Cómo responder al cuestionario del seguro cibernético
Qué piden de verdad las preguntas sobre MFA, EDR, copias y actualizaciones, por qué importa responder con exactitud y cómo cerrar carencias antes de renovar.
Contratar o renovar un seguro cibernético suele implicar hoy rellenar un cuestionario de seguridad. Para una pequeña empresa sin departamento de TI propio, las preguntas pueden resultar crípticas: "¿Se exige MFA para todo acceso remoto?", "¿Tienen EDR en todos los equipos?", "¿Las copias de seguridad están aisladas de la red?". La tentación es marcar "sí" y seguir. Esta guía explica qué piden realmente las preguntas más habituales, por qué importa responder con exactitud y cómo cerrar las carencias antes de firmar.
Por qué importan las respuestas
El cuestionario forma parte de su solicitud. La aseguradora fija el precio de la póliza, y decide si la ofrece, a partir de lo que usted declara. Si más adelante presenta un siniestro y la aseguradora descubre que un control que usted dio por implantado no lo estaba, podría tener motivos para discutir la reclamación. Las consecuencias concretas dependen de la redacción de la póliza y de la ley aplicable, así que lea con atención la parte de declaraciones y consulte a su corredor cualquier duda. La regla práctica es sencilla: si no está seguro de que una respuesta sea cierta, compruébelo antes de enviarla.
Qué significan las preguntas habituales
Autenticación multifactor (MFA)
Las aseguradoras suelen preguntar por separado por el correo, el acceso remoto y las cuentas de administrador. "Exigida" significa obligatoria para todos los usuarios, no simplemente disponible. Busque excepciones: la cuenta del dueño que se dejó fuera por comodidad, un buzón compartido al que alguien entra directamente, una VPN o un escritorio remoto antiguos que aún aceptan solo contraseña. Cualquiera de ellas convierte el "sí" en falso.
Detección y respuesta en equipos (EDR)
El EDR es software de seguridad que vigila cada equipo en busca de comportamientos sospechosos y permite investigar y aislar una máquina; no es un simple antivirus. A menudo se pregunta si cubre todos los equipos, servidores incluidos, y si alguien revisa de verdad las alertas. Si las alertas llegan a un buzón que nadie lee, dígalo o corríjalo.
Copias de seguridad
Espere preguntas sobre la frecuencia de las copias, si hay una copia desconectada o que no se pueda modificar ni borrar desde su red, si están cifradas y si ha probado una restauración. Un NAS en la misma red o unos archivos sincronizados con la nube pueden no cumplir esa descripción, porque el ransomware puede alcanzar ambos. Nuestro artículo sobre cómo hacer un simulacro de restauración explica cómo demostrar este último punto.
Actualizaciones y software sin soporte
Puede que le pregunten en cuánto tiempo instala las actualizaciones críticas y si usa programas o sistemas operativos que ya no reciben parches de seguridad. Cuente todo, incluido el PC viejo que solo ejecuta un programa y el firewall del armario.
Seguridad del correo y formación
Aquí entran el filtrado del correo, si el personal recibe formación en seguridad y, a veces, si confirma por teléfono cualquier cambio de datos bancarios antes de pagar. Si su procedimiento es informal, póngalo por escrito.
Cuentas de administrador y acceso remoto
Las aseguradoras quieren saber si el personal trabaja con cuentas sin privilegios de administrador, cuántas cuentas de administrador hay y cómo se conectan los proveedores externos. Una herramienta de acceso remoto que instaló hace años un antiguo proveedor de TI y que nadie quitó es una sorpresa frecuente.
Plan de respuesta a incidentes
Se pregunta si tiene un plan escrito para cuando algo sale mal: a quién llamar, cómo contactar con la línea de incidentes de la aseguradora y quién puede tomar decisiones. No tiene que ser largo, pero debe existir y el equipo debe saber dónde está.
Cómo prepararse
- Consiga el cuestionario con tiempo, idealmente semanas antes de la renovación, no días.
- Repáselo con quien gestiona su TI. Para cada pregunta, anote la prueba: una captura de la política de MFA, la lista de equipos con EDR, la fecha de la última prueba de restauración.
- Marque cada respuesta como sí, parcial o no. Sea honesto con los "parcial".
- Cierre primero lo rápido. Exigir MFA en las últimas cuentas, eliminar una herramienta de acceso remoto que no se usa o activar la inmutabilidad de las copias suele poder hacerse antes del plazo.
- Explique el resto. Si un control está en proceso de implantación, muchos formularios permiten añadir notas. Hable con su corredor sobre cómo presentarlo.
- Guarde una copia de lo que envió y de las pruebas, para que la renovación del año siguiente sea más rápida y pueda demostrar qué era cierto en ese momento.
Una vez en vigor la póliza
Los controles que declaró deben mantenerse durante toda la vigencia. Los cambios de personal, los portátiles nuevos y el software nuevo son la forma habitual en que se pierden. Una revisión trimestral breve frente a sus respuestas los mantiene al día.
Nuestros servicios de ciberseguridad y de copias de seguridad gestionadas cubren muchos de los controles que piden estos cuestionarios. Este artículo es información general, no asesoramiento legal ni de seguros. Si quiere ayuda para revisar un cuestionario antes de renovar, llame al (213) 986-4855.