SEGUROS Y EL AUMENTO DE LA CIBER SEGURIDAD CONTRA LAS NUEVAS AMENAZAS

Con el crecimiento del cibercrimen y la cobertura mediática intensiva de las violaciones de privacidad y los ataques de ransomware durante el último año, ¿la complacencia sobre los riesgos cibernéticos podría ser cosa del pasado? Si bien los consumidores siguen siendo terriblemente malos para protegerse (por ejemplo, la baja aceptación de la Autenticación de Dos Factores), las salas de juntas están cada vez más hambrientas de protección, y las compañías más grandes están a la cabeza.

Solo los números deberían motivar a cualquier empresa, grande o pequeña, a acelerar su juego de seguridad cibernética: para 2019, se espera que el cibercrimen les cueste a las empresas más de USD 2 billones, frente a USD 500 millones en 2015 (Juniper Research, 2015). Las empresas están invirtiendo más en tecnología y servicios de ciberseguridad, registrando un aumento del 7% en el gasto de 2016 a 2017. Se estima que el gasto global para estas tecnologías y servicios (distintos de los seguros) para 2018 alcanzará los USD 93 mil millones. Estos números que hacen girar la cabeza son grandes, casi hasta el punto de la abstracción. Tal como están las cosas, la llamada más poderosa que motiva la inversión en la gestión del riesgo cibernético parece ser atacar a la propia empresa, una estrategia peligrosa, por decir lo menos.

El crecimiento en el mercado del seguro cibernético es un signo seguro de que las empresas están cada vez más conscientes del riesgo cibernético y del apetito por transferir la exposición. Pero comprar las políticas correctas puede ser un desafío, especialmente para las compañías cuya comprensión de sus propias vulnerabilidades puede ser incompleta. La falta de terminología similar y los diferentes enfoques para ofrecer cobertura, junto con la complejidad de las políticas mismas, aumentan la frustración y reducen la demanda de los compradores.

El desafío de comprender la exposición

Incluso las grandes empresas que están "en él" pueden subestimar su exposición y la cobertura necesaria. La cobertura de riesgo cibernético de Equifax se estimó entre USD 100 millones y USD 150 millones, sin embargo, las pérdidas totales serán significativamente más altas que eso (Bloomberg, 2017). Más allá de esta brecha potencialmente costosa, el caso Equifax ofrece una demostración escalofriante de los impactos de una violación de datos a gran escala. En los cinco días hábiles posteriores al incumplimiento de Equifax, la compañía perdió USD 3.5 mil millones en valor de mercado, el precio de sus acciones tocó fondo con una caída del 30% (los precios de las acciones han recuperado cerca del 20% al momento de escribir esto). Daño a su marca, interrupción causada por cambios en la gestión posterior a la infracción, escrutinio regulatorio y multas inminentes. el costo de ofrecer un año de servicios gratuitos de monitoreo de crédito a 143 millones de clientes afectados y al menos 24 demandas colectivas propuestas se suman a los desafíos que enfrenta la compañía. Se espera que arreglar esos trajes solo le cueste a la compañía unos USD 200 millones (Petterson, 2017). Los últimos resultados trimestrales disponibles mostraron que las ganancias cayeron un 27% (Bloomberg, 2017).

Si las grandes empresas pueden ser víctimas de ataques cibernéticos, las empresas más pequeñas son particularmente vulnerables. Si bien el nivel de penetración para el seguro cibernético independiente es superior al 50% o más entre las grandes empresas en la mayoría de los países, la adopción por parte de las pymes tiene un solo dígito.

La falta de datos históricos de incidentes cibernéticos (y experiencia directa) es un gran problema que impide a las aseguradoras desarrollar los modelos predictivos de los que dependen para establecer primas y modelos de exposición precisos. Esto, a su vez, reduce la disposición de las compañías de seguros (y reaseguradoras) para extender cantidades significativas de cobertura. También conduce a exclusiones y sublímites que los clientes pueden encontrar poco atractivos. Los datos que se recopilan existen principalmente en los repositorios aislados de diversas entidades sin acceso fácil o la armonización requerida para la comparación.

Un riesgo con pocos límites

La naturaleza evolutiva del delito cibernético significa que los modelos de riesgo pueden tener que mirar más allá de los datos históricos. Con nuevas formas de malware y otras tecnologías dirigidas a sistemas operativos ubicuos, aplicaciones comunes, servicios en la nube y plataformas de hardware, un único acto delictivo puede escalar a dimensiones globales. El ataque del ransomware WannaCry del año pasado puede ser un presagio de lo que vendrá. Propagando a través de los sistemas heredados de Windows, Wannacry infectó más de 200,000 computadoras en 150 países. De hecho, el potencial de riesgos de acumulación puede desalentar a algunas aseguradoras y reaseguradoras de entrar en el mercado del seguro cibernético en absoluto. El resultado final: la incertidumbre y los riesgos correlacionados conducen a precios más altos y niveles de cobertura limitados.

"Puede haber margen para que los gobiernos fomenten la certificación y los estándares para la gestión del riesgo cibernético".

Remediando la falta de datos armonizados y compartibles sobre incidentes de ciberataque es crítico si la industria de seguros debe aprovechar su experiencia en gestión de riesgos para ayudar a los países a abordar los riesgos inherentes a la transición a una economía digital. El entorno político y legal puede proporcionar información que puede disminuir el nivel de incertidumbre. Particularmente en países con requisitos de notificación o divulgación limitados, los gobiernos deberían considerar la contribución que tales requisitos podrían hacer para mejorar la disponibilidad de datos sobre incidentes cibernéticos. En otro nivel, un número o actores en el sector de seguros están examinando el valor de diferentes tecnologías y prácticas de protección con el objetivo de mejorar su capacidad para evaluar el riesgo en las empresas. Si bien evaluar la efectividad de las tecnologías de seguridad cibernética es un desafío,

Permitir la industria de seguros cibernéticos

Con la violación de Equifax y los ataques de ransomware WannaCry, 2017 puede haber sido un punto de inflexión en la conciencia organizacional de los riesgos cibernéticos. Sobre sus talones, el descubrimiento de Meltdown y Spectre, dos debilidades de seguridad integradas en los microprocesadores de prácticamente todas las computadoras del mundo, fueron las primeras malas noticias de 2018, y podrían ser fuente de problemas en los próximos años. Asegurémonos de que haya políticas vigentes para permitir que la industria del seguro cibernético se convierta en una fuerza motriz que respalde la resistencia y la resiliencia a nivel nacional del ciberseguridad.

OCDE (2018).