Casi en cualquier lugar que mire, las noticias sobre riesgos cibernéticos e interrupciones de datos son desalentadoras. Informe tras informe indica que el número y el costo de los incidentes cibernéticos aumentan rápidamente. (El último informe de este tipo, el Estudio sobre el costo de las filtraciones de datos de 2015: análisis global, del Ponemon Institute, sostiene que los ataques maliciosos son la causa principal del 47 por ciento de las filtraciones de datos, frente al 42 por ciento del año pasado, y que los costos asociados para las empresas han aumentado un 23 por ciento desde 2013). Expertos en ciberseguridad de todo el mundo coinciden en un estribillo ya habitual: si su empresa aún no ha sido pirateada, es solo cuestión de tiempo antes de que se vea comprometida.
Muchas de estas nuevas capacidades son posibles gracias al análisis de Big Data, que permite tomar registros de los numerosos y variados dispositivos de su red, recopilar los datos en un solo lugar y procesarlos para encontrar indicios de compromiso.”
Por inquietantes que sean las noticias sobre riesgos cibernéticos, las empresas no pueden simplemente cerrar los ojos y esperar lo mejor. En ese sentido, hay algunas buenas noticias. “Las empresas tienen ahora más opciones que nunca para ayudar a desarrollar resiliencia frente a esta amenaza. Se están utilizando soluciones de seguridad de manera más proactiva para buscar a los malos, y las personas son cada vez más conscientes de su responsabilidad personal y corporativa de proteger las fronteras cibernéticas”, afirma Linda Conrad, directora de Riesgo Estratégico Empresarial Global en Norteamérica, Zurich Insurance Group (Zurich). Además, las aseguradoras amplían continuamente sus conocimientos y apoyo en materia de gestión de riesgos cibernéticos, y vuelven a examinar cómo estructurar las pólizas para abordar los riesgos cibernéticos específicos de diversas industrias.
La mejor defensa es un buen ataque
Contar con medidas de ciberseguridad es un requisito para cualquier empresa desde hace tiempo, pero la tendencia está pasando de la seguridad preventiva a la seguridad de detección. Las medidas preventivas “tradicionales” —cortafuegos, software antivirus y similares— siguen formando parte del arsenal de ciberseguridad y ahora se utilizan junto con procesos que ayudan a las empresas a detectar la presencia de piratas informáticos y expulsarlos. Lo ideal es combinar estas herramientas tecnológicas con orientación sobre cómo pueden los empleados apoyar prácticas inteligentes de gestión del riesgo cibernético para proteger mejor a la organización.
“Ha habido mucha innovación en la detección avanzada de amenazas”, afirma Gerry Kane, director del segmento de ciberseguridad de Zurich Risk Engineering. “Muchas de estas nuevas capacidades son posibles gracias al análisis de Big Data, que permite tomar registros de los numerosos y variados dispositivos de su red, recopilar los datos en un solo lugar y procesarlos para encontrar indicios de compromiso en su propio entorno. Esa es el área en la que se está produciendo la mayor innovación en ciberseguridad.”
La participación de la junta directiva en la gestión del riesgo cibernético puede reducir en $5.50 por registro el costo de una filtración de datos, y la cobertura de seguro puede reducirlo aún más, en $4.40 por registro.”
Los equipos de seguridad de la información de élite también buscan proactivamente a los malos y, a menudo, emplean a personas que saben dónde buscar a los piratas informáticos. Esta táctica todavía es relativamente nueva, pero cuando se aplica bien está teniendo un efecto positivo, afirma Kane. “Ese enfoque también encaja muy bien con otra tendencia innovadora: el intercambio de información entre departamentos de seguridad de la información”, dice. “La industria de servicios financieros, el sector energético e incluso algunos gobiernos estatales y locales, por ejemplo, han creado Centros de Intercambio y Análisis de Información. Las empresas de esas industrias se reúnen y comparten sus experiencias para que los demás miembros del grupo puedan aprender de ellas y aprovechar esos conocimientos para buscar ese tipo de comportamientos y perseguir las amenazas. Esto todavía es muy nuevo, pero está ganando impulso y aceptación.”
Cómo encaja el riesgo cibernético en el panorama integral de riesgos
Los riesgos cibernéticos pueden implicar más intangibles y parecer algo más hipotéticos que otros riesgos, pese a las crecientes pruebas en sentido contrario. “Una interrupción cibernética o una filtración de datos puede tener un impacto muy amplio en toda la organización”, afirma Conrad. “Las organizaciones no solo deben protegerse contra la pérdida de datos, sino también tener en cuenta los sistemas automatizados de sus líneas de montaje, las adquisiciones de suministros o la logística. La gestión de pedidos de ventas e incluso las nóminas también suelen estar automatizadas. Conviene evaluar estas exposiciones y su posible impacto empresarial, establecer controles tecnológicos y de personal, y contratar cobertura de seguro cibernético.”
El informe de Ponemon demuestra un principio básico de la gestión del riesgo cibernético que Zurich ha defendido durante mucho tiempo: la participación de la junta directiva es fundamental. De hecho, según el informe, dicha participación puede reducir, según se estima, el costo de una filtración de datos en $5.50 por registro. La cobertura de seguro puede reducirlo aún más, en $4.40 por registro.
La pregunta que nos hacen cada vez más no es «¿Qué puedo obtener con mi póliza cibernética que no esté cubierto en otro lugar?», sino más bien preguntas sobre cómo se relaciona el seguro cibernético con otras pólizas y dónde podrían estar esas brechas.”
El seguro cibernético es muy diferente de las líneas de seguro consideradas más tradicionales, como una póliza de propiedad, cuyos riesgos y repercusiones el dueño de una empresa puede visualizar y comprender con mayor facilidad. Sin embargo, el seguro cibernético puede desempeñar un papel amplio a la hora de abordar los riesgos cibernéticos, al reducir los costos y el tiempo de inactividad de las empresas. Así como han evolucionado los riesgos cibernéticos, también lo han hecho el enfoque de resiliencia empresarial y la cobertura de seguro disponibles para gestionar esos riesgos de manera proactiva.
“Es justo decir que muchas empresas todavía tienen dificultades para comprender el aspecto asegurador de la gestión del riesgo cibernético”, afirma Lori Bailey, directora global de Líneas Especiales de Zurich. “El componente de seguro ha avanzado mucho desde principios de la década de 2000, cuando se centraba principalmente en la seguridad de redes y las empresas tecnológicas. Gracias a las mejoras progresivas, vale la pena tomarse el tiempo para comprender no solo la cobertura del seguro en sí, sino también cómo se aplica a su organización: ¿Qué valor aporta y de qué lo protege realmente?”
Aunque todas las empresas pueden ser vulnerables, ciertas industrias tienen exposiciones y necesidades muy específicas en lo que respecta a la protección frente a la responsabilidad cibernética o a la seguridad y la privacidad. En el caso de las instituciones financieras, por ejemplo, ya hay varios productos de seguro en el mercado que abordan algunos aspectos de los riesgos cibernéticos sin ser una póliza específica para estos riesgos. En esas industrias, “se están adaptando los productos de seguro existentes para que encajen con otros productos que quizá ya se hayan contratado, o para atender requisitos específicos propios de esa industria”, afirma Bailey.
Gestión de riesgos interconectados
La armonización del seguro cibernético con las pólizas existentes es un paso natural en la gestión de riesgos cibernéticos interconectados. A medida que las empresas vuelven a evaluar el seguro cibernético —qué cubren las pólizas y cómo están estructuradas—, crece la conciencia sobre qué otras pólizas de seguro podrían responder o no ante incidentes cibernéticos, brechas de seguridad de redes o incidentes de privacidad.
Una de las ventajas de contar con una póliza de seguro cibernético es el servicio proactivo que la acompaña. En lugar de limitarnos a responder a las reclamaciones, podemos diseñar y poner a prueba escenarios de riesgo cibernético en tiempo real, ayudando a las empresas a realizar evaluaciones de riesgos eficaces.”
“La pregunta que nos hacen cada vez más no es «¿Qué puedo obtener con mi póliza cibernética que no esté cubierto en otro lugar?», sino más bien cómo se relaciona el seguro cibernético con otras pólizas y dónde podrían estar esas brechas”, afirma Bailey. “Por ejemplo, cuando un fabricante contrata una póliza cibernética, por lo general ya cuenta con un programa de seguros de propiedad y responsabilidad civil, y quizá también tenga cierta cobertura para la cadena de suministro y la logística, sobre todo porque más del 50 por ciento de las interrupciones de proveedores el año pasado se debieron a problemas cibernéticos. Así, la pregunta original pasa a basarse en escenarios. Si piratean la red del fabricante y la dejan fuera de servicio, ¿qué póliza responderá? ¿Será una póliza de cadena de suministro «contra todo riesgo»? ¿La póliza cibernética? ¿La póliza de propiedad, si la brecha causa algún daño físico? En algunos casos podrían activarse varias pólizas, y creo que ese es uno de los retos a los que se enfrentan las empresas a medida que los riesgos cibernéticos amplían su exposición. Por eso, en Zurich abordamos las necesidades relacionadas con los riesgos cibernéticos desde una perspectiva integral.”
Crear en las empresas un nivel de confianza en el seguro cibernético como el que tienen en otras áreas de seguros es donde la ingeniería de riesgos se vuelve fundamental. “Una de las ventajas de contar con una póliza de seguro cibernético es el servicio proactivo que la acompaña”, afirma Bailey. “En lugar de limitarnos a responder a las reclamaciones, podemos diseñar y poner a prueba escenarios de riesgo cibernético en tiempo real, ayudando a las empresas a realizar evaluaciones de riesgos eficaces.”
Zurich lleva mucho tiempo aplicando ingeniería de riesgos en el ámbito de la propiedad, por ejemplo, para minimizar los daños de posibles incidentes antes de que ocurran. Ahora aplica algunos de esos mismos principios al ámbito de la seguridad de redes y la privacidad como parte del proceso de suscripción. “En Zurich estamos desplegando a nuestros propios expertos para ayudar a las empresas a evaluar de antemano los riesgos cibernéticos y determinar dónde tienen brechas en su programa. Después trabajamos con ellas para tratar de mitigar esas brechas tanto como sea posible antes de que ocurra una reclamación”, afirma Bailey.
Este artículo se publica en colaboración con Zurich Knowledge Hub. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para mantenerse al día con la Agenda suscríbase a nuestro boletín semanal.
Autor: Joe Ritchey es gerente de riesgos en Capital Region Water.
Imagen: Un hombre escribe en un teclado de computadora en Varsovia, en esta fotografía de archivo ilustrativa del 28 de febrero de 2013. REUTERS/Kacper Pempel/Archivos.
