Por qué los CISO necesitan convertir a las aseguradoras cibernéticas en sus socios

Por qué los CISO necesitan convertir a las aseguradoras cibernéticas en sus socios

Marca de tiempo: 27 de diciembre de 2023 10:00 a.m.
Por qué los CISO necesitan convertir a las aseguradoras cibernéticas en sus socios PlatoBlockchain Data Intelligence. Búsqueda vertical. Ai.

En el panorama de amenazas actual, la relación entre ciberseguro proveedores y asegurados potenciales (o incluso actuales) suele ser, en el mejor de los casos, tensa. Las organizaciones pueden percibir el proceso largo y complicado, junto con el aumento de las primas, como si las compañías de seguros se estuvieran aprovechando de ellos. Sin embargo, las compañías de seguros están luchando por equilibrar los crecientes índices de siniestralidad que eran particularmente rampantes hace un par de años. 

Si bien esta desconexión es problemática, no sorprende que todavía estemos tratando de resolver las cosas. Ciberseguro es incipiente en comparación con otros segmentos de seguros. La primera póliza cibernética fue redactada por AIG en 1997. En cambio, los seguros de vida y de propiedad tienen más de 250 años, y los seguros de automóviles, más de 125 años. Es natural que haya algunos problemas de crecimiento en un proceso que es relativamente nuevo y evoluciona a un ritmo incomprensible en comparación con áreas como los seguros de vida o de propiedad. La buena noticia es que no estamos muy lejos de encontrar una posición cómoda tanto para los proveedores como para los asegurados. La clave es recordar que todos estamos juntos en esto. De hecho, uno de los mayores errores que pueden cometer los jefes de seguridad de la información (CISO) es no tratar a sus proveedores de seguros como socios. 

Cómo Llegamos Aquí 

Es útil tener una breve idea de cómo se desarrolló la industria para poder apreciar los desafíos actuales. Al principio, las primas de los seguros cibernéticos se basaban casi exclusivamente en el instinto, pero eso obviamente era insostenible a largo plazo. Así, se desarrolló un sistema impulsado por visiones macroeconómicas, en el que las expectativas de siniestralidad se basaban en las pérdidas generales del mercado aplicadas a un grupo de asegurados.

Sin embargo, el problema con este enfoque es que los siniestros rápidamente comenzaron a exceder las proyecciones y las aseguradoras observaron que el riesgo de pérdida se concentraba entre un subconjunto de asegurados. Además, las aseguradoras comenzaron a preocuparse por el riesgo sistemático o de correlación, donde una pérdida en una póliza aumentaba la probabilidad de reclamaciones contra otras pólizas. Las cosas se estaban yendo rápidamente de control para las aseguradoras. 

El siguiente desarrollo que nos lleva a nuestra situación actual es el proceso de suscripción en sí. Para mitigar las pérdidas generadas por las pólizas basadas en perspectivas macroeconómicas, las aplicaciones de seguros se han vuelto significativamente más complejas y requieren conversaciones, entrevistas y visitas al sitio detalladas, con el objetivo de crear una póliza personalizada. A menudo se requiere que las organizaciones cumplan con condiciones de umbral específicas, como utilizar autenticación multifactor y capacidades de respuesta y detección de endpoints, y deben pasar un escaneo "de afuera hacia adentro" de su entorno, que realiza un tercero neutral.

El problema es que los sectores de TI están en un estado de cambio constante durante todo el período de la política, lo que hace que obtener información verdaderamente precisa y matizada a través de un cuestionario sea casi imposible, incluso para las organizaciones que intentan proporcionar la información más precisa y detallada. Esto ha creado un entorno en el que existe una volatilidad sustancial en los precios y en los términos de las pólizas, lo que ha generado gran parte de la tensión entre aseguradoras y asegurados. 

A donde tenemos que ir 

Para convertirse verdaderamente en socios, las organizaciones y las aseguradoras primero deben ponerse de acuerdo sobre un objetivo común: la reducción del riesgo. Esta debería ser la parte fácil. El proceso de suscripción actual está tratando de establecer el riesgo, pero no ha podido determinarlo de manera confiable para organizaciones individuales. Del lado de los asegurados, los CISO enmarcan periódicamente las conversaciones presupuestarias con la junta directiva en términos de riesgo, por lo que existe una terminología acordada.

La pieza que falta es establecer una forma de medir el riesgo con la que ambas partes estén satisfechas para poder fijar el precio de las políticas en base a ello. La única forma que veo de lograr esto es compartiendo métricas recopiladas electrónicamente desde el interior del firewall de una organización solicitante que examina la postura cibernética. A diferencia de los cuestionarios completados manualmente, estos datos pueden proporcionar una instantánea confiable del entorno. Es la diferencia entre tener un testigo ocular de un evento y una grabación de alta resolución del mismo; realmente no hay comparación entre los dos.

La razón por la que este tema de asociación sigue surgiendo es que es un gran pedido para cualquier CISO compartir este tipo de información privada, especialmente si le preocupa que la información que proporciona se utilice en su contra para aumentar las primas. Al trabajar en estrecha colaboración con una gran cantidad de aseguradoras, esa no es la motivación de ninguna de las aseguradoras cibernéticas que conozco. Ellos, al igual que los profesionales de la ciberseguridad de toda la industria, simplemente están tratando de orientarse en un entorno en constante cambio, y esta transparencia radical beneficiará a los asegurados.

Una vez que las aseguradoras tengan esa instantánea, podrán examinarla y responder con detalles sobre los hallazgos clave y consejos de remediación priorizados, lo que permitirá al solicitante realizar esos ajustes y volver a presentar la póliza para obtener un mejor precio.

Al final del día, los proveedores de seguros y los CISO están todos en el mismo equipo, por lo que uno de mis mayores consejos para los CISO: Trate a su compañía de seguros cibernéticos como socio. Desarrollar una relación sólida y entablar un diálogo regular mejorará el proceso de renovación y reclamos. Recuerde, nadie tiene más datos sobre riesgos y pérdidas en ciberseguridad que una compañía de seguros cibernéticos.

Sello de tiempo:

Mas de Lectura oscura