Las solicitudes de ciberseguro antes se parecían más a papeleo. Hoy se parecen mucho más a una revisión de seguridad. Es posible que a un propietario de empresa o a un director de operaciones (COO) que renueve una póliza se le pregunte por la autenticación multifactor (MFA), las copias de seguridad, los controles de acceso, la formación del personal, la aplicación de parches, la respuesta a incidentes y la gestión de contraseñas antes de que la aseguradora siquiera confirme las condiciones.
Los suscriptores quieren saber qué controles están implantados, dónde se aplican, con qué constancia se aplican y si la empresa puede demostrarlo. Esto se debe a que el seguro cibernético no puede sustituir a la ciberseguridad. Se suma a los controles de seguridad, la planificación de incidentes, los procesos de recuperación y la gestión de riesgos como parte de la administración del riesgo cibernético.
Para las empresas que se preparan para solicitar o renovar un seguro, esto es lo que debes saber sobre lo que las aseguradoras esperan ver antes de sentirse cómodas asumiendo el riesgo.
Lo que realmente revisan los suscriptores de seguros cibernéticos
Los controles que más esperan las aseguradoras
Una lista de verificación práctica para el seguro cibernético
Por qué a las empresas les cuesta cumplir los requisitos
Cómo afecta el riesgo de las pymes a las conversaciones con las aseguradoras
Cómo ayuda Proton Pass a prepararse para el seguro cibernético
Lo que realmente revisan los suscriptores de seguros cibernéticos
Una evaluación para un seguro cibernético está diseñada para entender la probabilidad de que una empresa sufra un incidente cibernético, la gravedad que podría alcanzar y lo preparada que está para recuperarse.
El suscriptor no solo se fija en lo que hace una empresa o en cuántos ingresos genera. También quiere entender cómo gestiona el acceso, las credenciales, los datos, los sistemas, los proveedores y la continuidad. Una empresa con controles administrativos débiles, sin aplicación de MFA y con copias de seguridad no probadas presenta un perfil de riesgo distinto al de otra que puede mostrar políticas claras, controles aplicados y evidencias de recuperación.
Por eso los requisitos del seguro cibernético suelen centrarse en la seguridad operativa. Las aseguradoras quieren saber si los atacantes pueden entrar con facilidad, si la empresa puede contener el daño y si los sistemas esenciales pueden restaurarse sin pagar un rescate o permanecer sin conexión durante días.
La suscripción de un seguro cibernético puede implicar un cuestionario detallado, preguntas de seguimiento, solicitudes de pruebas, escaneos o llamadas con proveedores de TI. Para las empresas más pequeñas, este proceso puede resultar difícil, sobre todo cuando la seguridad no cuenta con procesos formales.
Por ejemplo, no basta con decir que la empresa usa MFA. Es posible que una aseguradora quiera saber dónde y cómo se aplica la MFA, si cubre las cuentas de administrador y qué aplicaciones críticas, en su caso, quedan fuera. Una respuesta más sólida es concreta, está documentada y se respalda con pruebas.
Los controles que más esperan las aseguradoras
Los requisitos del seguro cibernético varían según el proveedor, el tipo de póliza, el tamaño de la empresa y el perfil de riesgo. Aun así, la mayoría de las evaluaciones ahora buscan las mismas señales básicas: si la empresa puede prevenir ataques comunes, limitar el daño si se compromete una cuenta, recuperarse de una interrupción y demostrar que los controles están realmente implantados. Esto suele incluir cómo gestiona la empresa las contraseñas. Una política de contraseñas sólida y un gestor de contraseñas empresarial seguro se encuentran entre las mejores prácticas de gestión de contraseñas más eficaces que puedes aplicar.
MFA
Este es uno de los primeros controles que buscan las aseguradoras porque muchas reclamaciones se derivan del uso indebido de credenciales. Es posible que te pregunten si la 2FA está activada para el correo electrónico, las VPN, el acceso remoto, las plataformas en la nube, los gestores de contraseñas y otras aplicaciones críticas.
La evaluación también puede ir más allá y preguntar si la MFA se aplica a todos los usuarios, solo a determinados sistemas o solo a las cuentas de administrador, y cómo funciona realmente esa aplicación.
Hay una diferencia entre que la MFA esté disponible y que sea obligatoria: el suscriptor querrá saber si se aplica, si se configura en el proveedor de identidad o aplicación por aplicación, y qué ocurre cuando alguien falla o evita la solicitud.
Una respuesta más sólida muestra dónde se exige la MFA, qué aplicaciones están cubiertas, cómo se aplica y cómo se aprueban y revisan las excepciones.
Protección de cuentas de administrador y con privilegios
Las aseguradoras también quieren entender cómo protege la empresa las cuentas con acceso elevado. Las cuentas de administrador pueden cambiar ajustes, crear usuarios, acceder a datos confidenciales, desactivar controles de seguridad o moverse entre sistemas, lo que las hace especialmente valiosas para los atacantes.
Es posible que se pregunte a las empresas si el acceso de administrador está limitado a personas concretas, se revisa con regularidad, está protegido con MFA y está separado de las cuentas de usuario habituales. Las pruebas pueden incluir políticas de acceso, listas de usuarios, permisos basados en roles y registros que muestren actividad con privilegios.
Copias de seguridad y preparación para la recuperación
Las copias de seguridad importan porque las aseguradoras miran más allá de la prevención. También quieren saber con qué rapidez puede recuperarse la empresa. Si un ataque de ransomware, un borrado accidental o un fallo del sistema afecta a la empresa, la aseguradora quiere saber si puede recuperarse sin pagar un rescate ni perder datos críticos.
Esto suele implicar disponer de copias de seguridad periódicas, protegidas frente a accesos no autorizados y probadas. No basta con decir que existen copias de seguridad. La empresa debe estar preparada para mostrar qué se copia, con qué frecuencia se ejecutan las copias, dónde se almacenan, quién puede acceder a ellas y cuándo se probó la restauración por última vez.
Seguridad de puntos de conexión y correo electrónico
Muchos ataques comienzan a través de la bandeja de entrada o el dispositivo de un empleado, por lo que las aseguradoras suelen preguntar por la protección de puntos de conexión y correo electrónico. Esto puede incluir antimalware, detección de puntos de conexión, filtrado de spam, protección contra el phishing y controles que bloquean archivos adjuntos, enlaces o intentos de inicio de sesión sospechosos.
En concreto, para el correo electrónico, las aseguradoras también pueden preguntar si el dominio usa autenticación de correo electrónico (SPF, DKIM y DMARC) para impedir que los atacantes suplanten la dirección de la empresa.
En el caso de las empresas más pequeñas, puede encargarse un proveedor de TI o resolverse mediante funciones integradas en las herramientas que ya utilizan. Lo importante es poder explicar qué protección está activa, qué dispositivos y cuentas están cubiertos y cómo se gestionan las alertas o los incidentes.
Gestión de parches
El software obsoleto ofrece a los atacantes una vía más fácil para entrar en los sistemas empresariales. Por este motivo, las aseguradoras pueden preguntar con qué rapidez aplica la empresa las actualizaciones de seguridad a sistemas operativos, navegadores, aplicaciones, servidores y otro software crítico.
También pueden preguntar si las actualizaciones son automáticas, se revisan manualmente o las gestiona un proveedor de TI externo. Una respuesta más sólida explica quién se encarga de la gestión de parches, cómo se hace seguimiento de las actualizaciones y cómo gestiona la empresa las vulnerabilidades urgentes.
Formación en seguridad para empleados
Las aseguradoras saben que a menudo se ataca a los empleados mediante phishing, ingeniería social, facturas falsas, enlaces maliciosos y robo de credenciales.
La formación en concienciación sobre seguridad recurrente ayuda a reducir esa exposición, y la formación en concienciación sobre phishing aborda en particular el tipo de ataque que está detrás de la mayoría de las reclamaciones relacionadas con credenciales. Aun así, la evaluación puede exigir más que una afirmación general de que los empleados están formados.
Es posible que las empresas deban mostrar con qué frecuencia se imparte la formación, qué abarca, si los nuevos empleados reciben formación de incorporación y si el personal sabe cómo denunciar actividades sospechosas. Una formación práctica y recurrente es más útil que una sesión única que nadie vuelve a consultar.
Planificación de respuesta a incidentes
Un plan de respuesta a incidentes por escrito demuestra que la empresa sabe qué hacer cuando algo va mal. Las aseguradoras pueden preguntar si la empresa cuenta con un proceso documentado para identificar, notificar, contener y escalar incidentes de seguridad.
El plan debe dejar claro quién es responsable, a quién hay que contactar, cómo se conservan las pruebas y cómo se comunica la empresa con empleados, proveedores, clientes, asesores legales o reguladores cuando es necesario. Incluso un plan sencillo es mejor que depender de la improvisación durante una crisis.
Controles de acceso de terceros
Proveedores, contratistas, agencias, proveedores de TI y socios de software pueden introducir riesgos cuando tienen acceso a sistemas o datos empresariales. Las aseguradoras pueden preguntar si el acceso de terceros está limitado, se revisa y se elimina cuando ya no es necesario.
También pueden buscar MFA en las cuentas de proveedores, credenciales separadas para usuarios externos y un proceso claro para aprobar el acceso. La empresa debería poder mostrar quién tiene acceso, a qué puede acceder, por qué lo necesita y cuándo se revisó ese acceso por última vez.
Una lista de verificación práctica para el seguro cibernético
Antes de iniciar una solicitud o renovación de seguro cibernético, la empresa debería reunir pruebas de que sus controles de seguridad no solo están planificados, sino que ya funcionan. Los suscriptores no esperan que todas las empresas más pequeñas dispongan de documentación de nivel empresarial. Pero sí esperan respuestas claras, prácticas coherentes y pruebas de que la empresa puede explicar cómo se gestionan el acceso, la recuperación, la formación y la respuesta a incidentes.
Una lista de verificación no garantizará la cobertura ni reducirá las primas, pero puede hacer que la evaluación sea más eficaz, reducir las idas y venidas y ayudar a la empresa a entrar en el proceso de suscripción con respuestas más sólidas.
Lista de verificación de preparación para el seguro cibernético
MFA
Pruebas que preparar: Lista de sistemas donde se aplica la MFA, incluidos el correo electrónico, las aplicaciones en la nube, el acceso remoto, las cuentas de administrador y cualquier excepción documentada.
Gestión de contraseñas
Pruebas que preparar: Política del gestor de contraseñas, registros de adopción por parte de los usuarios, estructura de cajas fuertes compartidas, ajustes de administrador e informes que muestren contraseñas débiles, reutilizadas o expuestas.
Copias de seguridad
Pruebas que preparar: Programación de copias de seguridad, ubicación de almacenamiento, controles de acceso, política de conservación y fecha de la prueba de restauración más reciente.
Plan de respuesta ante incidentes
Pruebas que preparar: Plan de respuesta por escrito, contactos de escalado, roles internos, pasos de notificación y cualquier ejercicio de simulación o revisión del plan reciente.
Registros de formación
Pruebas que preparar: Fechas de formación en seguridad, registros de asistencia, materiales de incorporación, contenido de concienciación sobre suplantación e instrucciones de notificación para empleados.
Gestión de parches
Pruebas que preparar: Política de parches, registros de actualizaciones, lista de sistemas cubiertos, detalles de titularidad y registros de remediación urgente de vulnerabilidades.
Revisión de accesos privilegiados
Pruebas que preparar: Lista de usuarios administradores, permisos basados en roles, registros de revisión de accesos, estado de MFA de las cuentas privilegiadas y documentación de desvinculación.
Por qué a las empresas les cuesta calificar
A las empresas a menudo les cuesta obtener un seguro cibernético porque la solicitud expone brechas que las operaciones diarias pueden ocultar. Una empresa puede tener MFA en algunos sistemas, copias de seguridad implementadas, un proveedor de TI de guardia y empleados que conocen lo básico sobre suplantación. Pero las aseguradoras buscan coherencia en toda la empresa: dónde se aplican los controles, quién es responsable de ellos, con qué frecuencia se revisan y qué pruebas respaldan cada respuesta.
Esto es especialmente difícil para las empresas más pequeñas que han construido su seguridad gradualmente, sin documentación formal. El acceso puede concederse a través de diferentes sistemas, las credenciales compartidas pueden seguir en hojas de cálculo en lugar de en un gestor de contraseñas de equipo seguro, es posible que las copias de seguridad no se hayan probado recientemente y que la formación en seguridad se realice de manera informal.
Ninguno de estos problemas significa automáticamente que una empresa no pueda asegurarse, pero pueden generar retrasos, exclusiones, primas más altas o preguntas de seguimiento durante la suscripción.
Las solicitudes más sólidas no suelen ser las que tienen los programas de seguridad más complejos. Son las que pueden mostrar claramente cómo funcionan los controles básicos, dónde están las brechas restantes y qué está haciendo la empresa para cerrarlas.
Cómo afecta el riesgo de las pymes a las conversaciones sobre seguros
A las aseguradoras les importan los controles porque las pequeñas y medianas empresas no son invisibles para los atacantes. El Informe de ciberseguridad para pymes de Proton encontró que una de cada cuatro pymes sufrió una vulneración el año pasado a pesar de tener medidas de ciberseguridad implementadas. El informe también señala el error humano, las políticas de seguridad inconsistentes y la falta de control de datos como causas clave.
Muchas empresas abordan sus solicitudes de seguro cibernético con medidas de seguridad ya implementadas, pero la evaluación a menudo muestra si esas medidas son coherentes, actuales y fáciles de demostrar. Es posible que MFA proteja algunas cuentas pero no otras. Puede que las copias de seguridad se ejecuten según lo previsto, pero no tengan una prueba de restauración reciente. El acceso de administrador puede haberse ampliado a medida que la empresa crecía, sin un registro claro de quién sigue necesitándolo.
Para un director de operaciones o propietario de una empresa, ese escrutinio puede ser útil incluso antes de que se emita la póliza. Convierte las suposiciones cotidianas en pruebas concretas: listas de acceso, registros de copias de seguridad, cobertura de MFA, prácticas de contraseñas, políticas documentadas y brechas conocidas. En lugar de depender de lo que la gente cree que ocurre, la empresa obtiene una imagen más clara de cómo funcionan realmente sus controles.
Visto así, la evaluación no es solo un obstáculo para obtener cobertura. Puede ayudar a la empresa a identificar las debilidades que más importarían durante una vulneración y corregirlas antes de que sean más difíciles, costosas o disruptivas de abordar.
Cómo ayuda Proton Pass a prepararse para el seguro cibernético
Las evaluaciones de seguro cibernético analizan la empresa en su conjunto, incluidas las copias de seguridad, la aplicación de parches, la respuesta a incidentes, la formación de empleados, la seguridad de red y el riesgo de proveedores. Un gestor de contraseñas no puede satisfacer todos los requisitos por sí solo, pero puede reforzar una de las áreas que las aseguradoras examinan de cerca: cómo gestiona su empresa la gestión de credenciales y el acceso.
Un gestor de contraseñas para empresas como Proton Pass for Business ayuda a los equipos a reemplazar los hábitos de contraseñas inseguros por un sistema más controlado. Los empleados pueden crear y almacenar contraseñas únicas en cajas fuertes de contraseñas cifradas de extremo a extremo, usar el relleno automático para reducir la reutilización, administrar llaves de acceso y compartir credenciales de forma segura sin depender del correo electrónico, hojas de cálculo, hilos de chat o contraseñas guardadas en el navegador.
La autenticación de dos factores integrada también ayuda a los equipos a mantener las contraseñas y los códigos de verificación en un flujo de trabajo seguro, en lugar de dispersar el acceso entre diferentes aplicaciones y dispositivos personales, lo que añade fricción y empuja a las personas hacia atajos.
Como gestor de contraseñas para equipos de TI, Proton Pass añade la visibilidad y el control necesarios para que esas prácticas sean más fáciles de aplicar. Los equipos pueden configurar requisitos de contraseñas, aplicar políticas de 2FA, administrar el acceso a las cajas fuertes, asignar permisos basados en roles, aprovisionar usuarios con SCIM, admitir el inicio de sesión único (SSO) y usar registros para revisiones de cumplimiento o respuesta a incidentes. Estas funciones pueden respaldar preguntas comunes de suscripción sobre MFA, gestión de contraseñas, credenciales compartidas, acceso privilegiado, incorporación, desvinculación y revisiones de acceso.
La solicitud más amplia del seguro cibernético seguirá necesitando documentación en el resto del programa de seguridad. Pero para la parte de credenciales de la evaluación, Proton Pass puede ayudar a su empresa a dar una respuesta más clara: quién tiene acceso, cómo se protegen las credenciales, cómo se controla el uso compartido y qué pruebas están disponibles cuando lo pregunta un suscriptor.
Marca todas las casillas del seguro cibernético con un gestor de contraseñas para empresas.
