Ruth Zapata Cusidó – Key Account Manager en Jori&Armengol

Vivimos en un presente de cambios rápidos y constantes, y ahora más que nunca hay que estar preparados para adaptarnos a ellos, ser también rápidos y constantes en prevención y resolución de los riesgos a los que estamos expuestos.

La creciente transformación tecnológica en la que estamos sumidos está contribuyendo a acelerar los ciberriesgos, creando nuevas vías de ataque y expandiendo enormemente la superficie que las organizaciones deben vigilar y defender.

El 53% de las empresas españolas ha reconocido haber sufrido un ciberataque, y se calcula que solo el 9% de ellas se puede considerar ‘ciberexperta’ y bien protegida ante este tipo de ataques. Ante esta situación, la demanda de pólizas que cubren los incidentes cibernéticos ha aumentado exponencialmente.

Las consecuencias económicas de estos ciberataques podrían ser complejas de asumir por aquellas compañías de menor tamaño ya que, según fuentes del sector asegurador, el coste ocasionado podría representar entre un 5% y el 10 % del presupuesto anual de una empresa. Este mayor índice de ataques informáticos no solo ha provocado el encarecimiento de las primas, sino también el endurecimiento de los requisitos que las aseguradoras exigen a las empresas para poder acceder a contratar una póliza de ciberriesgo.

La pandemia puso de manifiesto una mayor dependencia de la tecnología por parte de las empresas motivando, consiguientemente, que destinen un mayor presupuesto a la prevención en ciberseguridad. La implementación del teletrabajo y un incremento de la demanda de los servicios en línea han supuesto un gran reto para la digitalización y la conectividad de las empresas. Ello las hace más vulnerables a la hora de poder sufrir un incidente de seguridad y/o protección de datos personales.

El incremento de los ciberataques es evidente y las empresas cada vez están más preocupadas por estar mejor preparadas. Sin embargo, esta preparación requiere inversión, formación y concienciación, algo que muchas compañías no saben cómo afrontar o no disponen de recursos suficientes.

Los nuevos hackers: estructuras profesionales organizadas

Los ciberincidentes cada vez son más cualificados y sofisticados. Existen diferentes vías por las que una empresa puede ver atacada su seguridad informática. Entre las más comunes destacan los ataques a la nube y a los sistemas de pago, pero el predominante es el ransomware o secuestro de información mediante un software malicioso que bloquea el acceso al sistema informático hasta el pago del rescate. No obstante, la evolución de la inteligencia artificial y de los programas de edición también han popularizado el deepfake, en donde se crea un vídeo para sustituir la cara de una persona por otra y modular su voz, de forma que el receptor quede expuesto a la demanda de datos o de información por parte de un suplantado compañero o superior jerárquico.

Los ataques están afectando a empresas de todos los tamaños en múltiples industrias y geografías, pero los sectores más afectados son el manufacturero y el sanitario, seguidos de cerca por el de servicios profesionales y financieros.

Para evitar o reducir al máximo este tipo de peligros informáticos, es importante detectar las vulnerabilidades realizando una auditoría de madurez cibernética de la empresa. El framework de madurez frente a incidentes tiene como objetivo evaluar la capacidad de una organización para detectar, contener, investigar y remediar incidentes de seguridad.

Los requerimientos básicos son los elementos para elevar de forma considerable el nivel de seguridad y evitar los incidentes graves. Los tres principales y más sencillos son: disponer de MFA (Multiple Factor Authentication), servicio MDR (Manage Detect and React) con tecnología EDR, y disponer de inteligencia de amenazas (Threat Inteligence).

Adicionalmente a los requerimientos técnicos mencionados anteriormente, es clave la formación a los empleados, que en la mayoría de las ocasiones son la puerta de entrada para los ciberdelincuentes. El objetivo de esta formación es la de mejorar el nivel de seguridad general de la empresa, reforzar los conocimientos de los empleados, así como la concienciación de que todos los empleados forman parte de la seguridad y deben contribuir con comportamientos correctos a salvaguardar la información, procedimientos e imagen de la empresa.

El riesgo cero no existe

Pero aun cuando la empresa dispone de una buena madurez cibernética, el riesgo cero no existe. Es por ello por lo que consideramos fundamental contar con una póliza de ciberriesgo para protegerse de estos ataques y las pérdidas económicas y reputacionales que pueden conllevar.

Las principales coberturas de este tipo de pólizas son: servicio de primera respuesta que se activa esta cobertura tan pronto tengamos la sospecha de haber sufrido un ataque a nuestra red. Este servicio investiga qué ha causado el fallo de seguridad, evalúa los costes de recuperación y se ponen en marcha los servicios de gestión de crisis reputacional. En segundo lugar, también se pueden cubrir las responsabilidades que se derivan del tratamiento de datos en caso de haber sufrido una brecha de seguridad. Estas responsabilidades no quedan cubiertas por las pólizas de Responsabilidad Civil. Otra cobertura clave es la pérdida de beneficios y los costes para mitigar una interrupción en las redes. Y como hemos comentado con anterioridad, el ransomware es una de las coberturas más demandadas. La ciberextorsión cubre la amenaza de ataques de seguridad intencionados por parte de un tercero con el propósito de recibir una recompensa económica. Se incluye también los gastos de investigación y el dinero del rescate para poner fin a la amenaza.

Jori&Armengol fue una de las primeras corredurías de seguros en España que apostó por ofrecer productos especializados en el sector tecnológico. De hecho, hace dos años fue elegida por TechAssure, la asociación internacional líder de brokers especializados en riesgos tecnológicos, lifesciences y energías renovables, como socio exclusivo en España.

Actualmente, cuenta con un área de negocio especializada en ciberseguridad y riesgos tecnológicos, Jori&Tech, que tiene como objetivo asesorar y ayudar a las empresas a aumentar su seguridad para minimizar sus riesgos y cumplir con los protocolos necesarios para facilitar la obtención de un seguro de ciberriesgo, para poder protegerse frente a los perjuicios económicos y reputacionales ocasionados por un posible ataque informático.