Primas de ciberseguro: cómo se calculan

Las primas de ciberseguro se calculan multiplicando una tarifa base (derivada de tus ingresos anuales y de la clase de riesgo de tu sector) por una serie de modificadores que reflejan tus controles de seguridad, los límites de cobertura solicitados, la retención (franquicia) y tu historial de siniestros. El suscriptor parte de una cifra de exposición (normalmente los ingresos), aplica un coste de pérdida del sector y después ajusta al alza o a la baja según lo bien que tus controles reducen la probabilidad y la gravedad de un siniestro. Una empresa sanitaria con controles débiles y un límite de 10 M$ pagará un múltiplo de lo que paga una empresa de servicios profesionales bien defendida por el mismo límite. La mayor palanca que controlas es la postura de seguridad que la aseguradora verifica durante la suscripción.

La fórmula real que usan las aseguradoras

La tarificación de seguros en general sigue una versión de esta ecuación:

Prima = (Pérdida esperada × Base de exposición) + Carga de riesgo + Gastos + Margen de beneficio

En el ciberseguro en concreto, funciona así:

• Base de exposición: casi siempre los ingresos anuales, a veces el número de registros que se conservan o la plantilla. Una empresa con 50 M$ de ingresos es por naturaleza un objetivo mayor y una indemnización mayor que una de 5 M$.
• Tarifa base / coste de pérdida: una cifra por unidad de ingresos que la aseguradora asigna a tu sector. Sanidad, servicios financieros y comercio minorista tienen costes de pérdida más altos por los datos regulados y la frecuencia del ransomware; una empresa manufacturera con poca PII tiene uno más bajo.
• Factores de límite y retención: los límites de cobertura más altos elevan la prima de forma aproximada (pero no lineal: las capas de exceso cuestan menos por dólar); una retención mayor la reduce porque absorbes más de cada pérdida.
• Modificadores por controles: bonificaciones o recargos aplicados según tus respuestas al cuestionario de seguridad. Aquí es donde una postura sólida puede recortar una cotización en porcentajes de dos cifras, y una débil puede hacer que te rechacen por completo.

El resultado es que dos empresas con los mismos ingresos pueden recibir cotizaciones que difieren de 3 a 5 veces solo por los controles y el sector.

Lo que comprueban los suscriptores antes siquiera de cotizar

Antes de que entre en juego el precio, las aseguradoras aplican un conjunto de requisitos mínimos. Si no los cumples, no obtienes cotización, o la obtienes con sublímites de ransomware paralizantes. Las ciberaseguradoras suelen exigir lo siguiente como condiciones mínimas de suscripción:

• Autenticación multifactor (MFA): en el acceso remoto, el correo, la VPN y las cuentas privilegiadas. Es el requisito obligatorio más común; la falta de MFA en el acceso remoto es un motivo de rechazo frecuente.
• Detección y respuesta en endpoints (EDR): no solo el antivirus tradicional. Las aseguradoras quieren ver capacidad de detección de comportamiento y de respuesta en todos los endpoints.
• Copias de seguridad inmutables: copias que el ransomware no puede cifrar ni borrar, con la restauración probada. Esto limita directamente su exposición a pérdidas por ransomware.
• Seguridad del correo: filtrado y controles antiphishing, ya que el correo sigue siendo el vector de acceso inicial dominante.
• Un plan de respuesta a incidentes documentado: evidencia de que puedes detectar y contener un evento rápidamente en lugar de dejar que se extienda hasta convertirse en una brecha completa.

Trata estos cinco como el precio de entrada. Cada uno que puedas declarar con honestidad (y demostrar durante un siniestro) te abre una cotización o te da una bonificación en el precio. Mentir en el cuestionario es peor que no tener el control: la falsedad en la declaración es motivo para anular la póliza después de una pérdida.

Cómo se relaciona la regla 1-10-60 con tu prima

La regla 1-10-60 es una referencia de ciberseguridad para la velocidad de respuesta a incidentes: detectar una intrusión en 1 minuto, investigarla en 10 minutos y contenerla o remediarla en 60 minutos. Surge de la observación de que el «tiempo de breakout» del atacante (la ventana entre el compromiso inicial y el movimiento lateral) es corto, así que los defensores que lo superan impiden que un punto de apoyo se convierta en una brecha completa.

Esto importa para las primas porque las aseguradoras tarifican la gravedad, no solo la frecuencia. Una organización que puede demostrar detección y contención rápidas (con EDR, un SOC propio o externalizado y un plan de respuesta probado) reduce el tamaño esperado de cualquier siniestro. Cuando le dices a un suscriptor que tienes una capacidad de respuesta madura alineada con algo como 1-10-60, estás defendiendo una hipótesis de gravedad menor, que alimenta directamente el lado del coste de pérdida de la fórmula de la prima. Es la prueba operativa detrás de la casilla de «plan de respuesta documentado».

Calcular tu propio ciberriesgo (lo que representa la cifra)

Los suscriptores estiman tu expectativa de pérdida anualizada, y tú puedes modelar lo mismo internamente:

Riesgo = Probabilidad × Impacto, o con más precisión, Expectativa de pérdida anualizada (ALE) = Expectativa de pérdida individual (SLE) × Tasa anualizada de ocurrencia (ARO).

Ejemplo práctico: supón que un evento de ransomware te costaría 2 M$ en recuperación, inactividad y extorsión (SLE), y estimas un 10 % de probabilidad al año de un ataque con éxito (ARO de 0,1). Tu ALE es de 200.000 $. Ahora añade MFA, EDR y copias inmutables que reducen tanto la probabilidad de éxito como el coste de recuperarte sin pagar: el ARO baja a 0,04 y la SLE a 800.000 $. Tu nueva ALE es de 32.000 $. Esa reducción del 84 % en la pérdida modelada es precisamente lo que obtiene bonificaciones por controles cuando el suscriptor hace su versión de los mismos cálculos. Hacer este ejercicio antes de solicitar la póliza te permite prever dónde te bonificarán y dónde te recargarán.

Coste típico y qué determina el rango

No hay un único coste «típico» del ciberseguro porque la base de exposición varía muchísimo, pero los factores que determinan dónde caes dentro del rango son constantes. Las pequeñas empresas con ingresos modestos y buenos controles están en la parte baja; las medianas y grandes empresas con datos regulados y límites altos están muy por encima. Los factores que te suben o te bajan:

• Ingresos y número de registros: más de cualquiera de los dos significa más exposición y una prima base más alta.
• Sector: sanidad, finanzas, educación y comercio minorista cuestan más que los sectores con pocos datos.
• Límite de cobertura y retención: un límite de 5 M$ cuesta bastante más que uno de 1 M$; una franquicia más alta reduce la prima.
• Madurez de los controles: los cinco controles mínimos más SOC/monitorización, cadencia de parches y segmentación de red.
• Historial de siniestros: los incidentes previos suben tu tarifa igual que un accidente con culpa sube la prima del seguro del coche.
• Jurisdicción: en estados con leyes estrictas de notificación de brechas y de privacidad como California (CCPA/CPRA), el coste regulatorio y de litigios potencial de una brecha es mayor, y las aseguradoras lo tienen en cuenta al tarificar a las empresas que guardan datos de residentes en California.

El seguro de ciberresponsabilidad en sí cubre los costes propios (análisis forense, recuperación, interrupción del negocio, extorsión) y la responsabilidad frente a terceros (reclamaciones de clientes y socios afectados, defensa regulatoria). Entender qué coberturas compras, y sus sublímites, es tan importante como la prima principal, porque una póliza barata con un sublímite de ransomware de 250.000 $ puede no servir de nada ante un evento de 2 M$.

Si quieres ver cómo interactúan estas variables en tu propio perfil antes de hablar con un corredor, haz los números con la Cyber Insurance Premium Calculator gratuita de PlayCISO: te permite modelar cómo tus ingresos, tus límites y tu postura de controles mueven la estimación para que sepas en qué centrarte antes de solicitar la póliza.

Preguntas frecuentes

¿Qué fórmula usan las aseguradoras para las primas de ciberseguro?

La tarificación de seguros en general sigue una versión de esta ecuación: Prima = (Pérdida esperada × Base de exposición) + Carga de riesgo + Gastos + Margen de beneficio. En el ciberseguro en concreto, funciona así: Base de exposición: casi siempre los ingresos anuales, a veces el número de registros que se conservan o la plantilla.

¿Qué comprueban los suscriptores antes de cotizar un ciberseguro?

Antes de que entre en juego el precio, las aseguradoras aplican un conjunto de requisitos mínimos. Si no los cumples, no obtienes cotización, o la obtienes con sublímites de ransomware paralizantes. Las ciberaseguradoras suelen exigir lo siguiente como condiciones mínimas de suscripción: Autenticación multifactor (MFA): en el acceso remoto, el correo, la VPN y las cuentas privilegiadas.

¿Cómo se relaciona la regla 1-10-60 con tu prima?

La regla 1-10-60 es una referencia de ciberseguridad para la velocidad de respuesta a incidentes: detectar una intrusión en 1 minuto, investigarla en 10 minutos y contenerla o remediarla en 60 minutos. Surge de la observación de que el «tiempo de breakout» del atacante (la ventana entre el compromiso inicial y el movimiento lateral) es corto, así que los defensores que lo superan impiden que un punto de apoyo se convierta en una brecha completa.

¿Cuál es el coste típico de un ciberseguro y qué determina el rango?

No hay un único coste «típico» del ciberseguro porque la base de exposición varía muchísimo, pero los factores que determinan dónde caes dentro del rango son constantes. Las pequeñas empresas con ingresos modestos y buenos controles están en la parte baja; las medianas y grandes empresas con datos regulados y límites altos están muy por encima.