¿Qué es un seguro para riesgos cibernéticos?
El Seguro de Riesgos Cibernéticos es una herramienta fundamental de ayuda a las empresas para proteger su patrimonio ante posibles fugas de seguridad, ataques de hackers, virus informáticos, empleados deshonestos o negligentes, fuga de información y robo de identidad, entre otros.
Los seguros de riesgos cibernéticos cubren al asegurado frente ataques de virus y delincuentes informáticos. Están destinados a proteger a las empresas de los riesgos, tanto online como offline, a los que están expuestas y que pueden llegar a ocasionarles grandes pérdidas.
Los datos sobre ciber ataques muestran un escenario preocupante, tanto en el número de incidencias detectadas, como en la gravedad de estas. Además, hay casos que no salen a la luz para evitar daños en la reputación de la sociedad. La exposición es obvia, pues cualquier entidad que almacene, manipule o transmita datos se encuentra expuesta a sufrir un robo de datos o una disrupción de sus sistemas. Los daños pueden ser graves, ya que las empresas dependen de sus recursos tecnológicos y si sus sistemas sufren una intrusión puede derivar en una interrupción de su actividad y consecuentemente en un daño económico importante. La asunción de los costes de una brecha de seguridad por estos motivos puede afectar gravemente a la empresa.
Es importante destacar que en mayo de 2018 entró en vigor el Reglamento Europeo de Protección de Datos Personales, que endurece significativamente las sanciones por incumplimiento de la normativa, contemplando cifras de hasta 20 millones de euros o el 4% del volumen anual de negocio para casos de excepcional gravedad.
Para enfocar adecuadamente el aseguramiento hay que ver de dónde puede surgir el problema, pues no es igual sufrir una violación de seguridad por un sofisticado ataque externo, a pesar de las medidas de seguridad adoptadas, que errores internos que supuestamente pueden evitarse con los procedimientos adecuados.
¿Cómo ocurren los problemas?
- El 71% de las violaciones de seguridad son por delincuentes cibernéticos o “hackers”.
- 12% por errores de empleados y 9% por acciones malintencionadas de empleados.
- Los socios y directivos son responsables directamente del 4% de las violaciones de seguridad.
- El otro 4% se debe a contrataciones externas que encuentran acceso indebido a los sistemas de la sociedad con la que tienen relaciones. Las asesorías se ha visto que son uno de los principales objetivos de ataque debido a la calidad de la información que manejan, y al hecho de que suelen tener sistemas de seguridad más vulnerables.
¿Qué debe cubrir el seguro de riesgos cibernéticos?
Hay que hacer un diagnóstico de las características de la empresa y dónde están principalmente sus riesgos, primero para evitarlos mediante los procesos adecuados; y luego, para cubrirlos mediante un buen seguro.
El Seguro de Riesgos Cibernéticos cubrirá al asegurado frente a ataques de virus y delincuentes informáticos, así como ante posibles errores de empleados. Las principales coberturas son:
- Responsabilidad por vulneración de privacidad.
- Responsabilidad en materia de seguridad de redes.
- Sanciones administrativas.
- Interrupción de actividad y pérdida de beneficios.
- Gastos de respuestas a incidentes.
- Pérdida de datos y reposición
- Extorsión cibernética.
Destacamos cuatro crisis y las respuestas del seguro de riesgos cibernéticos que pueden sufrir las empresas:
- De sus sistemas:
- Servicio de informática forense, analizando y conteniendo el incidente para que sólo tenga consecuencias técnicas.
- Legal:
- Servicios legales de primeras respuestas, sobre la obligación de notificarlo a los afectados, y dando respuesta y seguimiento a las quejas planteadas.
- Financiera:
- Protección financiera que abarca la pérdida por interrupción en las redes de comunicación y por tanto de actividad de la empresa, las sanciones administrativas que se puedan imponer, y la protección ante un evento de extorsión.
- En su reputación:
- Establecimiento de protocolos de comunicación, los servicios de restauración de identidad, y los servicios de restitución de imagen.
Es interesante señalar que la contratación de un seguro es una buena ocasión para comprobar que los procesos en la compañía en relación con los sistemas cibernéticos están razonablemente bien diseñados y se implementan adecuadamente, contándose con medios suficientes.
¿Qué puede pasar?
Todas las empresas están sometidas a los riesgos cibernéticos como estos ejemplos:
Extorsión cibernética:
Varios empleados de una empresa reciben un mail indicando que tienen una deuda pendiente, en el mail se invita a acceder a un enlace para obtener más información, uno de ellos hace clic en el link y automáticamente salta un pop-up informando que todos sus archivos han sido encriptados y pidiendo un rescate en bitcoins.
La amenaza es clara: o hacen frente al pago o destruyen la información.
Empleado negligente:
En un bufete de abogados, uno de sus socios olvida un pendrive con información sensible de una operación en un tren.
Otra persona, que es periodista, encuentra dicho pendrive y comprueba que la información es tremendamente interesante para publicarla en prensa.
Al aparecer la noticia en los medios, el bufete de abogados, único conocedor de la información y que había firmado una cláusula de confidencialidad, tiene que asumir el error.
Daños por agua en los servidores:
Una empresa sufre una inundación que afecta a los servidores físicos, donde se procesan todos los pedidos de clientes y se gestionan diariamente envíos. La inundación provoca una paralización automática de dichos envíos, ya que se ha perdido toda la información logística de clientes.
Ataque de denegación de servicio (DDoS):
Una empresa de comercio online sufre una caída de su página web en plena temporada alta. La empresa intenta hacer las gestiones con su empresa de informática, pero no son capaces de solucionar el incidente, y más teniendo en cuenta que se produce un viernes por la tarde. Lo que no sabe la empresa es que el ataque era uno de denegación de servicio encargado por una empresa de la competencia para incrementar sus ventas y afectar a su competidor. Tras 3 días de caída, la empresa consigue frenar el ataque, aunque ya han perdido múltiples pedidos y, sobre todo, clientes que tuvieron que buscar otra opción para sus regalos y se fueron a la competencia.
Fallo de un subcontratista:
Una cadena hotelera subcontrata a una empresa de informática la gestión de reservas y el correo electrónico a través de una nube con acceso por parte de cualquier persona de la organización. La empresa de informática subcontratada sufre un ataque informático por un fallo de seguridad en sus sistemas. Mediante dicho ataque los delincuentes informáticos acceden a la información en la nube de la cadena hotelera, así como a sus servidores principales, dado que estos estaban conectados con la empresa informática.
Se produce un robo de información personal de múltiples clientes de la cadena, incluyendo tarjetas de crédito utilizadas en los hoteles y en su página de reservas online.
Además, la noticia se filtra a la prensa, que incluye un titular con el ataque a la cadena hotelera, sin mencionar que el fallo vino derivado del subcontratista.
Suplantación de Identidad:
El director financiero de una empresa entra desde su ordenador corporativo en un mail de LinkedIn para aceptar una solicitud de amistad, lo que no sabe es que dicho mail es falso.
Al hacer clic en el link un delincuente informático se conecta en remoto a su ordenador, y roba sus credenciales como director financiero. Empieza a ordenar transferencias que acaban en cuentas del extranjero.
Se trata de un seguro complejo, en el que es siempre recomendable la intervención de un mediador profesional antes de contratarlo.
Desde CISEVAN te ayudaremos a elegir la mejor solución para tus necesidades.
¡Consúltanos sin compromiso!
