Ciberseguro

Es un seguro pensado para empresas cuya actividad depende de sistemas, datos o proveedores tecnológicos. Cubre, según la póliza, las consecuencias de un ciberataque —cualquier fallo en la seguridad del sistema informático que da lugar a un acceso no autorizado, a la alteración o pérdida de datos, o a un ataque de denegación de servicio—, la gestión de una brecha de datos, y la pérdida de beneficios derivada de la indisponibilidad de los sistemas. No sustituye a las medidas de ciberseguridad de la empresa: las complementa.

No: las garantías de ciberriesgo de una póliza multirriesgo son coberturas básicas para incidentes menores y no sustituyen a una póliza de ciberriesgo específica.

Lo que suele cubrir la garantía adicional del multirriesgo se limita a asistencia informática básica —ayuda telefónica o remota para configurar un router o limpiar un virus común— y copias de seguridad, con límites de dinero muy bajos.

Lo que dejas fuera si no contratas una póliza de ciberriesgo específica es más relevante: una póliza de ciberriesgo cubre tres riesgos que el multirriesgo no toca. La pérdida de beneficios real —si un ciberataque paraliza tus sistemas o tu tienda online durante días, el ciberriesgo paga el dinero que dejas de ganar, mientras que el multirriesgo solo paga si el negocio se para por un daño físico como un incendio o una inundación—. Las brechas de datos y sanciones RGPD —si te roban datos de clientes, la póliza específica cubre la investigación forense, los gastos de notificar por ley a los afectados y las multas de la AEPD, algo que el multirriesgo no cubre—. Y la extorsión y el secuestro de datos, con los gastos de negociación y gestión especializada si un hacker encripta tus servidores y pide un rescate.

Es un incidente de seguridad que provoca el acceso, la filtración, la pérdida, la alteración o el robo de información confidencial de manera no autorizada.

Son los gastos económicos que asume una aseguradora de ciberriesgo para reparar, recuperar y volver a poner en marcha la infraestructura informática de tu empresa tras sufrir un ciberataque. Incluyen: servicios de informática forense —contratación de expertos para analizar el origen del ataque y desinfectar los sistemas de virus o malware—; recuperación de la información —gastos para restaurar las bases de datos y la información perdida a partir de copias de seguridad—; reconfiguración de software —costes de reinstalar sistemas operativos, aplicaciones del negocio y licencias que hayan quedado dañadas o corruptas—; y sustitución de hardware dañado.

No: la ciberseguridad y el ciberseguro no son alternativas, son dos capas complementarias que actúan en momentos distintos del mismo problema — la ciberseguridad reduce la probabilidad de un incidente, el ciberseguro cubre sus consecuencias cuando ocurre.

La ciberseguridad actúa antes del incidente: firewalls, antivirus, autenticación de doble factor, formación de empleados, actualizaciones de software, backups regulares. Es imprescindible y no hay ciberseguro que la sustituya. El ciberseguro actúa cuando el incidente ocurre: cubre las consecuencias económicas, operativas y legales del ataque. No previene el daño, lo mitiga una vez producido.

El problema de confiar solo en la ciberseguridad es que el riesgo cero no existe, porque el punto de entrada más frecuente en un ciberataque no es técnico, es humano: un empleado que abre un archivo malicioso, un directivo que se conecta desde una wifi pública, un proveedor con acceso al sistema que sufre su propia brecha. Las empresas con mayor madurez en ciberseguridad son precisamente las que más invierten en ciberseguro, porque entienden mejor el riesgo residual.

Ejemplo: una empresa de consultoría tecnológica con certificación ISO 27001 y un equipo de seguridad interno robusto sufrió un ransomware que entró a través de un proveedor de mantenimiento con acceso remoto a sus sistemas. La certificación de la consultora no cubría los sistemas del proveedor. Invertir en ciberseguridad es necesario; confiar únicamente en ella es un riesgo.

No: una cláusula de responsabilidad con tu proveedor de software no te protege frente a las consecuencias de un incidente de ciberseguridad, porque la responsabilidad legal ante la AEPD y frente a tus clientes sigue siendo tuya.

Hay tres razones. Primera, la responsabilidad ante la AEPD siempre es tuya: el RGPD establece que el responsable del tratamiento de datos es la empresa, no su proveedor; si hay una brecha, es tu empresa la que debe notificar en 72 horas y la que puede recibir la sanción. Segunda, la reputación no se recupera repercutiendo en terceros: cuando los datos de tus clientes se filtran, esos clientes te lo reclaman a ti, no a tu proveedor. Tercera, reclamar al proveedor es un litigio largo e incierto: las cláusulas de responsabilidad de los contratos de software suelen estar llenas de limitaciones, exclusiones y caps, y mientras se resuelve, tu empresa ya ha asumido todos los costes de respuesta, defensa y sanciones.

El ciberseguro actúa en el momento del incidente, no al final de un litigio: cubre los costes de respuesta inmediata, la defensa ante la AEPD y las indemnizaciones a afectados sin esperar a que se resuelva quién tiene razón con el proveedor. Que tu proveedor sea responsable contractualmente no significa que tú no lo seas legalmente: son responsabilidades distintas que coexisten.

Depende de lo que el cliente pueda probar: si tu empresa no ha hecho nada para crear la confusión, la responsabilidad directa sobre la transacción fraudulenta es difícilmente atribuible a la empresa legítima — pero eso no impide que puedas ser demandado, y el ciberseguro cubre tanto la defensa legal como la respuesta reputacional.

Es el escenario del typosquatting llevado a su consecuencia más injusta: la empresa víctima del fraude se convierte también en objeto de una reclamación. Hay varios frentes en los que la empresa puede verse afectada aunque no tenga culpa directa: una reclamación por confusión de identidad, la necesidad de demostrar que el dominio fraudulento no es suyo (con los costes de defensa legal que eso implica aunque la demanda sea infundada), el daño reputacional inmediato, y el riesgo de que una reacción lenta se interprete como negligencia en la protección de la identidad digital.

El ciberseguro cubre en este escenario: los gastos legales para actuar contra el dominio fraudulento (requerimientos, acciones ante el registrador, retirada); la defensa frente a la reclamación del cliente, aunque sea infundada; los servicios de comunicación de crisis para informar a los clientes afectados; la responsabilidad civil frente al cliente dentro de los límites de la póliza; y la orientación para monitorizar futuros intentos de suplantación de dominio.

Sí, significativamente: vacaciones, bajas, festivos o reestructuraciones son los momentos donde los ciberdelincuentes concentran sus ataques, porque el personal de guardia tiene menos formación y protocolos, y la detección de incidentes se ralentiza.

Tres factores se potencian mutuamente en estos períodos: el factor humano se amplifica porque el personal de sustitución no siempre tiene la misma formación en protocolos de seguridad; la IA facilita ataques dirigidos a gran escala, rastreando redes sociales y webs corporativas para identificar quién está ausente y quién le sustituye; y los tiempos de respuesta se alargan porque el equipo de seguridad también está reducido.

Ejemplo: un director financiero publica en LinkedIn que empieza sus vacaciones. Dos días después, su sustituto recibe un correo desde una dirección casi idéntica a la del CEO pidiendo con urgencia una transferencia para una operación confidencial. Sin acceso al CEO y sin protocolo claro, el sustituto tramita la transferencia y el dinero no se recupera.

El ciberseguro está activo los 365 días del año, con el mismo nivel de cobertura en cualquier momento, y no depende de que el equipo interno detecte el incidente a tiempo: actúa cuando se notifica. La cobertura de Business Email Compromise (BEC) protege específicamente este tipo de fraude. Más allá del seguro, ayuda tener un protocolo escrito de verificación para cualquier solicitud de pago, formación específica al personal de sustitución y evitar publicar en redes sociales información sobre ausencias o estructura organizativa.