maneras de evitar incidentes cibernéticos.
Con modelos de riesgo basados en datos, las aseguradoras pueden motivar a los asegurados a mejorar sus controles y, con ello, su calificación de riesgo de ciberseguridad y su resiliencia en un panorama de riesgos en constante evolución.
4. Uso e intercambio de inteligencia
Durante un incidente, las aseguradoras cibernéticas pueden utilizar y compartir la inteligencia con los actores del ecosistema y las fuerzas del orden para acelerar la respuesta y reducir los tiempos de recuperación, minimizando así el riesgo.
Como ya se ha mencionado, los proveedores tienen acceso exclusivo a incidentes de seguridad, brechas y datos de reclamaciones que quizá no se hayan hecho públicos. Sería irresponsable que las aseguradoras impidieran que esta información sirviera para orientar las políticas regulatorias, las prácticas de ciberseguridad y la respuesta a incidentes.
Los indicadores de compromiso (IoC) se comparten habitualmente entre los ISAC (centros de análisis e intercambio de información) de Estados Unidos, Europa y Asia para contribuir a la resiliencia colectiva de un sector o una industria, como el petróleo y el gas, los servicios financieros o el comercio minorista y la hostelería. STIX y TAXII (que, desde junio de 2021, están en la versión 2.1) son protocolos estructurados para compartir datos con este fin.
Quizá las grandes empresas deberían buscar formas similares de crear comunidades de profesionales de los seguros que puedan beneficiarse de TTP (tácticas, técnicas y procedimientos) agregados y anonimizados, así como de los datos correspondientes sobre brechas o interrupciones empresariales. Cuando se añadan a este conjunto básico de información sobre eventos y actores de amenazas fuentes más detalladas de inteligencia sobre amenazas de proveedores de seguridad, quizá contribuyamos a crear una capacidad de defensa colectiva verdaderamente resiliente y sólida.
