Seguros de ciberriesgo en México: qué cubren, qué te piden y cuándo convienen

El seguro de ciberriesgo entró a la conversación de las PyMEs mexicanas por una puerta lateral: los clientes grandes empezaron a pedirlo. Aparece en los cuestionarios de proveedor, en las licitaciones y en los contratos de maquila.

Y entonces surge la pregunta práctica: ¿es un gasto de cumplimiento o de verdad sirve?

La respuesta corta: sirve, pero no hace lo que mucha gente cree que hace.

Qué cubre, en dos bloques

Las pólizas de este tipo suelen combinar dos cosas distintas, y conviene entenderlas por separado porque se contratan con sumas distintas.

Bloque 1 — Daños propios (lo que le pasa a tu empresa):

• Peritaje forense. Determinar qué pasó, por dónde entraron y qué alcanzaron. Es caro y es lo primero que se necesita.
• Recuperación de sistemas y datos. El trabajo técnico de volver a operar.
• Pérdida de beneficio por interrupción. Lo que dejaste de ganar durante la caída. Suele tener un periodo de carencia — las primeras horas no se indemnizan.
• Gastos de notificación. Avisar a los afectados —y, cuando aplique, a la autoridad— si hubo datos personales.
• Extorsión, en algunas modalidades y con condiciones estrictas.

Bloque 2 — Responsabilidad frente a terceros (lo que le pasa a otros por tu culpa):

• Reclamaciones de clientes o proveedores afectados por una filtración de sus datos.
• Defensa jurídica y gastos de abogados.
• Procedimientos ante autoridad, cuando aplican.

Qué te van a preguntar antes de emitirla

Esta es la parte más útil de todo el proceso, la contrates o no.

Las aseguradoras evalúan los controles de seguridad antes de emitir y ajustan prima, deducible y coberturas según lo que encuentren. El cuestionario varía, pero pregunta casi siempre por lo mismo:

Llenar ese cuestionario honestamente es, en sí mismo, el mejor diagnóstico gratuito que puede hacer una empresa mediana. Aunque decidas no contratar nada, la lista de lo que no supiste responder es tu plan de trabajo del trimestre.

La letra que se lee después y debería leerse antes

Tres puntos concentran la mayoría de los rechazos de siniestro:

1. Declaraciones inexactas. Si el cuestionario dice que hay doble factor en todas las cuentas administrativas y resulta que no lo había, la aseguradora tiene argumento. Responder con honestidad importa más que responder bien: es preferible una prima más alta que una póliza que no va a pagar.

2. Exclusiones del condicionado. Varían y hay que leerlas. Las que más aparecen: incidentes originados en vulnerabilidades conocidas y sin parchar durante un tiempo prolongado, actos de empleados con intención, y fallos de proveedores que la póliza no cubre expresamente.

3. El protocolo de aviso. Es la que más sorprende. Muchas pólizas obligan a avisar en un plazo corto —a veces de horas— y a usar a los peritos que designa la aseguradora. Llamar primero a tu proveedor de TI de confianza y empezar a restaurar puede comprometer la cobertura, porque destruye evidencia forense.

Cuánto cuesta y de qué depende

El precio se calcula sobre varias variables: facturación, giro, volumen y tipo de datos que manejas, suma asegurada, deducible y —cada vez con más peso— el nivel de controles que demuestres.

Ese último punto cambió la economía del producto. Antes el seguro era una alternativa a invertir en seguridad; hoy es una consecuencia de haber invertido. Una empresa sin controles básicos frecuentemente recibe una de tres respuestas: no se le emite, se le emite con un deducible tan alto que la vuelve inútil, o se le emite con exclusiones que dejan fuera justo lo que le va a pasar.

Cuándo conviene

Con al menos una de estas cuatro, la conversación tiene sentido:

1. La operación depende por completo de los sistemas y un día detenida cuesta mucho.
2. Se manejan datos personales de clientes en volumen, con las obligaciones que eso implica bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
3. Un cliente grande o un contrato lo exige. Cada vez más frecuente en cadenas de suministro exportadoras.
4. Ya hubo un incidente. Después del primero, el cálculo de dirección es otro.

Cuándo no

Cuando falta lo básico. Es la misma conclusión de la comparación entre EDR y antivirus y se repite por una razón: ninguna capa avanzada compensa la ausencia de las elementales.

Si tu empresa no tiene doble factor, respaldos probados y parcheo con proceso, esos tres controles cuestan menos que una prima anual y reducen el riesgo de verdad, no solo su impacto financiero. Y además, son los que te van a permitir contratar la póliza el año que viene en condiciones razonables.

Cómo comparar dos propuestas

Pide que ambas respondan lo mismo, sobre el condicionado y no sobre el folleto:

• Suma asegurada por cobertura, no solo el total.
• Deducible por tipo de siniestro.
• Periodo de carencia en interrupción de negocio.
• Lista completa de exclusiones.
• Plazo y canal de aviso de siniestro.
• ¿Incluye respuesta a incidentes? Algunas pólizas traen equipo forense y de respuesta incluido — y ese servicio, en el momento del incidente, vale más que una parte del dinero.
• ¿Qué pasa si el incidente viene de un proveedor?

En resumen

El seguro de ciberriesgo es un buen instrumento financiero y un pésimo sustituto de la seguridad. Sirve para lo que sirve un seguro: convertir una pérdida catastrófica e impredecible en un costo conocido.

Y su mayor beneficio empieza antes de firmarlo. El cuestionario de la aseguradora es, para la mayoría de las PyMEs mexicanas, la primera vez que alguien le hace a la empresa las preguntas correctas — y con fecha de entrega.