Cada vez más pymes contratan un ciberseguro, y cada vez más se encuentran con la misma sorpresa: antes de darles un precio, la aseguradora les pasa un cuestionario técnico que no saben responder. Esta guía explica qué cubre un ciberseguro, qué no, y qué medidas te van a pedir, para que lo contrates sabiendo lo que firmas.
Qué suele cubrir
Las pólizas se dividen normalmente en dos bloques:
Daños propios
- Los expertos que investigan el incidente y ayudan a contenerlo.
- La recuperación de datos y sistemas.
- La pérdida de beneficios mientras la empresa está parada.
- El asesoramiento legal y la gestión de la comunicación con clientes afectados.
Responsabilidad frente a terceros
- Las reclamaciones de clientes o proveedores por una fuga de sus datos.
- La defensa jurídica en esas reclamaciones.
Lo que conviene leer dos veces
- El fraude por transferencia. Muchas pólizas excluyen el dinero perdido por engaño, como el fraude del CEO o una factura con el IBAN cambiado, o lo cubren con un límite muy bajo. Es justo el incidente más habitual en pymes.
- Las sanciones. Las multas administrativas, por ejemplo de protección de datos, normalmente no se pueden asegurar o tienen límites estrictos.
- Las medidas declaradas. Si en el cuestionario dijiste que tenías algo y no era verdad, la aseguradora puede rechazar el siniestro.
- Los fallos conocidos sin corregir. Algunas pólizas excluyen los incidentes causados por vulnerabilidades con parche disponible desde hace tiempo.
Qué te va a preguntar la aseguradora
Los cuestionarios cambian de una compañía a otra, pero casi todos preguntan por lo mismo:
- Doble factor en el correo, en los accesos remotos y en las cuentas de administrador.
- Copias de seguridad separadas de la red, que un ransomware no pueda borrar, y restauraciones probadas.
- Protección de equipos moderna (lo que se suele llamar EDR) en ordenadores y servidores.
- Actualizaciones aplicadas con regularidad.
- Formación del equipo en phishing y fraude.
- Un plan de qué hacer si hay un incidente.
Clave
No basta con tener las medidas: muchas reclamaciones se complican porque la empresa no puede demostrar que las tenía. Guarda las pruebas: la configuración del doble factor, los registros de las restauraciones de copias y las fechas de las formaciones.
Seguro y seguridad no son lo mismo
Un ciberseguro paga una parte del daño, pero no evita el incidente ni recupera la confianza de un cliente. Lo razonable es reducir primero el riesgo y asegurar después lo que queda. Además, con las medidas en orden, el cuestionario se responde sin dudas y la prima suele ser mejor.
Nosotros no vendemos seguros. Lo que sí hacemos es revisar tu empresa con los mismos puntos que mira una aseguradora, ayudarte a corregir lo que falte y dejarte las evidencias por escrito. Así funciona la auditoría.