El seguro cibernético será diferente, ¿estamos preparados?
Los ataques desmedidos de ransomware han hecho que los seguros cibernéticos sean una prioridad para los altos ejecutivos. A pesar del elevado nivel de concienciación respecto a la necesidad de este tipo de seguros, ahora es más difícil que nunca obtener o renovar una póliza.
Esta situación se está produciendo, sobre todo, porque los operadores de seguros están respondiendo con primas aún más altas y complicados requisitos de suscripción, en su intento de mitigar los riesgos. Por ello, lo que se consideró válido para 2022 puede no serlo para este año 2023 que ya tenemos bastante avanzado.
La creciente frecuencia y sofisticación de los ciberataques ha obligado a un mayor número de empresas a buscar cobertura de este tipo de seguros frente a ciberataques. De hecho, Marsh & McLennan Cos. Global Insurance Market Index puso de manifiesto que los precios de los seguros cibernéticos en Estados Unidos se dispararon un 79% más en el segundo trimestre de 2022, es decir, más del doble que los trimestres anteriores.
Por ello, las aseguradoras no solo están considerando el riesgo de más ataques, sino que la actual volatilidad del mercado y las continuas tensiones geopolíticas también influyen en esa cada vez más difícil ecuación. SolarWinds, Kaseya, Log4j y otros incidentes han intensificado la preocupación sobre los riesgos de la cadena de suministro de software. Mientras que las normativas globales sobre privacidad continúan evolucionando en forma de parches, y los litigios y las multas siguen creciendo.
Así, según la web HelpNetSecurity, debido a las tarifas cada vez más elevadas, se prevé que el número de organizaciones que no podrán pagar el seguro cibernético, que serán rechazadas o que tendrán una cobertura limitada se duplicará en lo que resta de 2023.
Los suscriptores a menudo evalúan los sistemas y prácticas de seguridad utilizando herramientas de escaneo de código abierto, como OpenVAS y OpenSCAP, para investigar a un solicitante en busca de vulnerabilidades y servicios de calificación de seguridad para evaluar el riesgo.
Dado que los ataques de ransomware, generalmente, comienzan en estaciones de trabajo y servidores, la seguridad de los endpoints se mirará con lupa. En un principio, las aseguradoras quieren comprobar que las empresas están formando a sus empleados en técnicas de phishing y robo de credenciales. También quieren estar seguras de que utilizan soluciones de detección y respuesta de punto final (EDR/XDR) para ayudar a identificar y solucionar actividades sospechosas.
Pero si bien la capacitación y las soluciones EDR/XDR son críticas (y la mayoría de las aseguradoras aún las requieren), los ciberdelincuentes cambian constantemente sus ataques. Esto hace que sea muy difícil para los empleados reconocer las nuevas técnicas de ataque, a la vez que los ciberdelincuentes encuentran formas de desactivar o eludir EDR/XDR, al abusar de las credenciales administrativas, como se vio en el ataque SolarWinds.
Esto ha provocado un mayor escrutinio en torno a los controles de privilegios de los endpoints, especialmente lo relacionado con la capacidad de una empresa de eliminar los derechos de administrador local de todos los usuarios. El gran desafío para las organizaciones será encontrar el equilibrio entre el control de privilegios mínimos y la eficiencia operativa.
Los requisitos para la autenticación multifactor (MFA), un elemento de marca de verificación para las aseguradoras hasta hace poco, también están creciendo. Las aseguradoras comenzaron a profundizar más a medida que numerosos informes revelaron que MFA no se estaba utilizando por completo. Encontraron grandes brechas de cobertura en las cuentas privilegiadas que, a menudo, no están vinculadas a una persona específica, pero son utilizadas por los administradores del sistema y otros usuarios privilegiados y protegen datos confidenciales. Como resultado, las aseguradoras han comenzado a exigir la gestión de acceso privilegiado (PAM) para cuentas privilegiadas no vinculadas a usuarios específicos junto con el aislamiento de activos de alto valor.
Las aseguradoras también están analizando cómo las organizaciones autentican a los usuarios privilegiados de terceros de las organizaciones de proveedores que necesitan acceso a datos confidenciales y sistemas de la empresa. Los proveedores requieren la misma seguridad, pero rara vez se les da la misma consideración de seguridad que a los empleados.
A medida que las empresas se preparan para la renovación de su seguro cibernético, deben tener en cuenta que los requisitos de control de seguridad están evolucionando para abordar la velocidad a la que crece la digitalización. Sin embargo, estos cambios siempre son difíciles desde un punto de vista organizativo, por lo que puede suscitar miedo e incertidumbre.
La mejor manera de minimizar esto es asegurarse de que las personas entiendan el “por qué”, de ahí la importancia de que las empresas dediquen tiempo a la formación, y que los controles de mitigación de riesgos no afecten la eficiencia operativa.
La buena noticia es que un mayor número de empresas están dando un paso al frente y llevando a cabo medidas para reforzar sus defensas contra ciberataques. A medida que se implementan controles más estrictos y se utilizan con mayor eficacia, las pérdidas de las aseguradoras comienzan a estabilizarse y a suavizar un poco el mercado. Y aunque aún no estamos fuera de peligro, estamos comenzando a movernos en la dirección correcta.