El regulador del Banco de Inglaterra, la Autoridad de Regulación Prudencial (PRA), ha destacado una serie de lagunas y limitaciones preocupantes en la forma en que las principales aseguradoras modelan y responden al riesgo cibernético, después de realizar una prueba de estrés del sector.
En el ejercicio de prueba de estrés, 17 aseguradoras generales y 21 sindicatos de Lloyd’s of London evaluaron su posición de solvencia frente a pérdidas derivadas de incidentes cibernéticos. Los participantes proporcionaron una evaluación de su capacidad para prevenir, reaccionar y responder a los ataques cibernéticos.
“Observamos que la cibernética es un peligro en evolución y, en consecuencia, la cobertura cibernética seguirá desarrollándose”, escribió Charlotte Garden, directora ejecutiva de supervisión de seguros de la PRA. “Este ejercicio nos ha brindado una amplia gama de prácticas actuales en todo el mercado, que informarán la supervisión futura”.
Descubrió que las aseguradoras luchaban por determinar la probabilidad de incidentes cibernéticos, definidos para los fines de la prueba como ataques de ransomware, fugas de datos e interrupciones de la computación en la nube, y tendían a redactar sus pólizas cibernéticas de manera demasiado ambigua.
Advirtió que las prácticas actuales podrían conducir a una “estimación errónea de los impactos del escenario para las aseguradoras individuales”.
Entre otras cosas, el ejercicio encontró evidencia de una variación sustancial en la forma en que las aseguradoras evalúan el riesgo, lo que no es necesariamente fuera de lo común en un mercado relativamente joven, pero debe abordarse en el futuro.
También destacó las disparidades en la capacidad de las aseguradoras individuales y los sindicatos para identificar las implicaciones de la incertidumbre del contrato, con varias partes incapaces de evaluar adecuadamente el impacto potencial en caso de que las exclusiones clave, como los ataques a los estados nacionales, no se mantengan. Advirtió sobre el lenguaje de políticas no probado y la incertidumbre contractual, y dijo que las juntas debían ser más conscientes de este problema.
La PRA señaló además que el porcentaje de reclamos potenciales identificados como derivados de cobertura no afirmativa o silenciosa, donde las pólizas se activan después de un incidente pero donde los riesgos cibernéticos no se han incluido explícitamente en ellos, o el lenguaje de exclusión es ambiguo en el punto, fue reduciendo, lo cual está en línea con la guía que emitió anteriormente.
Finalmente, también señaló que, en general, las compañías de seguros aún dependen sustancialmente del reaseguro para mitigar el impacto de los incidentes cibernéticos en sus libros.
Garden dijo que en el futuro, la PRA estaría disponible para ayudar a las empresas de seguros a mejorar sus prácticas para gestionar y mitigar los daños potenciales derivados de los incidentes cibernéticos.
Achi Lewis, vicepresidente de área para EMEA de Absolute Software, dijo: “Especialmente durante los períodos de incertidumbre económica, es vital que las organizaciones sean conscientes de su resiliencia cibernética, la probabilidad de amenazas y cómo prevenir y responder a los ataques.
“La cautela de la PRA es importante para preparar a las empresas en caso de que se produzca el peor de los casos, en el que los ataques cibernéticos importantes sean la causa de un tiempo de inactividad significativo, filtraciones de datos y costos financieros.
“La remediación de ataques importantes puede resultar costosa, a menudo resultando en semanas, meses o incluso años para que se lleven a cabo una investigación completa, restauración y procedimientos legales, más allá del daño inicial del ataque en sí”, dijo. “Por lo tanto, es esencial que todas las organizaciones tengan la seguridad cibernética como una prioridad máxima”.