Protección contra Riesgo Cibernético para las empresas

01

¿Qué es el riesgo cibernético?

El riesgo cibernético se define como un evento o una causa que puede generar entre otras una pérdida financiera, una afectación o el daño en la reputación de una organización derivado de algún tipo de falla de los sistemas tecnológicos y de información.

02

¿Qué tipo de acciones se deberían implementar al interior de una compañía para hacer frente a los riesgos cibernéticos?

Todas las empresas deberían contar con una estrategia de ciberseguridad, donde se implementen controles y mecanismos suficientes y necesarios para evitar/prevenir ataques y también para para administrar eventos que puedan surgir al interior de la compañía. El riesgo que permanece después de la implementación de esos controles y mecanismos de seguridad se puede transferir a una compañía de seguros por medio de una póliza de riesgos cibernéticos.

03

¿Cuáles son los amparos que incluyen las pólizas de Cyber Risk?

Los amparos en los seguros de riesgos cibernéticos se agrupan en las siguientes categorías:

Reclamos de terceros:

En este caso, el seguro cubre los honorarios, gastos de defensa y perjuicios que reclamen terceros afectados por un evento en donde la compañía asegurada sea responsable del hecho que se reclama. Estos eventos frecuentemente están relacionados con el manejo y exposición de datos, o con una falla de seguridad dentro de los sistemas de información de la compañía.

Pérdidas propias:

El seguro cubre las consecuencias que sufra el asegurado directamente por un evento amparado dentro del seguro. Se encuentran coberturas de:

1. Reemplazo, reconstrucción o reposición de los activos digitales que se puedan ver afectados por un evento.
2. Lucro cesante derivado de la interrupción del negocio como consecuencia de la afectación de los sistemas. En ambos casos se cubren los costos de expertos en los que incurra el asegurado para manejar la situación que lo afecta. Así mismo, se encuentran las coberturas frente a:
3. Investigaciones y multas resultantes de un proceso por incumplimiento de leyes de protección de datos.
4. Extorsión cibernética, en los casos en que un hacker extorsione al asegurado tras el ingreso de un ransomware en los sistemas.

Tanto la cobertura de extorsión como la de multas dependen de su asegurabilidad en el país donde se tome el seguro.

Respuesta a incidentes:

La mayoría de los clausulados apoyan al asegurado para dar respuesta a un evento amparado, antes de conocer cuáles son sus consecuencias. Dentro de esta cobertura se encuentran costos de expertos forenses, legales, relaciones públicas, de notificación o monitoreo después de una filtración de datos.

04

¿Cuáles son los beneficios y cuál es la importancia en la actualidad de contar con la póliza de Cyber Risk?

Transferir el riesgo a la aseguradora, para cubrir el impacto negativo como consecuencia de los riesgos cibernéticos, y de este modo la compañía tiende a evitar incurrir en costos excesivos que puedan afectar su buen funcionamiento.

05

¿Cuáles son los riesgos cibernéticos más comunes?

Los riesgos más comunes son los ataques de hackers y, en los últimos años, el ransomware, que consiste en una forma de malware que bloquea los archivos o dispositivos del usuario y luego reclama un pago online anónimo.

06

Ejemplos prácticos de amparos cubiertos por la póliza de Cyber Risk

Ejemplo 1:

• Una empresa que maneja y custodia información confidencial de sus proveedores, sufre un ataque cibernético de un hacker, quien publica los datos. Como consecuencia, el proveedor se ve afectado y pierde contratos con varios clientes, por lo que decide reclamar a la empresa asegurada.

En este caso, la póliza cubre tanto los honorarios de abogados para responder el reclamo como el eventual perjuicio del proveedor, que en este caso es el costo de los contratos que perdió.

Ejemplo 2:

• Un empleado del área de tecnología de una compañía comete un error en la actualización de un software dejándolo inoperativo y es necesario reemplazarlo. Así mismo, por la indisponibilidad del software, la empresa no puede prestar sus servicios a los clientes y sufre una pérdida de ingresos. En este caso, la póliza cubre los costos de expertos forenses para investigar la causa del daño, los costos de reemplazo del software y el lucro cesante por los ingresos brutos que la empresa deja de percibir durante un determinado periodo (usualmente el periodo de cobertura es máximo de 180 días).

07

Activos que están cubiertos por la póliza de Cyber Risk (activos intangibles: información o datos, activos físicos: hardware)

Se cubren los datos electrónicos y sistemas de cómputo del asegurado, incluso cuando son operados por un proveedor externo.

Aunque el hardware usualmente no se cubre, hay excepciones donde se puede conseguir su amparo. Por ejemplo, si una empresa tiene un data center que no se cubre por medio de la póliza de daños, se puede llegar a asegurar su daño físico por un amparo adicional dentro de la póliza de cyber, llamado “bricking”.

Así mismo, debido a que las pólizas de daños materiales han empezado a incluir exclusiones de riesgos cibernéticos, se ha creado una cobertura de daños materiales generados por ataques de hackers.

08

¿Cuándo se entiende ocurrido el siniestro dentro de las pólizas de Cyber Risk (cláusulas claims made)?

El seguro de riesgos cibernéticos es atípico, al tener diferentes bases de cobertura, por lo que depende de cuál se afecte. Por ejemplo, el amparo de reclamos de terceros funciona por claims made y se afecta la póliza vigente al momento de recibir un reclamo. Por otra parte, el amparo de pérdidas propias y respuesta a incidentes funciona por ocurrencia, en donde se afecta la póliza vigente al momento de generarse la pérdida.

09

¿Podría un tercero, cuya información está almacenada en los sistemas de la compañía, verse afectado por un ataque cibernético a la empresa? En caso afirmativo, ¿la póliza de Cyber Risk tomada por la empresa que sufrió el ataque tendría algún tipo de cobertura sobre este riesgo? ¿cómo funcionaría?

Si, es una cobertura típica del seguro de riesgos cibernéticos. En ese caso, se cubren los honorarios y costos de defensa en que incurre la empresa que sufrió el ataque para responder al reclamo del tercero y al eventual pago del perjuicio, si se demuestra su responsabilidad.

10

Dentro de los amparos de la póliza de Cyber Risk, ¿es posible reclamar la indemnización de los perjuicios derivados de la violación de los derechos de habeas data?

Si, la indemnización de los perjuicios derivados de la violación de los derechos de habeas data es posible reclamarla.

11

Con base en la respuesta dada al punto anterior, ¿podría afirmarse que la póliza de Cyber Risk cubre la indemnización de los perjuicios extrapatrimoniales?

Si, la póliza cubre el perjuicio que el tercero reclame, incluido cualquier tipo de perjuicio extrapatrimonial si se demuestra la responsabilidad de la empresa asegurada.