Hace unos años trabajé con un estudio contable la semana después de sufrir un ataque de ransomware. Su equipo no podía abrir los archivos de los clientes. El sistema de facturación estaba bloqueado. Y lo peor: tuvieron que llamar a cada cliente cuyos datos podían haber sido expuestos para explicarles lo sucedido.

Después llegaron las facturas. Una firma de forense informático para entender qué había pasado. Un abogado especializado en filtraciones de datos. Un servicio para notificar a los clientes afectados y ofrecerles monitoreo de crédito. Y varias semanas de ingresos perdidos mientras reconstruían los sistemas.

El estudio tenía un seguro cibernético. Esa póliza es una de las razones por las que hoy sigue funcionando.

No todos los dueños de negocio están tan preparados. La mayoría de las pequeñas empresas con las que hablo nunca investigó el seguro cibernético en serio. Algunos piensan que su seguro comercial general ya cubre esto. Casi nunca es así.

No soy agente de seguros, y esto no es asesoramiento de seguros. Quiero explicar, en términos simples, para qué sirve en general el seguro cibernético, qué suele cubrir, dónde suele quedarse corto, y cómo encaja junto a las medidas técnicas que suelo ayudar a implementar. Para contratar una póliza real, hable con un corredor con licencia que conozca su industria y pueda mostrarle cifras concretas.

Qué es realmente el seguro cibernético

Piense en el seguro cibernético como una bolsa de aire financiera. No evita el choque. Está para amortiguar el impacto económico después de que algo ya salió mal.

Los buenos hábitos técnicos —copias de seguridad, contraseñas fuertes, limitar quién tiene acceso a qué, mantener el software actualizado— son el cinturón de seguridad y los frenos. Reducen las probabilidades de que algo malo pase, y achican el daño cuando pasa. El seguro cibernético es una capa aparte, detrás de todo eso. Existe para el momento en que esos hábitos no fueron suficientes, o cuando un atacante entró de todos modos, algo que le pasa incluso a negocios que hacen casi todo bien.

Esta parte suele sorprender: una póliza generalmente paga según lo que pasó y lo que costó, no según cuán cuidadoso fue usted antes. Aun así, las aseguradoras sí preguntan por sus prácticas básicas de seguridad, así que conviene ser honesto con su corredor desde el principio.

Qué suelen cubrir las pólizas

La cobertura varía mucho entre aseguradoras, así que tome esto como un mapa general, no como una lista definitiva. En términos amplios, la mayoría de las pólizas cibernéticas se construyen alrededor de costos como estos:

  • Investigación forense. Descubrir qué pasó, cómo entró el atacante y qué datos tocó no es barato. Los especialistas en este trabajo cobran por hora, y las horas se acumulan rápido.
  • Notificación de la filtración. En la mayoría de los lugares, si se expusieron datos de clientes o empleados, la ley exige avisar a los afectados. Imprimir, enviar cartas y armar un centro de atención cuesta dinero real, sobre todo con cientos o miles de personas involucradas.
  • Monitoreo de crédito para los clientes afectados, casi siempre incluido junto con la notificación, por un año aproximadamente.
  • Respuesta ante ransomware. Muchas pólizas cubren la negociación, la recuperación y la restauración de sistemas si un ransomware bloquea sus archivos. Algunas cubren el pago del rescate, aunque las aseguradoras son cada vez más cautelosas y suelen exigir su aprobación antes de pagar.
  • Interrupción del negocio. Si un ataque deja sus sistemas fuera de servicio, esto puede cubrir los ingresos perdidos durante ese tiempo, y a veces sistemas de respaldo o soluciones temporales.
  • Defensa legal y responsabilidad civil, si un cliente, proveedor o regulador toma acciones contra usted a raíz de una filtración.
  • Multas regulatorias, en algunos casos, aunque esto varía mucho según la región y la póliza.

Un ejemplo concreto: conozco un consultorio odontológico donde una recepcionista hizo clic en un enlace de un correo que parecía rutinario. En menos de una hora, los registros de turnos de los pacientes quedaron cifrados e inaccesibles. El consultorio necesitó ayuda forense para confirmar qué se había accedido realmente, tuvo que notificar a los pacientes por las normas de privacidad en salud, y perdió varios días de turnos mientras restauraban los sistemas. Nada de eso fue barato, y nada fue opcional. Una cobertura así es exactamente para lo que está pensada.

Exclusiones comunes y detalles que conviene preguntar

Acá es donde muchos dueños de negocio se llevan sorpresas desagradables, así que conviene preguntarle a su corredor por cada uno de estos puntos.

  • Problemas conocidos y no corregidos. Si la aseguradora puede demostrar que usted sabía de una falla de seguridad y no la resolvió, puede rechazar el reclamo.
  • Filtraciones de proveedores. Si un proveedor o un software de terceros sufre una filtración y eso expone sus datos, su propia póliza puede no cubrirlo, salvo que lo pregunte específicamente.
  • Fraude por transferencia bancaria. Muchas pólizas no cubren automáticamente el dinero robado por una transferencia fraudulenta o una factura falsa. Eso suele requerir una póliza de crimen separada.
  • Actos de guerra o ataques de estados nacionales. La mayoría de las pólizas los excluyen, y la definición se ha vuelto más difusa, ya que muchos ataques se atribuyen a actores de otros países.
  • Robo o fraude de empleados, que suele necesitar una cobertura distinta, ya que las pólizas cibernéticas responden ante atacantes externos, no internos.
  • Requisitos mínimos de seguridad. Algunas aseguradoras exigen autenticación de dos factores o copias de seguridad periódicas como condición. Saltarse esto podría poner en riesgo un reclamo futuro.

Nada de esto significa que el seguro cibernético no valga la pena. Significa que la letra chica importa, y un buen corredor debería repasar estos escenarios con usted antes de firmar, no después de que le rechacen un reclamo.

Cómo encaja junto a sus medidas técnicas

Pienso en el seguro cibernético y la seguridad técnica como dos trabajos distintos que se complementan, no uno que reemplaza al otro.

Su plan de recuperación ante desastres y sus prácticas de seguridad cotidianas reducen la frecuencia de los incidentes y ayudan a que sus sistemas vuelvan a funcionar rápido. El seguro absorbe el golpe económico una vez que algo ya pasó: los honorarios legales, los costos de notificación, los ingresos perdidos. Una buena seguridad sin seguro igual lo deja expuesto a costos que pueden llegar a seis cifras. Una buena póliza junto con seguridad débil puede significar que ocurran más incidentes desde el principio.

¿Vale la pena para una pequeña empresa?

No puedo responder eso por usted, y ningún artículo puede hacerlo. Depende de qué datos maneja, qué normas aplican a su industria y cuánto riesgo está dispuesto a asumir. Lo que puedo decir es esto: los negocios que vi superar un ciberataque sin daño financiero duradero casi siempre tenían una póliza contratada de antemano. Los que corrían a resolverlo después, por lo general no la tenían, y eso se notó en cuánto tardó la recuperación y cuánto costó.

Si maneja información de pago de clientes, historiales médicos u otros datos sensibles, vale la pena tener la conversación con un corredor de seguros con licencia. Lléguele con su configuración básica de seguridad, pregunte qué cubriría y qué no una póliza para su negocio específico, y consiga cifras reales en lugar de suposiciones.

Y si quiere conversar sobre el lado técnico —qué medidas tienen sentido para su configuración, y qué podría preguntarle un corredor— hablemos de su situación.