Parece que todo el mundo está intentando identificar la próxima burbuja para tomar algún tipo de medida anticipada con el fin de evitarla o aprovecharla. Muchos de nosotros hemos vivido más de una. A principios de siglo, se produjo la burbuja informática, seguida de la burbuja inmobiliaria en 2008. Las burbujas son ciclos económicos naturales que se producen periódicamente en una sociedad de libre mercado. Se crean cuando la demanda de un producto o segmento del mercado se vuelve excesivamente exagerada. Aunque algunas burbujas estallan y provocan dificultades económicas, muchas simplemente conducen a algún tipo de reajuste del mercado que hace que la demanda vuelva a un equilibrio sostenible.

Un ejemplo de cómo funcionan las burbujas

Un ejemplo claro es la burbuja inmobiliaria. Las entidades financieras habían suavizado los requisitos para la concesión de hipotecas mediante programas como los préstamos sin verificación de ingresos, entre otros. Como resultado, se concedió un gran número de préstamos de alto riesgo sin apenas preocupación. Cuando las condiciones cambiaron, los impagos hipotecarios se convirtieron en la nueva norma y los precios de la vivienda se desplomaron. Las entidades financieras empezaron a quebrar y pronto el proceso para obtener una hipoteca se volvió mucho más estricto.

¿Son los ciberseguros la última burbuja?

Empezamos con esta breve historia, porque la actual burbuja de los ciberseguros se asemeja en muchos aspectos a la burbuja inmobiliaria. No hace mucho tiempo, las compañías de seguros estaban más que dispuestas a ofrecer pólizas para cubrir aquellos incidentes que consideraban improbables o poco probables. Por desgracia, los hackers y las organizaciones de ciberdelincuentes malintencionados se aprovecharon de la presencia del COVID en un mundo transformado digitalmente y los ataques no tardaron en aumentar. A modo de ejemplo, el número de nuevos ciberseguros contratados en 2020 casi se duplicó, según la Oficina de Contabilidad del Gobierno de Estados Unidos (GOA). Esto, por supuesto, provocó un aumento de la demanda de pólizas de seguros.

Las compañías de seguros empezaron a perder dinero a medida que las indemnizaciones por ataques de ransomware crecían de la noche a la mañana, creando enormes pérdidas directas para esas pólizas. Por ejemplo, en 2021, la aseguradora CNA se vio obligada a pagar 40 millones de dólares para que su cliente recuperara el control de sus sistemas, siendo éste el rescate más alto del que se tiene constancia hasta la fecha. Son este tipo de desembolsos los que hacen creer al sector que los costos de la ciberdelincuencia alcanzarán los 10,5 billones de dólares en 2025. Las pérdidas han llegado a ser tan grandes que Lloyds of London empezó a disuadir a su sindicato de suscribir nuevas pólizas en 2022. Esto no debería sorprender, ya que sólo en 2020 el mercado estadounidense de ciberseguros experimentó una tasa de pérdidas combinada del 103%. Con pérdidas como estas, algo tiene que cambiar, y así está siendo.

Por qué hay tanta demanda de ciberseguros

Entonces, ¿por qué tantas empresas pidieron de repente un ciberseguro? Desde una perspectiva empresarial, es una forma fácil de evitar la responsabilidad. El costo promedio de recuperación de un ataque de ransomware en 2021 fue de 1,4 millones de dólares. Una gran parte de esa cifra es el rescate, pero también incluye los gastos de mediación, las investigaciones forenses y la costosa disrupción al negocio. Gran parte de estos costos se reembolsan a quienes tienen la suerte de adquirir y contratar una póliza de ciberseguro. Con las empresas rogando por algún tipo de póliza y las compañías de seguros demasiado ansiosas por proporcionársela, la situación estaba abocada a empeorar rápidamente.

Los ciberseguros son ahora más difíciles de obtener

De repente, el costo de adquisición de estas pólizas se incrementó para reflejar el aumento de los riesgos. A modo de ejemplo, American International Group Inc aplicó un aumento global de precios el año pasado de casi el 40%. Según el Informe sobre el Estado del Mercado 2022 de Risk Strategies, las tarifas de los ciberseguros aumentaron un 89% en el cuarto trimestre de 2021. Para un MSP que tiene múltiples clientes, estos aumentos de costos pueden ser demoledores, obligándoles a cobrar más a sus clientes.

Pero ahora el problema va más allá de pagar precios más altos. Es comprensible que las compañías de seguros no quieran ser el chivo expiatorio, el que al final cargue con los costos. Las aseguradoras quieren clientes que puedan demostrar una postura de seguridad adecuada. Del mismo modo que una compañía de seguros de vida no se atrevería a vender una póliza a un doble de Hollywood, las compañías de ciberseguros no quieren aceptar clientes que no tomen medidas proactivas para reducir su exposición al riesgo. Las aseguradoras están incluso empezando a imponer algunos de los componentes que deben incluirse en una estrategia de seguridad. El razonamiento es sencillo. Las empresas que no disponen de las herramientas y del personal necesarios para proteger sus sistemas, son menos resilientes y más vulnerables a los ataques más costosos.

Un ejemplo es la exigencia que se está dando a conocer como “mandato MFA”. La autenticación multifactor o MFA, requiere dos o más métodos de verificación para que los usuarios puedan acceder a su correo electrónico, su sistema o sus aplicaciones online. Dado que muchos ciberataques se inician a través de ataques de phishing, los asegurados están ahora obligados a disponer de una solución MFA para que se respeten sus pólizas.

Las aseguradoras exigen un SOC

Pero la MFA es sólo una parte de la ecuación necesaria hoy en día. Las aseguradoras también quieren que sus clientes sepan lo que ocurre en sus redes. Al fin y al cabo, si no tienen visibilidad de todas las partes de su infraestructura informática, ¿cómo van a poder protegerla? Para muchas aseguradoras, esto significa asociarse con un centro de operaciones de seguridad (SOC). Un SOC demuestra un enfoque claro y proactivo con respecto a la ciberseguridad. Los SOC ofrecen supervisión 24/7 por parte de un equipo de seguridad especializado y altamente experimentado con ojos siempre vigilantes, ayudado por una IA que analiza los datos en tiempo real. Juntos vigilan el tráfico sospechoso, los incidentes de seguridad y el comportamiento digital que se sale de lo habitual. La incorporación de un SOC es un complemento perfecto para los MSP que desean realizar la transición a un MSSP.

Ventajas de un SOC

Un SOC es algo más que un sistema gestionado de detección y respuesta. Un SOC es independiente del proveedor, lo que lo hace ideal para los MSP que deben dar soporte a múltiples entornos tecnológicos y necesitan una solución que pueda integrarse fácilmente con la infraestructura de seguridad existente de un cliente. Además, un SOC aporta una experiencia capaz de suplir las lagunas de conocimiento existentes y también ofrece otros servicios. Un SOC de confianza proporciona información sobre seguridad y gestión de eventos (SIEM) para respaldar la inteligencia sobre amenazas de todos sus sistemas integrados. Y, en caso de ataque, un SOC puede resultar inestimable al proporcionar equipos de respuesta a incidentes bajo demanda, así como equipos de investigación forense.

Conclusión

Para poder acceder a un ciberseguro, hace falta mucho más que una firma y el pago del primer mes por adelantado. Hace falta demostrar que la organización se toma en serio la ciberseguridad y que no busca una salida fácil cuando las cosas van mal. Las compañías de ciberseguros no buscan meros clientes. Buscan empresas serias que sepan cómo evitar los riesgos. Y eso empieza por contar con un equipo que tenga una visibilidad completa de lo que ocurre en su entorno informático. Hay varias formas de acceder a un SOC. Puede crear uno desde cero, utilizar los servicios de un SOCaaS (SOC como servicio) o asociarse con una plataforma SOC establecida que haya estado protegiendo a empresas y MSP de todos los tamaños y de todos los sectores. Las cosas han cambiado hoy en día, y las organizaciones también deben cambiar. Ya no es posible no contar con las herramientas y los servicios de seguridad adecuados, e incluso si usted está dispuesto a aceptar ese nivel de riesgo, su compañía de ciberseguros sin duda no lo hará.