Seguro cibernético: los cinco requisitos que determinan si tu reclamación se acepta

Los cinco requisitos que exige prácticamente cualquier aseguradora

Los cuestionarios y las condiciones de las pólizas varían según la aseguradora, pero hay cinco requisitos que se repiten prácticamente en todas: autenticación multifactorial en todas las cuentas, una copia de seguridad probada que esté fuera de tu red, gestión activa de parches, formación en concienciación para los empleados y un plan de respuesta ante incidentes listo para actuar.

La palabra que suele aparecer en las condiciones es «demostrable». Una medida que, en la práctica, se aplique habitualmente pero que no esté establecida por escrito, no se tiene en cuenta a la hora de evaluar una reclamación. Esa diferencia, entre «aplicada» y «demostrable», es de lo que trata el resto de este blog.

La reclamación que se rechazó

Un empresario nos dejó leer su carta de denegación. Ransomware, días de parón, pérdidas importantes. Tenía un seguro cibernético, que había pagado puntualmente cada año. La aseguradora rechazó la reclamación: en las condiciones de la póliza se exigía la autenticación multifactorial (MFA) en todas las cuentas, y en dos cuentas de administración antiguas no estaba activada. Los atacantes entraron precisamente a través de una de esas cuentas.

La lección dolorosa no está en el rechazo en sí, sino en el momento en que se hizo evidente. La póliza llevaba años vigente sin que nadie hubiera comparado las condiciones con el entorno. Las cuentas de administración olvidadas son el caso más típico: quedan fuera del campo de visión del día a día y, precisamente por eso, fuera del alcance de la implantación de MFA.

Eso es precisamente lo que puedes comprobar sin necesidad de cita previa. Nuestra herramienta gratuita Tenant Check, en tenant.alta-ict.nl, analiza tu entorno de Microsoft 365 y te muestra, entre otras cosas, la cobertura de MFA y tus cuentas de administrador. Te lo digo claro desde el principio: la herramienta no detecta ni resuelve nada, no guarda ninguno de tus datos y no sustituye a la comprobación de las condiciones específicas de tu póliza. Pero sí que habría mostrado las cuentas de administrador olvidadas de esta historia.

La misma empresa, otra prima

A un cliente le propusieron una prima bastante más alta al renovar la póliza. La razón que dio la aseguradora: el perfil de riesgo no estaba lo suficientemente justificado. En pocas palabras: no podían saber si la seguridad estaba en orden, así que se basaron en el peor de los casos.

Hemos vuelto a rellenar el cuestionario, esta vez con pruebas del entorno actual: cobertura MFA de Entra, resultados de las pruebas de copia de seguridad con fecha y resultado, estado de los parches por puesto de trabajo y participación en la formación de concienciación. No se ha creado nada nuevo; la única diferencia era que ahora se podía demostrar. El recargo se descartó.

Así funciona ese mercado: las aseguradoras valoran como riesgo lo que no pueden ver. A quien aporta pruebas se le valora de forma diferente a quien solo hace promesas.

Lo que suele quedar fuera de la cobertura

Cuando se publicó la solicitud de pago desde el aeropuerto, varios lectores hicieron la misma pregunta: si se hubiera transferido ese dinero, ¿lo habría cubierto el seguro? La mayoría de las veces, no. La ingeniería social y el fraude en los que es el propio empleado quien realiza el pago suelen estar excluidos o tener una cobertura limitada en muchas pólizas cibernéticas. El razonamiento de la aseguradora es que no se ha pirateado nada, sino que se ha convencido a alguien. Ese es un riesgo diferente y, a menudo, un módulo aparte.

La lección: cuando contrates una póliza cibernética, no te limites a leer lo que cubre, sino sobre todo lo que excluye. Y protege lo que queda excluido con lo que sí funciona: un proceso de pago con verificación a través de un segundo canal y formación para que los empleados sepan reconocerlo.

Por qué tu póliza no debería ser un documento abierto

Algo que pocos empresarios saben: los grupos de ransomware buscan activamente documentos de seguro tras un ataque. Si encuentran una póliza cibernética en la que figure la cantidad asegurada, el rescate que piden se ajusta a esa cifra. Tu cobertura se convierte en tu precio.

Así que un seguro sin una buena protección no te hace más seguro; te convierte en un objetivo con un presupuesto conocido. La clave está en lo básico: quien tenga una copia de seguridad probada y separada de la red, podrá recuperarse sin tener que pagar. Entonces, la póliza será lo que debe ser: una red de seguridad para los daños restantes, no un argumento de negociación para el atacante. Y guarda tú mismo la póliza en un lugar al que no todo el mundo tenga acceso.

El orden: primero lo básico, luego la póliza

«¿Qué tengo que hacer primero, la seguridad o el seguro?» es una pregunta que nos hacen a menudo, y la respuesta sincera es: en ese orden. Una póliza te reembolsa los daños; no previene nada, no repara nada y no llama a nadie por la noche para despertarlo. Las medidas que exigen las aseguradoras reducen, al mismo tiempo, la probabilidad de que alguna vez necesites la póliza y determinan la prima por la que la contratas.

Así que el orden no es una elección entre dos opciones, sino un proceso: tener la base en orden, recopilar las pruebas y, después, contratar una póliza que se adapte al riesgo que quede.

Un conjunto de pruebas, tres partes

Además, la documentación que te pide tu aseguradora no es exclusiva de ella. Los grandes clientes solicitan las mismas medidas en las evaluaciones de proveedores, y la Ley de Ciberseguridad exige a las organizaciones sujetas a ella la misma base demostrable. Si organizas el lugar de trabajo de forma que cada medida genere pruebas por sí sola, responderás a tres preguntas con un solo expediente: informes de MFA, resultados de pruebas de copias de seguridad, estado de los parches, participación en cursos de formación y el procedimiento ante incidentes.

¿Cuál es la postura de ALTA-ICT al respecto?

Para que quede claro: no vendemos seguros ni te aconsejamos sobre pólizas o aseguradoras; eso es cosa de tu asesor de seguros. Lo que hacemos es ocuparnos de la otra parte del asunto: organizar el lugar de trabajo de tal forma que cada medida quede documentada y sea verificable, para que puedas responder al cuestionario de tu aseguradora con pruebas en lugar de con promesas. Para ello, nos basamos en nuestra propia certificación según las normas ISO 27001:2023, ISO 9001:2015 y NEN 7510:2024, así que sabemos por nuestras propias auditorías cómo debe ser la presentación de pruebas.

Preguntas más frecuentes

¿De verdad puede una aseguradora rechazar mi reclamación si siempre he pagado la prima?

Sí. Una póliza es un contrato con unas condiciones, y esas condiciones se comprueban cuando presentas la reclamación. Si en ese momento no se puede demostrar que tu entorno cumplía los requisitos, la aseguradora puede rechazar la reclamación o reducir la indemnización.

¿Cuál es el requisito que más se suele pasar por alto en la práctica?

Autenticación multifactorial (MFA) en todas las cuentas, con la excepción habitual de las cuentas de administración y de servicio que se suelen pasar por alto. La implantación abarca los puestos de trabajo diarios, pero precisamente las cuentas con más privilegios quedan fuera del alcance.

¿Cubre un seguro cibernético el fraude cometido por el director general?

A menudo no está cubierto o lo está de forma limitada: el fraude en el que es el propio empleado quien realiza el pago suele estar incluido en las exclusiones o en un módulo aparte en muchas pólizas. Compruébalo en tus propias condiciones y cubre el riesgo a nivel organizativo con un proceso de verificación.

¿Una buena seguridad te da una rebaja en la prima?

Las aseguradoras evalúan el perfil de riesgo en función de lo que se pueda demostrar. En la práctica, las medidas que se pueden demostrar dan lugar a una valoración más favorable que un perfil que la aseguradora no pueda verificar; cómo se refleja esto en la prima varía según la aseguradora.

¿Te ayuda ALTA-ICT a elegir una póliza?

No, no vendemos seguros ni te asesoramos sobre pólizas. Nos encargamos de proporcionar la base técnica y organizativa que exige la póliza, así como la documentación que necesitas para responder al cuestionario de tu aseguradora.

Conclusión

Un seguro cibernético es un complemento útil, pero no sustituye a la seguridad. Los requisitos de las condiciones no son un mero trámite burocrático: son las medidas que de todos modos ya quieres aplicar, y el hecho de poder demostrarlas es lo que les da valor ante la aseguradora, el cliente y la ley a la vez. Quien primero sienta las bases y recopile las pruebas, sabrá de antemano en qué situación se encuentra, en lugar de descubrirlo a posteriori, cuando presente la reclamación.

¿Quieres saber si tu entorno cumple con los requisitos de Poli? Concierta una breve sesión con ALTA-ICT y revisaremos juntos los cinco requisitos de tu entorno.