Qué baja tu prima de ciberseguro y qué solo te da cotización

Los controles que bajan de forma más fiable tu prima de ciberseguro son los mismos cinco que las aseguradoras exigen ahora antes siquiera de cotizar: autenticación multifactor (MFA), detección y respuesta en endpoints (EDR), copias de seguridad inmutables, filtrado de seguridad del correo y un plan de respuesta a incidentes (IR) documentado. Son condiciones mínimas de suscripción: no desplegarlos no te da una prima más alta, te da un rechazo. La reducción de la prima viene de lo completa y verificable que sea su implantación: MFA en todo, incluido el acceso remoto y las cuentas privilegiadas, EDR con monitorización 24/7, copias de seguridad cuya restauración se prueba de verdad. A continuación desgloso qué controles mueven la cifra, cuáles solo te abren la puerta y qué no cubrirá tu póliza por muy buena que sea tu seguridad.

Los cinco controles que te consiguen siquiera una cotización

Las ciberaseguradoras suelen exigir MFA, EDR, copias de seguridad inmutables, seguridad del correo y un plan de respuesta a incidentes documentado como condiciones mínimas de suscripción antes de cotizar. Trátalos como lo mínimo imprescindible. Si tu respuesta sobre MFA en el cuestionario es «solo correo/SMS» o «no en la VPN», espera un rechazo o una prima punitiva cargada para cubrir el riesgo que no pueden suscribir.

La distinción que importa para tu prima es la cobertura completa frente a un despliegue simbólico. Los suscriptores se han vuelto concretos porque las pérdidas por ransomware les enseñaron dónde están las carencias:

• MFA: en el acceso remoto a la red, el webmail y las cuentas privilegiadas/de administrador. «Tenemos MFA en Office 365» no es lo mismo que «MFA en todo el acceso administrativo a los sistemas críticos». Lo segundo tiene mejor precio.
• EDR: no el antivirus tradicional. Las aseguradoras preguntan cada vez más si un SOC o un proveedor MDR lo monitoriza 24/7. Un agente desplegado pero sin monitorizar vale menos para ellas.
• Copias de seguridad inmutables: fuera de línea o inmutables, separadas del dominio de producción y con la restauración probada. La pregunta siguiente siempre es «¿cuándo probasteis por última vez una restauración completa?».
• Seguridad del correo: filtrado y, idealmente, DMARC en modo de aplicación y detonación de adjuntos y enlaces, porque el correo sigue siendo el vector de entrada dominante del ransomware.
• Plan de respuesta a incidentes documentado: que asigne funciones, incluya la línea de atención de brechas de la aseguradora y se haya ejercitado. Un plan que nunca se ha puesto a prueba en un ejercicio de mesa se lee como papel mojado.

Lo que de verdad baja la cifra más allá del mínimo

Una vez superado el mínimo, las reducciones de prima vienen de controles que reducen la probabilidad de un siniestro o su gravedad. Los suscriptores modelan ambas. Los controles que marcan la diferencia:

• Segmentación de red: las redes planas permiten que un ransomware se propague de una estación de trabajo a todo el entorno. Segmentar la producción, las copias de seguridad y los sistemas OT/críticos limita directamente la pérdida potencial que debe asumir la aseguradora.
• Gestión de accesos privilegiados (PAM): guardar en un almacén y monitorizar las sesiones de las credenciales de administrador reduce el radio de impacto del objetivo más valioso para los atacantes.
• Cadencia de gestión de parches y vulnerabilidades: un SLA documentado (por ejemplo, parches críticos en 7 días) es mejor que «parcheamos con regularidad». Las aseguradoras preguntan por tu tiempo medio de parcheo en los sistemas expuestos al exterior.
• Formación de concienciación en seguridad con simulación de phishing, con seguimiento de la tasa de clics a lo largo del tiempo.
• Conservación de registros de endpoints y del correo: porque una detección más rápida y la preparación forense reducen el coste de respuesta, que es la mayor partida en la mayoría de los siniestros.

Reducen la prima porque reducen las dos cosas que las aseguradoras tarifican realmente: la probabilidad de que presentes un siniestro y el tamaño del cheque que firman si lo haces.

La regla 80/20 aplicada a tu prima

La regla 80/20 (el principio de Pareto) en ciberseguridad es la observación de que aproximadamente el 80 % de tu reducción del riesgo viene de alrededor del 20 % de tus controles. A efectos del seguro, ese 20 % son casi exactamente los cinco básicos más la segmentación. Por eso perseguir un control rebuscado mientras tu MFA tiene huecos de cobertura es una estrategia perdedora: dedicas esfuerzo al 80 % de controles de bajo rendimiento mientras dejas incompletos los fundamentos de alto rendimiento.

Priorización práctica con un presupuesto limitado, por orden de impacto en la prima:

• Cierra todos los huecos de MFA: primero las cuentas privilegiadas y el acceso remoto.
• Pasa del antivirus a un EDR/MDR monitorizado.
• Haz inmutables las copias de seguridad y demuestra una prueba de restauración.
• Separa las copias de seguridad y los sistemas críticos de la red plana.
• Escribe el plan de respuesta a incidentes y después ejercítalo.

Haz bien estos cinco y habrás capturado la mayor parte del descuento disponible. Todo lo demás es marginal en comparación.

¿Cuánto debería costar un ciberseguro?

No hay una cifra universal, y quien te cite un «X % de los ingresos» fijo está adivinando: el precio depende de tu sector, tus ingresos, la sensibilidad de tus datos (los datos PHI y de tarjetas de pago cuestan más), tu historial de siniestros y lo completamente que hayas implantado los controles anteriores. La respuesta honesta para un CISO es que tu prima depende de dos cosas que controlas y de varias que no:

• Controlas: la madurez de los controles, el límite solicitado, la retención/franquicia y lo bien que documentas tu postura en la solicitud.
• No controlas: la siniestralidad de tu sector, la capacidad del mercado en general y tu exposición derivada de los ingresos.

La mayor palanca que tiene la mayoría de las organizaciones es la franquicia. Subir tu retención baja la prima de forma notable, lo que es apropiado si tu balance puede autoasegurar el primer tramo de una pérdida. La segunda mayor palanca es la completitud de los controles, y por eso importa tanto el cuestionario de la solicitud: las respuestas incompletas o descuidadas se tarifican de forma conservadora en tu contra.

Lo que no cubre el ciberseguro

Aquí es donde los CISO se queman tras una brecha, así que conócelo de antemano. Exclusiones y carencias habituales:

• Vulnerabilidades conocidas/preexistentes: si conocías un fallo sin parchear y no actuaste, la aseguradora puede denegar el siniestro.
• No mantener los controles garantizados: si declaraste MFA en todas partes en la solicitud y la brecha se remonta a una cuenta sin ella, la cobertura puede anularse. Tus respuestas al cuestionario son, en la práctica, contractuales.
• Exclusiones por guerra y por estados-nación: muchas pólizas excluyen ya los ataques atribuidos a actores estatales, algo polémico dada la dificultad de la atribución.
• Mejoras de infraestructura: las aseguradoras pagan para restaurarte, no para financiar las mejoras de seguridad que ya deberías haber hecho.
• Pérdida reputacional e ingresos futuros perdidos más allá de las ventanas de interrupción del negocio definidas.
• Multas regulatorias que la ley de tu jurisdicción declara no asegurables.

La conclusión práctica: los controles que bajan tu prima son los mismos que mantienen válida tu cobertura. Falsear tu postura para conseguir una tarifa mejor es la forma más rápida de que te denieguen un siniestro cuando más lo necesitas.

Si quieres ver cómo se traducen mejoras concretas de controles en una cifra en dólares para tu organización, pasa tus números por la Cyber Insurance Premium Calculator gratuita de PlayCISO: te permite modelar cómo cambia tu prima estimada al cerrar huecos de MFA, añadir EDR o subir tu retención antes de salir al mercado con un corredor.

Preguntas frecuentes

¿Qué cinco controles te consiguen siquiera una cotización de ciberseguro?

Las ciberaseguradoras suelen exigir MFA, EDR, copias de seguridad inmutables, seguridad del correo y un plan de respuesta a incidentes documentado como condiciones mínimas de suscripción antes de cotizar. Trátalos como lo mínimo imprescindible. Si tu respuesta sobre MFA en el cuestionario es «solo correo/SMS» o «no en la VPN», espera un rechazo o una prima punitiva cargada para cubrir el riesgo que no pueden suscribir.

¿Qué baja la prima de ciberseguro más allá de lo mínimo?

Una vez superado el mínimo, las reducciones de prima vienen de controles que reducen la probabilidad de un siniestro o su gravedad. Los suscriptores modelan ambas. Los controles que marcan la diferencia: Segmentación de red: las redes planas permiten que un ransomware se propague de una estación de trabajo a todo el entorno.

¿Cuánto debería costar un ciberseguro?

No hay una cifra universal, y quien te cite un «X % de los ingresos» fijo está adivinando: el precio depende de tu sector, tus ingresos, la sensibilidad de tus datos (los datos PHI y de tarjetas de pago cuestan más), tu historial de siniestros y lo completamente que hayas implantado los controles anteriores.

¿Qué no cubre el ciberseguro?

Aquí es donde los CISO se queman tras una brecha, así que conócelo de antemano. Exclusiones y carencias habituales: Vulnerabilidades conocidas/preexistentes: si conocías un fallo sin parchear y no actuaste, la aseguradora puede denegar el siniestro. No mantener los controles garantizados: si declaraste MFA en todas partes en la solicitud y la brecha se remonta a una cuenta sin ella, la cobertura puede anularse.