La ciberdelincuencia y la inseguridad estuvieron entre los 10 principales riesgos mundiales en 2023.
A medida que la tecnología ha avanzado, las ganancias derivadas de la innovación se han vuelto más marginales, mientras que los riesgos de ciberseguridad se han intensificado.
La industria de los seguros puede proteger a los consumidores y a las empresas frente a esta dinámica.
En lo que respecta a la ciberseguridad, no cabe duda sobre la importancia de “la seguridad por defecto.” Este enfoque garantiza que los usuarios de productos estén protegidos frente a las amenazas más frecuentes sin tener que adoptar medidas especiales. Sin embargo, aplicar la seguridad por defecto de forma generalizada plantea desafíos. El coste de los productos y la velocidad de la innovación, por ejemplo, pueden verse presionados.
¿Cómo aborda el Foro los desafíos globales de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al posibilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer su ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
La buena noticia es que la aplicación de la seguridad por defecto no necesita ser omnipresente para ser eficaz. Un puñado de productos maduros genera la mayor parte del ciberriesgo, con rendimientos decrecientes en innovación.
Sorprendentemente, es posible que la aplicación de normas de seguridad por defecto no acabe recayendo en el gobierno. De hecho, en lo que respecta a la aplicación de las máximas protecciones de ciberseguridad, la industria de los seguros puede ser un héroe anónimo.
En realidad, es más probable que los gobiernos adopten selectivamente normas de seguros y las conviertan en requisitos de cumplimiento, así como que protejan a los consumidores para que no tengan que asumir la totalidad de los costes del cumplimiento.
Los riesgos de ciberseguridad desproporcionados son fundamentales
Cuando el software empezó a impulsar la actividad empresarial hace casi 30 años, el ciberriesgo era muy bajo y cada nueva versión generaba enormes avances funcionales, por lo que tenía sentido dar prioridad a los ciclos de innovación rápidos por encima de todo lo demás. El software siempre “apenas funcionaba”, y el riesgo asociado a la tecnología defectuosa ha sido asumido casi en su totalidad por el comprador.
Este enfoque ya no resulta útil, ya que la ciberdelincuencia y la inseguridad figuran entre los 10 principales riesgos mundiales en 2023, según el Foro Económico Mundial. Gran parte del software empresarial actual está maduro. Las nuevas versiones ofrecen mejoras marginales en productividad, al tiempo que a menudo generan vulnerabilidades críticas que afectan a miles de millones de usuarios.
Los productos de software más ampliamente adoptados deberían cumplir los estándares de seguridad más exigentes. Tienen una base de usuarios muy amplia y son muy maduros. Un ejemplo: en los últimos cinco años, el 50% de todos los ataques de ransomware en Estados Unidos se originó en una única herramienta de acceso remoto (RDP), integrada en el sistema operativo Windows.
Por ello, un enfoque pragmático y segmentado, que dé prioridad a estándares de seguridad elevados, por diseño y por defecto, al software más relevante, será mucho más eficaz para reducir el ciberriesgo que intentar resolver el riesgo en todo el sector tecnológico.
¿Qué está haciendo el Foro Económico Mundial para abordar la brecha de talento en ciberseguridad?
Intervención para reducir el ciberriesgo
Aunque no se diga explícitamente, el software funciona actualmente con un modelo de “uso bajo su propio riesgo”. Esto significa que la mayoría de los proveedores tecnológicos no rinden cuentas ni asumen responsabilidad por las consecuencias del riesgo que generan mediante vulnerabilidades constantes del software. Cuando un atacante explota una vulnerabilidad, la empresa que utiliza el software (y su aseguradora) soporta la carga financiera, jurídica y reputacional resultante.
En las grandes empresas con un equipo de seguridad dedicado que puede mantenerse al día de las actualizaciones y de las vulnerabilidades emergentes, los riesgos pueden ser manejables. Sin embargo, las pequeñas y medianas empresas sin equipos de seguridad internos dedicados ni recursos suficientes asumen más riesgo y, a menudo, no son conscientes del posible daño catastrófico hasta que es demasiado tarde.
Además, a medida que la tecnología de malware ha avanzado, también han avanzado las herramientas de seguridad que una organización necesita para frustrar esos riesgos. Estas herramientas sofisticadas no solo son demasiado caras para la mayoría de las pequeñas empresas, sino que requieren operadores expertos que estas no pueden permitirse contratar ni alquilar a una empresa de servicios de seguridad gestionados.
En resumen: las pequeñas empresas sufren un fallo de mercado en ciberseguridad. Quedan rezagadas, con un panorama de amenazas complejo y en crecimiento, herramientas demasiado caras, ninguna rendición de cuentas por parte de los proveedores tecnológicos que crean nuevas brechas en su seguridad y poco o ningún apoyo gubernamental. Este fallo de mercado no se va a resolver por sí solo.
Los seguros: el regulador de riesgos de facto del mundo
El seguro de ciberriesgos podría ser la solución más adecuada para este problema, gracias a su capacidad única de crear incentivos financieros para el cumplimiento de normas de seguridad que el mercado no puede generar de forma natural.
La industria aseguradora cuenta con los datos, la experiencia y la motivación necesarios para determinar qué puede ayudar a reducir el ciberriesgo hasta un nivel asegurable. Históricamente, el seguro ha sido el moderador de seguridad de facto en todo el conjunto de riesgos, asumiendo gran parte de la carga de estandarizar las tecnologías y los procesos de mitigación de riesgos en todos los sectores. Un ejemplo claro es la imposición de los airbags instalados en todos los automóviles por parte de la industria aseguradora, que demandó al Gobierno federal de Estados Unidos ante el Tribunal Supremo para convertirlo en un requisito, a pesar de las objeciones de la industria automovilística.
La aseguradora es creíble. Tiene dinero en juego, es imparcial respecto a qué solución de seguridad gana y dispone de datos a gran escala, incluido el coste real de un incidente cibernético, no solo la frecuencia de los mismos. Los requisitos de suscripción son una excelente herramienta de cumplimiento que puede establecer eficazmente un estándar. Los clientes de software de alto riesgo o mal configurado serán “penalizados”, lo que crea responsabilidad por las decisiones tomadas por el proveedor. El software seguro recibirá un descuento en la prima y el respaldo de la aseguradora.
Los gobiernos pueden entonces aprovechar el trabajo realizado por la industria aseguradora y convertir estos estándares en requisitos de cumplimiento, cuando proceda.
InsurSec: la fusión de seguros y seguridad
Para las pequeñas empresas, la aseguradora también puede solucionar el fallo de mercado que hoy mantiene al software fuera de su alcance. Al asumir el riesgo, la aseguradora tiene incentivos para ayudar a las empresas a mejorar su seguridad y evitar un incidente. En algunos casos, la aseguradora puede proporcionar software y operaciones de seguridad para ayudar a reducir las pérdidas de sus clientes. Además, la aseguradora tiene incentivos para apoyar a las pequeñas empresas en la selección de mejor software y en la gestión de su configuración.
Una nueva generación de empresas InsurSec (seguros + seguridad) podría acercarnos a un mundo en el que la seguridad sólida sea la norma y no la excepción, y en el que los consumidores no sean responsables de las deficiencias del software en el que confían.
