Controles que bajan la prima del ciberseguro

Los controles que bajan tu prima de ciberseguro son, en su mayor parte, los mismos cinco controles que las aseguradoras exigen ahora antes siquiera de cotizar: autenticación multifactor (MFA), detección y respuesta en endpoints (EDR), copias de seguridad inmutables, seguridad del correo y un plan de respuesta a incidentes (IR) documentado. Son condiciones mínimas de suscripción: si falta uno, no obtienes una «prima más alta», te rechazan o te ofrecen cobertura con un sublímite paralizante. Las reducciones de prima vienen de lo bien que implantas y demuestras estos controles, más un segundo nivel de controles (gestión de accesos privilegiados, segmentación de red, formación de concienciación en seguridad) que indican a un suscriptor una menor frecuencia de pérdidas. Este artículo desglosa qué controles mueven la cifra, cuánto suele costar la cobertura y las exclusiones que vacían discretamente una póliza después de haberla pagado.

Los cinco controles que te abren la puerta

Las ciberaseguradoras suelen exigir MFA, EDR, copias de seguridad inmutables, seguridad del correo y un plan de respuesta a incidentes documentado como condiciones mínimas de suscripción antes de cotizar. Trátalos como puertas de aprobado/suspenso, no como palancas de la prima, aunque la profundidad de cada uno es lo que negocia tu tarifa a la baja:

• MFA: los suscriptores ya no aceptan «tenemos MFA». Quieren MFA en el acceso remoto (VPN, RDP), en todas las cuentas privilegiadas/de administrador y en el webmail y los portales de administración en la nube. MFA en el correo pero no en tu VPN es la razón más común de que se dispare la prima en una renovación. La MFA resistente al phishing (FIDO2/llaves de hardware) en las cuentas de administrador es un factor diferenciador documentado que las aseguradoras premian.
• EDR: un «antivirus» no es EDR. Las aseguradoras preguntan específicamente si usas una plataforma EDR/XDR moderna, si cubre el 100 % de los endpoints y servidores y si se monitoriza 24/7 (SOC propio o MDR). Los huecos de cobertura (ese servidor heredado sin agente) son exactamente lo que se examina en la solicitud.
• Copias de seguridad inmutables: es el control frente al ransomware. Las aseguradoras quieren copias desconectadas o inmutables (almacenamiento WORM), probadas mediante restauración y separadas del dominio de producción para que el ransomware no pueda cifrarlas. La frase clave en las solicitudes es «¿puede un atacante que compromete a tu administrador de dominio borrar tus copias de seguridad?». Si la respuesta es sí, espera un sublímite para el ransomware.
• Seguridad del correo: filtrado avanzado del correo, aplicación de DMARC/DKIM/SPF y sandboxing de adjuntos. El compromiso del correo empresarial (BEC) es uno de los principales motores de siniestros, así que esto se vincula directamente con tu cobertura de fraude en transferencias de fondos.
• Plan de respuesta a incidentes documentado: un plan escrito y probado con funciones definidas, un árbol de escalado y evidencias de al menos un ejercicio de mesa en los últimos 12 meses. «Ya lo resolveremos» te cuesta prima y, peor aún, disputas de cobertura tras un incidente.

Los controles de segundo nivel que de verdad mueven la cifra

Una vez superado el mínimo, las reducciones de prima vienen de controles que reducen la frecuencia y la gravedad de los siniestros que la aseguradora espera pagar. Nómbralos de forma concreta en tu solicitud: los suscriptores tarifican lo que pueden ver:

• Gestión de accesos privilegiados (PAM): credenciales de administrador en un almacén, acceso justo a tiempo y monitorización de sesiones. Limita directamente el radio de impacto del ransomware, que es el escenario de pérdida que mueve el mercado.
• Segmentación de red: separar OT de TI, aislar las copias de seguridad y microsegmentar los sistemas críticos. La segmentación convierte un siniestro de «cifrado de todo el entorno» en uno contenido.
• Formación de concienciación en seguridad con simulación de phishing: unas tasas de clic notificadas que bajan con el tiempo son una evidencia concreta que los suscriptores pueden tarificar.
• Gestión de vulnerabilidades y cadencia de parches: un SLA documentado para parchear vulnerabilidades críticas (por ejemplo, las críticas expuestas a internet en 72 horas) es mejor que un vago «parcheamos con regularidad».
• Registro y monitorización: un registro centralizado con una conservación lo bastante larga para apoyar el análisis forense reduce el coste de respuesta a incidentes de la aseguradora, que esta tiene en cuenta.

El patrón: cada control que acorta el tiempo de permanencia, reduce el radio de impacto o acelera la recuperación baja la pérdida esperada, y eso es lo que descuenta un actuario.

Cuánto cuesta realmente un ciberseguro

Las primas se calculan según los ingresos anuales, el sector, los registros que se conservan, el límite de cobertura y, en gran medida, tu postura de controles. En lugar de citar una cifra única, entiende la mecánica que determina tu número:

• El límite y la retención son las mayores palancas que controlas al contratar. Subir tu retención (franquicia) baja la prima de forma notable; contratar un límite de 10 M$ en lugar de 2 M$ la sube. Ajusta el límite a tu peor caso realista (días de interrupción del negocio × ingresos diarios + costes de respuesta a la brecha), no a una cifra redonda.
• La postura de controles es la mayor palanca que controlas antes de contratar. Dos empresas de idéntico tamaño en el mismo sector pueden ver primas muy distintas solo por si pueden demostrar los cinco controles mínimos más PAM y segmentación.
• El sector y el tipo de datos importan. La sanidad (PHI), los servicios financieros y las organizaciones que procesan grandes volúmenes de PII pagan más porque la gravedad de sus siniestros es mayor.

La forma más fiable de bajar tu cotización no es comparar más: es rellenar el cuestionario de seguridad con honestidad y poder adjuntar evidencias (informes de cobertura de MFA, porcentajes de despliegue del EDR, registros de pruebas de restauración de copias). Los suscriptores tarifican la incertidumbre; la documentación la elimina.

Lo que el ciberseguro NO cubre

Conocer las exclusiones forma parte de elegir una póliza, porque una prima barata a menudo esconde huecos que dejan la cobertura sin valor cuando reclamas. Exclusiones y trampas habituales:

• No mantener los controles declarados. Si le dijiste al suscriptor que exiges MFA en todas partes y se produce una brecha a través de una cuenta sin MFA, la aseguradora puede denegar el siniestro. Es hoy la principal fuente de disputas de cobertura: tu solicitud es una garantía.
• Vulnerabilidades conocidas/previas. Los incidentes derivados de vulnerabilidades sin parchear que conocías antes del periodo de la póliza suelen quedar excluidos.
• Estado-nación / acto de guerra. Tras NotPetya, las aseguradoras añadieron cláusulas de exclusión por guerra que pueden aplicarse a ataques patrocinados por estados: lee esta cláusula con atención.
• Mejoras. El coste de actualizar los sistemas más allá de su estado previo al incidente (reconstruir sobre una plataforma mejor) normalmente no está cubierto.
• Pérdida de ingresos futuros / daño reputacional más allá de los periodos de interrupción del negocio definidos, y a menudo la ingeniería social / el fraude en transferencias de fondos salvo que se incluyan expresamente con su propio sublímite.

La «mejor» aseguradora es la pregunta equivocada: ajusta la póliza a tu riesgo

No hay una ciberaseguradora universalmente mejor; la adecuada depende de tu tamaño, tu sector y tu perfil de siniestros. Las aseguradoras más grandes (Chubb, AXA XL, Beazley, Coalition y AIG entre los nombres citados con frecuencia) se diferencian sobre todo en sus paneles de respuesta a incidentes, sus estructuras de sublímites y lo prescriptivos que son sus requisitos de controles. Lo que importa más que la marca:

• ¿Tiene un sublímite la cobertura de ransomware/BEC, y es adecuado?
• ¿Está preaprobado el panel de respuesta a incidentes (forense, legal, comunicación) y puedes usar tus propios proveedores?
• ¿Cómo aplica la aseguradora la cláusula de «no mantener los controles»: es estricta o razonable?

Compra por las condiciones de cobertura y la reputación en siniestros, no por la prima de titular más baja.

Si quieres estimar dónde se sitúa tu organización antes de hablar con un corredor (y ver cómo cambia la cifra al implantar los controles mínimos), prueba la Cyber Insurance Premium Calculator gratuita de PlayCISO. Es una forma práctica de modelar el impacto de MFA, EDR y copias inmutables en tu cotización antes de rellenar un solo cuestionario.

Preguntas frecuentes

¿Qué cinco controles te abren la puerta del ciberseguro?

Las ciberaseguradoras suelen exigir MFA, EDR, copias de seguridad inmutables, seguridad del correo y un plan de respuesta a incidentes documentado como condiciones mínimas de suscripción antes de cotizar. Trátalos como puertas de aprobado/suspenso, no como palancas de la prima, aunque la profundidad de cada uno es lo que negocia tu tarifa a la baja: MFA: los suscriptores ya no aceptan «tenemos MFA». Quieren MFA en el acceso remoto (VPN, RDP), en todas las cuentas privilegiadas/de administrador y en el webmail y los portales de administración en la nube.

¿Qué controles de segundo nivel bajan de verdad una prima de ciberseguro?

Una vez superado el mínimo, las reducciones de prima vienen de controles que reducen la frecuencia y la gravedad de los siniestros que la aseguradora espera pagar. Nómbralos de forma concreta en tu solicitud: los suscriptores tarifican lo que pueden ver: Gestión de accesos privilegiados (PAM): credenciales de administrador en un almacén, acceso justo a tiempo y monitorización de sesiones.

¿Cuánto cuesta un ciberseguro?

Las primas se calculan según los ingresos anuales, el sector, los registros que se conservan, el límite de cobertura y, en gran medida, tu postura de controles. En lugar de citar una cifra única, entiende la mecánica que determina tu número: El límite y la retención son las mayores palancas que controlas al contratar.

¿Qué no cubre el ciberseguro?

Conocer las exclusiones forma parte de elegir una póliza, porque una prima barata a menudo esconde huecos que dejan la cobertura sin valor cuando reclamas. Exclusiones y trampas habituales: No mantener los controles declarados. Si le dijiste al suscriptor que exiges MFA en todas partes y se produce una brecha a través de una cuenta sin MFA, la aseguradora puede denegar el siniestro.