Requisitos del ciberseguro: lo que exigen los suscriptores

Los requisitos del ciberseguro son los controles de seguridad que exige un suscriptor antes de emitir o renovar una póliza. En la práctica, las aseguradoras suelen exigir cinco controles básicos: autenticación multifactor (MFA), detección y respuesta en endpoints (EDR), copias de seguridad inmutables, seguridad del correo y un plan de respuesta a incidentes (IR) documentado. Si no demuestras alguno de ellos, te enfrentarás a primas más altas, exclusiones de cobertura o un rechazo directo.

Los cinco controles básicos que de verdad comprueban las aseguradoras

La suscripción se ha endurecido muchísimo desde que se dispararon las pérdidas por ransomware. Las aseguradoras ya no se fían de tu palabra: piden evidencias en la solicitud, y la falsedad en la declaración puede anular un siniestro. Esto es lo que significa cada control en términos concretos:

• MFA: obligatoria en todo el acceso remoto, las VPN, el correo (sobre todo Microsoft 365 / Google Workspace) y las cuentas privilegiadas/de administrador. «MFA solo en el correo» es cada vez menos suficiente; espera preguntas sobre la MFA en tu proveedor de identidad y en cualquier interfaz de gestión expuesta a internet.
• EDR: un producto concreto (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, etc.) desplegado en endpoints y servidores, idealmente con monitorización 24/7. Un antivirus tradicional solo basado en firmas no supera el listón.
• Copias de seguridad inmutables: copias que un atacante no puede alterar ni borrar, con la restauración probada y guardadas desconectadas o en un dominio de seguridad separado. Es el factor individual más importante para recuperarse de un ransomware, así que las aseguradoras lo examinan con lupa.
• Seguridad del correo: controles antiphishing y de filtrado, más SPF, DKIM y DMARC para reducir la suplantación. El correo sigue siendo el principal punto de entrada del ransomware y del compromiso del correo empresarial.
• Plan de respuesta a incidentes documentado: un plan escrito y probado con funciones definidas, árboles de contacto y playbooks. Puntos extra por ejercicios de mesa en los últimos 12 meses.

Estos cinco son las condiciones mínimas de suscripción confirmadas que las aseguradoras suelen exigir. Las pólizas más grandes añaden controles como la gestión de accesos privilegiados, la segmentación de red, SLA de parcheo de vulnerabilidades e inventarios de software al final de su vida útil.

Lo que no cubre el ciberseguro

Contratar una póliza no sustituye a la seguridad, y las exclusiones importan más de lo que la mayoría de los compradores creen. El ciberseguro normalmente no cubre:

• Brechas preexistentes: incidentes que empezaron antes del inicio de la póliza, aunque se descubran después.
• Vulnerabilidades conocidas sin parchear: si conocías un fallo crítico y no lo corregiste, pueden denegarte los siniestros.
• No mantener los controles exigidos: si declaraste MFA en tu solicitud pero en realidad no estaba aplicada, la aseguradora puede anular la cobertura.
• Actos de guerra / ataques de estados-nación: muchas pólizas incluyen ya exclusiones por guerra que pueden aplicarse a ataques patrocinados por estados (un terreno disputado desde los litigios por NotPetya).
• Pérdida de ingresos futuros y daño reputacional más allá de los límites de interrupción del negocio definidos.
• Multas que la ley declara no asegurables en tu jurisdicción (algunas sanciones regulatorias no se pueden asegurar).

La lección práctica: tus respuestas a la solicitud se convierten en garantías contractuales. Respóndelas con exactitud y conserva evidencias de que tus controles funcionaron durante todo el periodo de la póliza.

¿Lo necesitas de verdad, y es obligatorio?

El ciberseguro no es legalmente obligatorio para la mayoría de las organizaciones, pero cada vez se exige más por contrato. Los clientes empresariales, las agencias públicas y los contratistas principales piden de forma habitual una prueba de póliza de ciberseguro (a menudo con límites de 1–5 M$) como condición para hacer negocios. Así que, aunque ninguna ley te obliga a contratarlo, tu cartera comercial puede hacerlo.

Sobre la pregunta de «¿lo necesito?»: cualquier organización que guarda datos sensibles, procesa pagos o sufriría una inactividad importante por una caída se beneficia. Los controles que implantas para cumplir los requisitos de cobertura (MFA, EDR, copias probadas) son exactamente los controles que reducen tu riesgo real de brecha. Dicho de otro modo, cumplir los requisitos merece la pena aunque nunca presentes un siniestro.

Cómo prepararte antes de solicitarlo

Trata la solicitud como una auditoría. Trabaja en este orden para cerrar primero las carencias de mayor impacto:

• Impón MFA en todas partes: correo, VPN, cuentas de administrador y tu proveedor de identidad. Es lo que más rápido mueve la prima.
• Despliega y monitoriza EDR en todos los endpoints y servidores; documenta el producto y el porcentaje de cobertura.
• Demuestra copias inmutables y probadas: haz una restauración y guarda la evidencia fechada.
• Configura SPF, DKIM y DMARC y activa el filtrado avanzado del correo.
• Escribe tu plan de respuesta a incidentes y haz un ejercicio de mesa: incluso un ejercicio de dos horas te da algo que declarar.

Documenta cada control con capturas de pantalla, exportaciones de configuración y fechas. Estas evidencias aceleran la suscripción y te protegen si alguna vez necesitas reclamar.

¿Quieres estimar cómo podría ser tu prima antes de hablar con un corredor?

Preguntas frecuentes

¿Qué controles básicos comprueban las ciberaseguradoras?

La suscripción se ha endurecido muchísimo desde que se dispararon las pérdidas por ransomware. Las aseguradoras ya no se fían de tu palabra: piden evidencias en la solicitud, y la falsedad en la declaración puede anular un siniestro. Esto es lo que significa cada control en términos concretos: MFA: obligatoria en todo el acceso remoto, las VPN, el correo (sobre todo Microsoft 365 / Google Workspace) y las cuentas privilegiadas/de administrador.

¿Qué no cubre el ciberseguro?

Contratar una póliza no sustituye a la seguridad, y las exclusiones importan más de lo que la mayoría de los compradores creen. El ciberseguro normalmente no cubre: Brechas preexistentes: incidentes que empezaron antes del inicio de la póliza, aunque se descubran después.

¿Necesitas de verdad un ciberseguro, y es obligatorio?

El ciberseguro no es legalmente obligatorio para la mayoría de las organizaciones, pero cada vez se exige más por contrato. Los clientes empresariales, las agencias públicas y los contratistas principales piden de forma habitual una prueba de póliza de ciberseguro (a menudo con límites de 1–5 M$) como condición para hacer negocios.

¿Cómo te preparas antes de solicitar un ciberseguro?

Trata la solicitud como una auditoría. Trabaja en este orden para cerrar primero las carencias de mayor impacto: Impón MFA en todas partes: correo, VPN, cuentas de administrador y tu proveedor de identidad. Es lo que más rápido mueve la prima. Despliega y monitoriza EDR en todos los endpoints y servidores; documenta el producto y el porcentaje de cobertura.