Antes, solicitar un seguro de ciberseguridad se parecía más a llenar papeleo. Hoy se parece mucho más a una revisión de seguridad. Es posible que a un dueño de negocio o a un director de operaciones que renueva una póliza le pregunten sobre autenticación multifactor (MFA), copias de seguridad, controles de acceso, capacitación del personal, aplicación de parches, respuesta a incidentes y gestión de contraseñas incluso antes de que la aseguradora confirme las condiciones.
Los suscriptores quieren saber qué controles están implementados, dónde se aplican, con qué coherencia se aplican y si la empresa puede demostrarlo. Esto se debe a que el seguro cibernético no puede usarse como sustituto de la ciberseguridad. Se suma a los controles de seguridad, la planificación de incidentes, los procesos de recuperación y la gestión de riesgos como parte de la administración del riesgo cibernético.
Para las empresas que se preparan para solicitar o renovar una póliza, esto es lo que necesita saber sobre lo que las aseguradoras esperan ver antes de sentirse cómodas asumiendo el riesgo.
Lo que realmente revisan los suscriptores de seguros cibernéticos
Los controles que la mayoría de las aseguradoras espera
Una lista de verificación práctica para el seguro cibernético
Por qué a las empresas les cuesta calificar
Cómo el riesgo de las pymes afecta las conversaciones sobre seguros
Cómo Proton Pass ayuda con la preparación para el seguro cibernético
Lo que realmente revisan los suscriptores de seguros cibernéticos
Una evaluación de seguro cibernético está diseñada para entender qué probabilidad tiene una empresa de sufrir un incidente cibernético, qué gravedad podría alcanzar ese incidente y qué tan preparada está la empresa para recuperarse.
El suscriptor no solo analiza lo que hace una empresa o cuántos ingresos genera. También quiere entender cómo gestiona el acceso, las credenciales, los datos, los sistemas, los proveedores y la continuidad. Una empresa con controles administrativos débiles, sin MFA obligatorio y con copias de seguridad no probadas presenta un perfil de riesgo distinto al de una que puede demostrar políticas claras, controles aplicados y evidencia de recuperación.
Por eso, los requisitos del seguro cibernético suelen centrarse en la seguridad operativa. Las aseguradoras quieren saber si los atacantes pueden entrar con facilidad, si la empresa puede contener el daño y si los sistemas esenciales se pueden restaurar sin pagar un rescate o permanecer sin conexión durante días.
La suscripción de un seguro cibernético puede implicar un cuestionario detallado, preguntas de seguimiento, solicitudes de evidencia, escaneos o llamadas con proveedores de TI. Para las empresas más pequeñas, este proceso puede ser difícil, sobre todo cuando la seguridad no ha establecido procesos formales.
Por ejemplo, no basta con decir que su empresa usa MFA. Una aseguradora puede querer saber dónde y cómo se aplica MFA, si cubre cuentas de administrador y qué aplicaciones críticas, si las hay, quedan fuera. Una respuesta más sólida es específica, documentada y respaldada por evidencia.
Los controles que la mayoría de las aseguradoras espera
Los requisitos del seguro cibernético varían según el proveedor, el tipo de póliza, el tamaño de la empresa y el perfil de riesgo. Aun así, la mayoría de las evaluaciones ahora buscan las mismas señales básicas: si su empresa puede prevenir ataques comunes, limitar el daño si se compromete una cuenta, recuperarse de una interrupción y demostrar que los controles realmente están implementados. Esto suele incluir cómo gestiona su empresa las contraseñas. Una política de contraseñas sólida y un gestor de contraseñas empresarial seguro se encuentran entre las mejores prácticas de gestión de contraseñas más eficaces que puede implementar.
MFA
Este es uno de los primeros controles que buscan las aseguradoras, porque muchos siniestros se derivan del uso indebido de credenciales. Es posible que le pregunten si 2FA está activado para el correo electrónico, las VPN, el acceso remoto, las plataformas en la nube, los gestores de contraseñas y otras aplicaciones críticas.
La evaluación también puede ir más allá y preguntar si MFA es obligatorio para todos los usuarios, solo para ciertos sistemas o solo para cuentas de administrador, y cómo funciona realmente esa aplicación.
Hay una diferencia entre que MFA esté disponible y que sea obligatorio: el suscriptor querrá saber si se aplica, si se configura en el proveedor de identidad o aplicación por aplicación, y qué sucede cuando alguien falla o evade la solicitud.
Una respuesta más sólida muestra dónde se requiere MFA, qué aplicaciones están cubiertas, cómo se aplica y cómo se aprueban y revisan las excepciones.
Protección de cuentas de administrador y privilegiadas
Las aseguradoras también quieren entender cómo protege su empresa las cuentas con acceso elevado. Las cuentas de administrador pueden cambiar ajustes, crear usuarios, acceder a datos sensibles, desactivar controles de seguridad o moverse entre sistemas, lo que las hace especialmente valiosas para los atacantes.
Es posible que se pregunte a las empresas si el acceso de administrador está limitado a personas específicas, se revisa con regularidad, está protegido con MFA y está separado de las cuentas de usuario habituales. La evidencia puede incluir políticas de acceso, listas de usuarios, permisos basados en roles y registros que muestren actividad privilegiada.
Copias de seguridad y preparación para la recuperación
Las copias de seguridad importan porque las aseguradoras miran más allá de la prevención. También quieren saber con qué rapidez puede recuperarse su empresa. Si un ataque de ransomware, una eliminación accidental o una falla del sistema afectan a su empresa, la aseguradora quiere saber si puede recuperarse sin pagar un rescate ni perder datos críticos.
Esto suele implicar tener copias de seguridad periódicas, protegidas contra el acceso no autorizado y probadas. No basta con decir que existen copias de seguridad. Debe estar preparado para mostrar qué se respalda, con qué frecuencia se ejecutan las copias, dónde se almacenan, quién puede acceder a ellas y cuándo se probó la restauración por última vez.
Seguridad de punto final y correo electrónico
Muchos ataques comienzan en la bandeja de entrada o en el dispositivo de un empleado, por lo que las aseguradoras suelen preguntar sobre la protección de puntos finales y correo electrónico. Esto puede incluir antimalware, detección de puntos finales, filtrado de spam, protección contra suplantación y controles que bloquean archivos adjuntos, enlaces o intentos de inicio de sesión sospechosos.
En el caso específico del correo electrónico, las aseguradoras también pueden preguntar si su dominio usa autenticación de correo electrónico (SPF, DKIM y DMARC) para evitar que los atacantes suplanten la dirección de su empresa.
Para las empresas más pequeñas, esto puede gestionarlo un proveedor de TI o las funciones integradas de las herramientas que ya usan. Lo importante es poder explicar qué protección está activa, qué dispositivos y cuentas están cubiertos y cómo se gestionan las alertas o los incidentes.
Gestión de parches
El software desactualizado les da a los atacantes una ruta más fácil hacia los sistemas empresariales. Por eso, las aseguradoras pueden preguntar con qué rapidez aplica su empresa actualizaciones de seguridad a sistemas operativos, navegadores, aplicaciones, servidores y otro software crítico.
También pueden preguntar si las actualizaciones son automáticas, se revisan manualmente o las gestiona un proveedor externo de TI. Una respuesta más sólida explica quién es responsable de la gestión de parches, cómo se hace seguimiento a las actualizaciones y cómo maneja la empresa las vulnerabilidades urgentes.
Capacitación en seguridad para empleados
Las aseguradoras saben que los empleados suelen ser el objetivo de suplantación, ingeniería social, facturas falsas, enlaces maliciosos y robo de credenciales.
La capacitación recurrente en concientización sobre seguridad ayuda a reducir esa exposición, y la capacitación en concientización sobre suplantación en particular aborda el tipo de ataque detrás de la mayoría de los siniestros relacionados con credenciales. Aun así, la evaluación puede pedir más que una declaración general de que los empleados están capacitados.
Es posible que las empresas deban mostrar con qué frecuencia se realiza la capacitación, qué cubre, si los nuevos empleados reciben inducción y si el personal sabe cómo reportar actividad sospechosa. La capacitación práctica y recurrente es más útil que una sesión única que nadie repasa.
Planificación de la respuesta a incidentes
Un plan de respuesta a incidentes por escrito muestra que su empresa sabe qué hacer cuando algo sale mal. Las aseguradoras pueden preguntar si su empresa tiene un proceso documentado para identificar, reportar, contener y escalar incidentes de seguridad.
El plan debe dejar claro quién es responsable, a quién se debe contactar, cómo se preserva la evidencia y cómo se comunica la empresa con empleados, proveedores, clientes, asesores legales o reguladores cuando sea necesario. Incluso un plan sencillo es mejor que depender de la improvisación durante una crisis.
Controles de acceso de terceros
Los proveedores, contratistas, agencias, proveedores de TI y socios de software pueden introducir riesgos cuando tienen acceso a sistemas o datos de la empresa. Las aseguradoras pueden preguntar si el acceso de terceros está limitado, se revisa y se elimina cuando ya no es necesario.
También pueden buscar MFA en cuentas de proveedores, credenciales separadas para usuarios externos y un proceso claro para aprobar el acceso. La empresa debe poder mostrar quién tiene acceso, a qué puede acceder, por qué lo necesita y cuándo se revisó ese acceso por última vez.
Lista de verificación práctica para el seguro cibernético
Antes de iniciar una solicitud o renovación de seguro cibernético, su empresa debe reunir pruebas de que sus controles de seguridad no solo están planificados, sino que ya funcionan. Los suscriptores no esperan que todas las empresas pequeñas tengan documentación de nivel empresarial. Pero sí esperan respuestas claras, prácticas consistentes y evidencia de que la empresa puede explicar cómo se gestionan el acceso, la recuperación, la capacitación y la respuesta a incidentes.
Una lista de verificación no garantiza la cobertura ni reduce las primas, pero puede hacer que su evaluación sea más eficaz, reducir las idas y venidas y ayudar a la empresa a ingresar al proceso de suscripción con respuestas más sólidas.
Lista de verificación de preparación para el seguro cibernético
MFA
Evidencia que debe preparar: lista de sistemas donde se aplica MFA, incluidos correo electrónico, aplicaciones en la nube, acceso remoto, cuentas de administrador y cualquier excepción documentada.
Gestión de contraseñas
Evidencia que debe preparar: política de gestor de contraseñas, registros de adopción por parte de usuarios, estructura de bóvedas compartidas, ajustes de administrador e informes que muestren contraseñas débiles, reutilizadas o expuestas.
Copias de seguridad
Evidencia que debe preparar: calendario de copias de seguridad, ubicación de almacenamiento, controles de acceso, política de conservación y la fecha de la prueba de restauración más reciente.
Plan de respuesta ante incidentes
Evidencia que debe preparar: Plan de respuesta por escrito, contactos de escalamiento, roles internos, pasos de reporte y cualquier ejercicio de simulación o revisión del plan que se haya realizado recientemente.
Registros de capacitación
Evidencia que debe preparar: Fechas de capacitación en seguridad, registros de asistencia, materiales de incorporación, contenido de concientización sobre suplantación e instrucciones de reporte para empleados.
Gestión de parches
Evidencia que debe preparar: Política de parches, registros de actualización, lista de sistemas cubiertos, detalles de propiedad y registros de remediación urgente de vulnerabilidades.
Revisión de accesos privilegiados
Evidencia que debe preparar: Lista de usuarios administradores, permisos basados en roles, registros de revisión de accesos, estado de MFA para cuentas privilegiadas y documentación de desvinculación.
Por qué a las empresas les cuesta calificar
Las empresas suelen tener dificultades con el seguro cibernético porque la solicitud expone brechas que las operaciones diarias pueden ocultar. Una empresa puede tener MFA en algunos sistemas, copias de seguridad implementadas, un proveedor de TI disponible y empleados que conocen lo básico de la suplantación. Pero las aseguradoras buscan consistencia en toda la empresa: dónde se aplican los controles, quién es responsable de ellos, con qué frecuencia se revisan y qué evidencia respalda cada respuesta.
Esto es especialmente difícil para las empresas más pequeñas que han creado su seguridad de forma gradual, sin documentación formal. El acceso puede concederse a través de distintos sistemas, las credenciales compartidas aún pueden estar en hojas de cálculo en lugar de en un gestor de contraseñas para equipos seguro, las copias de seguridad pueden no haberse probado recientemente y la capacitación en seguridad puede ocurrir de manera informal.
Ninguno de estos problemas significa automáticamente que una empresa no sea asegurable, pero pueden generar demoras, exclusiones, primas más altas o preguntas de seguimiento durante la suscripción.
Las solicitudes más sólidas no suelen ser las que tienen los programas de seguridad más complejos. Son las que pueden mostrar con claridad cómo funcionan los controles principales, dónde están las brechas restantes y qué está haciendo la empresa para cerrarlas.
Cómo afecta el riesgo de las pymes a las conversaciones sobre seguros
A las aseguradoras les importan los controles porque las pequeñas y medianas empresas no son invisibles para los atacantes. El Informe de ciberseguridad para pymes de Proton encontró que una de cada cuatro pymes sufrió una vulneración el año pasado a pesar de contar con medidas de ciberseguridad implementadas. El informe también señala el error humano, las políticas de seguridad inconsistentes y la falta de control de datos como causas clave.
Muchas empresas abordan sus solicitudes de seguro cibernético con medidas de seguridad ya implementadas, pero la evaluación a menudo muestra si esas medidas son consistentes, actuales y fáciles de demostrar. MFA puede proteger algunas cuentas pero no otras. Las copias de seguridad pueden ejecutarse según lo previsto, pero no tener una prueba de restauración reciente que las respalde. El acceso de administrador puede haberse ampliado a medida que la empresa creció, sin un registro claro de quién todavía lo necesita.
Para un COO (director de operaciones) o dueño de una empresa, ese escrutinio puede ser útil incluso antes de que se emita la póliza. Convierte las suposiciones cotidianas en evidencia específica: listas de acceso, registros de copias de seguridad, cobertura de MFA, prácticas de contraseñas, políticas documentadas y brechas conocidas. En lugar de confiar en lo que las personas creen que sucede, la empresa obtiene una imagen más clara de cómo funcionan realmente sus controles.
Visto así, la evaluación no es solo un obstáculo para obtener cobertura. Puede ayudar a la empresa a identificar las debilidades que más importarían durante una vulneración y corregirlas antes de que sean más difíciles, costosas o disruptivas de abordar.
Cómo Proton Pass ayuda a prepararse para el seguro cibernético
Las evaluaciones de seguro cibernético consideran la empresa en su conjunto, incluidas las copias de seguridad, la aplicación de parches, la respuesta a incidentes, la capacitación de empleados, la seguridad de la red y el riesgo de proveedores. Un gestor de contraseñas no puede satisfacer todos los requisitos por sí solo, pero puede fortalecer una de las áreas que las aseguradoras examinan de cerca: cómo maneja su empresa la gestión de credenciales y el acceso.
Un gestor de contraseñas para empresas como Proton Pass for Business ayuda a los equipos a reemplazar los hábitos inseguros de contraseñas por un sistema más controlado. Los empleados pueden crear y almacenar contraseñas únicas en bóvedas de contraseñas cifradas de extremo a extremo, usar el completado automático para reducir la reutilización, gestionar claves de acceso y compartir credenciales de forma segura sin depender del correo electrónico, hojas de cálculo, hilos de chat o contraseñas guardadas en el navegador.
La autenticación de dos factores integrada también ayuda a los equipos a mantener las contraseñas y los códigos de verificación en un único flujo de trabajo seguro, en lugar de dispersar el acceso entre diferentes aplicaciones y dispositivos personales, lo que añade fricción e impulsa a las personas a buscar atajos.
Como gestor de contraseñas para equipos de TI, Proton Pass agrega la visibilidad y el control necesarios para que esas prácticas sean más fáciles de aplicar. Los equipos pueden configurar requisitos de contraseñas, aplicar políticas de 2FA, gestionar el acceso a las bóvedas, asignar permisos basados en roles, aprovisionar usuarios con SCIM, admitir inicio de sesión único (SSO) y usar registros para revisiones de cumplimiento o respuesta a incidentes. Estas funciones pueden respaldar preguntas comunes de suscripción sobre MFA, gestión de contraseñas, credenciales compartidas, acceso privilegiado, incorporación, desvinculación y revisiones de acceso.
La solicitud de seguro cibernético más amplia seguirá necesitando documentación en el resto del programa de seguridad. Pero para la parte de credenciales de la evaluación, Proton Pass puede ayudar a su empresa a dar una respuesta más clara: quién tiene acceso, cómo se protegen las credenciales, cómo se controla el uso compartido y qué evidencia está disponible cuando un suscriptor la solicita.
Cumpla con todos los requisitos del seguro cibernético con un gestor de contraseñas para empresas.
