Análisis profesional de riesgos
En una pyme, un ciberataque no empieza con una pantalla de rescate. Empieza con un correo que parecía normal.
Lo habitual no es la intrusión sofisticada, sino la puerta abierta desde dentro: un enlace pulsado, una credencial reutilizada, una factura falsa con el número de cuenta cambiado. Y a partir de ahí el problema deja de ser informático y pasa a ser operativo: pedidos que no salen, facturación detenida, clientes sin respuesta y un equipo que no puede trabajar mientras alguien intenta entender qué ha ocurrido.
Las tres formas en que entra, y por qué importa distinguirlas
No todos los incidentes se comportan igual, ni a efectos operativos ni a efectos de cobertura.
El cifrado de sistemas. Un programa malicioso bloquea servidores y copias accesibles, y la empresa se queda sin acceso a su propia información. Aquí el daño es de paralización y de recuperación.
El fraude por suplantación. Alguien se hace pasar por un proveedor o por un directivo y consigue que se ejecute una transferencia. No hay intrusión técnica: hay una orden de pago dada por un empleado que creía estar haciendo bien su trabajo. Es el incidente más frecuente en pymes y el que peor encaja en las coberturas estándar.
La brecha de datos. Se accede a información de clientes, empleados o proveedores. El daño operativo puede ser menor y el regulatorio, considerable.
El coste de un ciberataque en una pyme rara vez está en la informática. Está en los días que la empresa tarda en volver a funcionar como antes.
El producto que cubre esto, y lo que cubre exactamente
Aquí está lo que suele faltar en cualquier conversación sobre ciberataques, y es lo que convierte un diagnóstico en una decisión.
Un seguro de ciberriesgos no es una póliza de daños al uso. Su valor principal no es la indemnización: es la respuesta al incidente. Habitualmente activa un equipo especializado que interviene desde la primera hora —análisis forense, contención, recuperación— porque en las primeras veinticuatro horas se decide buena parte del alcance final.
A partir de ahí, las coberturas habituales se agrupan en tres bloques. Daños propios: recuperación de datos y sistemas, y pérdida de beneficios por la interrupción. Responsabilidad frente a terceros: reclamaciones de clientes o proveedores afectados. Y gestión regulatoria: asistencia en la notificación a la autoridad de control y a los afectados, y defensa jurídica ante un procedimiento sancionador.
Conviene entender esto último con precisión: la sanción administrativa en sí no es objeto de cobertura en ningún producto de seguro. Lo que puede estarlo son los gastos de defensa frente al expediente y la asistencia en la gestión de la brecha.
El fraude por transferencia inducida —el caso del proveedor suplantado o el falso correo del gerente— no siempre está incluido en las coberturas de ciberriesgo estándar. Algunos condicionados lo tratan como una modalidad de fraude y no como un incidente de seguridad, y lo excluyen o lo someten a un sublímite muy inferior al del resto de garantías.
Es exactamente el incidente más frecuente en pymes. Si la empresa contrata pensando en ese escenario, conviene comprobarlo expresamente antes de firmar, no después de la transferencia.
Requisitos de seguridad: lo que la póliza le va a exigir
Otro punto que casi nadie anticipa. Estas pólizas suelen condicionar la cobertura al cumplimiento de unas medidas mínimas, declaradas por la empresa al contratar.
Lo habitual es que se pregunte por copias de seguridad periódicas y verificadas, doble factor de autenticación en accesos críticos, sistemas actualizados y política de contraseñas. No son recomendaciones: son declaraciones que forman parte del contrato. Si en el momento del incidente resulta que la copia de seguridad llevaba meses sin comprobarse, esa discrepancia puede afectar a la respuesta de la póliza.
Dicho de otro modo: contratar la cobertura obliga a poner orden, y ese efecto colateral suele valer tanto como la propia póliza.
Dónde se acumula el coste real
La factura no la marca el rescate ni la reparación técnica. La marcan las capas que se van sumando mientras la empresa intenta operar a medio gas.
Primero, los días de paralización: pedidos que no se cursan, facturas que no se emiten, entregas que se retrasan. Después, el coste de recuperación: técnicos externos, horas extra, reconstrucción manual de información perdida. Luego, el frente regulatorio, si hay datos personales implicados. Y por último, el daño comercial: clientes que perciben inestabilidad y proveedores que endurecen condiciones.
Ese último tramo sobrevive al incidente y no lo repara ninguna indemnización.
Conviene además revisar cómo se coordina esto con el resto del programa. La garantía de pérdida de beneficios del multirriesgo suele exigir un daño material previo, de modo que una paralización sin incendio ni rotura no la activa: ese hueco lo cubre precisamente el ciberriesgo. Y si el incidente se origina en un proveedor tecnológico, el tratamiento es otro, más cercano a la interrupción por daños en terceros.
Siete puntos antes de contratar o renovar
- Fraude por transferencia inducida. Compruebe si está incluido y con qué sublímite. Es el incidente más probable en una pyme.
- Respuesta al incidente. Si la póliza activa un equipo especializado desde la primera hora y con qué tiempo de respuesta comprometido.
- Pérdida de beneficios. Si cubre la paralización sin daño material y con qué periodo de indemnización.
- Recuperación de datos. Que incluya los gastos técnicos de reconstrucción, no solo la indemnización a terceros.
- Gestión regulatoria. Asistencia en la notificación y defensa jurídica ante un procedimiento sancionador.
- Requisitos de seguridad declarados. Que lo que consta en la solicitud coincida con lo que la empresa hace de verdad.
- Proveedores tecnológicos. Qué ocurre si el incidente se origina en su plataforma de gestión o en su servicio de alojamiento.
Tres días sin sistemas
Antes de valorar cualquier póliza, ponga la cifra encima de la mesa: si mañana la empresa no pudiera facturar, cursar pedidos ni acceder a su información durante tres días, cuánto margen deja de entrar y qué compromisos se incumplen.
Esa cantidad es la que debe dimensionar la cobertura. Y si además de no poder calcularla resulta que nadie sabe cuándo se verificó por última vez la copia de seguridad, el primer trabajo no es asegurador.
Preguntas frecuentes
¿Mi seguro de empresa ya cubre un ciberataque?
Por regla general, no. Un multirriesgo empresarial responde ante daños materiales, y la garantía de pérdida de beneficios suele exigir precisamente ese daño previo. Una paralización por cifrado de sistemas, sin incendio ni rotura, no encaja en ese esquema. Es el hueco que cubre una póliza específica de ciberriesgos.
¿Está cubierto si un empleado hace la transferencia engañado?
Depende del condicionado, y es el punto que más conviene verificar. Algunos productos lo incluyen como fraude electrónico y otros lo excluyen o lo limitan de forma sensible, al entender que no hubo intrusión técnica sino una orden voluntaria. Dado que es el incidente más frecuente en pymes, no debería darse por supuesto.
¿Cubre la póliza la multa si hay una brecha de datos?
La sanción administrativa no es objeto de cobertura en ningún seguro. Lo que puede cubrirse son los gastos de defensa jurídica frente al expediente, la asistencia en la notificación a la autoridad de control y a los afectados, y las reclamaciones que puedan presentar los terceros perjudicados.
Un riesgo que no está en el inventario
La dependencia tecnológica de una pyme no figura en ningún activo del balance, y sin embargo condiciona su capacidad de operar cualquier día del año. Revisarla consiste en dos cosas: saber cuánto cuesta cada día sin sistemas y comprobar qué dice exactamente su programa asegurador sobre una interrupción que no viene precedida de ningún daño físico.
Determinada la cobertura que la actividad exige, trabajar con más de 95 compañías amplía las posibilidades de comparar alcances, sublímites, tiempos de respuesta y precio entre entidades distintas, lo que permite buscar una solución adecuada y competitiva. No es un resultado garantizado: la aceptación depende de la actividad, de las medidas de seguridad declaradas y de los criterios de suscripción de cada entidad.
La revisión de sus seguros no tiene coste y no implica obligación de contratar. Es un servicio que ofrecemos siempre de forma gratuita, también cuando la conclusión es que el programa actual está correctamente planteado.
Mateo Molina · Molina López — Análisis y Optimización de Seguros
Este contenido tiene finalidad informativa y no constituye asesoramiento jurídico ni técnico en materia de seguridad de la información. El alcance de las coberturas de ciberriesgo, los sublímites, el tratamiento del fraude por transferencia inducida, los requisitos de seguridad exigidos y los periodos de indemnización varían según la entidad y el condicionado, y deben verificarse en las condiciones particulares y generales de cada póliza. Las obligaciones en materia de protección de datos y notificación de brechas dependen de la normativa aplicable y de la posición de cada responsable o encargado del tratamiento. El análisis previo no garantiza la contratación, la aceptación del riesgo ni la mejora de condiciones.
¿Qué pasa en su empresa tres días sin sistemas?
Revisamos si su programa cubre una paralización sin daño material, si el fraude por transferencia está incluido, qué respuesta al incidente tiene contratada y si las medidas declaradas coinciden con la realidad. Sin coste y sin obligación de contratar.
Solicitar el análisis de los seguros de mi empresa