Qué mira una aseguradora de ciberriesgo antes de asegurarte

Por qué ya no basta con rellenar un formulario

Hace unos años, contratar un ciberseguro era casi tan sencillo como rellenar un cuestionario y pagar la prima. El aumento del ransomware ha cambiado esto por completo: las aseguradoras han sufrido tantos siniestros que ahora exigen evidencias concretas de controles técnicos antes de asegurar, y pueden negar el pago de un siniestro si se demuestra que la empresa no tenía activo lo que declaró tener en el cuestionario. La póliza ya no es un cheque en blanco: es un contrato que exige mantener ciertas condiciones de seguridad de forma continua, no solo el día de la contratación.

Los controles que casi todas las aseguradoras piden

• Autenticación multifactor (MFA), especialmente en el correo corporativo, el acceso remoto (VPN) y las cuentas con privilegios de administrador. Es, con diferencia, el requisito más habitual y el que más pólizas deniega por su ausencia.
• Copias de seguridad periódicas, con al menos una copia aislada de la red principal, y con pruebas de restauración documentadas.
• Protección de endpoint con capacidad de detección y respuesta (EDR), no solo un antivirus tradicional basado en firmas.
• Gestión de parches y actualizaciones, con un proceso definido y trazable, no manual y ad hoc.
• Segmentación de red, para limitar que un equipo comprometido pueda alcanzar el resto de la infraestructura sin control.
• Gestión de accesos privilegiados, revisando quién tiene permisos de administrador y por qué.
• Un plan de respuesta ante incidentes documentado, con roles y contactos definidos de antemano.
• Formación periódica del personal en detección de phishing, dado que sigue siendo la vía de entrada más común.

Lo que puede anular una cobertura ya contratada

La mayoría de pólizas incluyen una cláusula de veracidad: si en el cuestionario se declaró tener MFA activo en todas las cuentas críticas y, tras un incidente, se demuestra que no era cierto, la aseguradora puede rechazar el pago del siniestro alegando declaración inexacta del riesgo. Por eso conviene que lo declarado en el cuestionario refleje la realidad exacta de los controles implementados, no una aspiración o un "estamos en ello".

Cómo afecta esto al precio de la prima

Más allá de decidir si te aseguran o no, estos mismos controles influyen directamente en el precio: una empresa con MFA, backups probados y EDR desplegado suele acceder a primas más bajas y a límites de cobertura más altos que una empresa sin ellos, porque reduce de forma objetiva la probabilidad y el impacto de un siniestro. En ese sentido, invertir en estos controles no es solo una cuestión de seguridad: es también una palanca para negociar mejores condiciones de aseguramiento.