29 de octubre de 2026 - Tiempo de lectura 9 min

El fin del cheque en blanco: por qué una póliza ya no sustituye a la protección real

De la misma forma que las medidas físicas de protección, como cerraduras o cámaras de seguridad, influyen en la evaluación del riesgo de un hogar o un comercio, las aseguradoras de ciberriesgo analizan las medidas técnicas implementadas por las empresas. La evolución de las amenazas, la complejidad de los incidentes y el impacto económico de los ataques han reforzado la importancia de esta evaluación. El ransomware, la interrupción de servicios, las filtraciones de datos y la repercusión en proveedores o clientes pueden provocar pérdidas que van mucho más allá del coste de recuperar los sistemas y afectan a la actividad, la reputación y las relaciones con clientes y proveedores.

Según datos de INCIBE reflejados en el white paper “Ciberseguridad: Una visión global", elaborado por Vodafone Empresas en colaboración con Google y CyberMadrid, la entidad “detectó y notificó 237.028 sistemas vulnerables relevantes, susceptibles de ser explotados por ciberdelincuentes para acceder a redes o provocar incidentes” durante 2025. Este dato refleja la exposición de las organizaciones a las amenazas digitales y la importancia de acreditar las medidas de protección implantadas. Por ello, las aseguradoras pueden solicitar información detallada sobre los controles de seguridad de sus clientes y establecer condiciones, límites o exclusiones en función del riesgo evaluado.

Lo que debe quedar claro es que un seguro de ciberriesgo cubre determinadas consecuencias económicas de un incidente, dentro de los límites, exclusiones y condiciones contratadas, pero no sustituye a la prevención ni a la capacidad de recuperación. Según la póliza, puede incluir gastos de respuesta al incidente, recuperación de datos, interrupción del negocio, responsabilidad frente a terceros o determinados costes de defensa. Sin embargo, estas coberturas pueden estar sujetas a franquicias, sublímites y exclusiones específicas.

La veracidad de la información facilitada durante la contratación también es fundamental. Si una compañía afirma que utiliza autenticación multifactor, mantiene copias de seguridad aisladas o aplica parches de seguridad periódicamente, debe poder demostrar que esas medidas están operativas. Una deficiencia técnica no implica automáticamente la denegación de la indemnización, pero las declaraciones inexactas o el incumplimiento de determinadas obligaciones pueden tener consecuencias sobre la cobertura, según las condiciones de la póliza y la normativa aplicable.

Cuatro controles técnicos habituales en la evaluación del ciberriesgo

A la hora de contratar una póliza de ciberriesgo vas a encontrarte con cuestionarios de suscripción que suelen incluir controles de acceso, protección de copias, gestión de vulnerabilidades y detección de amenazas. Estas cuatro áreas son fundamentales para evaluar la capacidad de una empresa para prevenir, detectar y contener incidentes de seguridad. Entre las medidas más habituales se encuentran las siguientes:

1. Autenticación multifactor (MFA). La aseguradora puede exigir un segundo factor de autenticación para accesos remotos mediante VPN, para cuentas de correo corporativo y usuarios con privilegios de administración de los sistemas, ya que dificulta que una contraseña robada sea suficiente para acceder a estos servicios. No basta con tenerla, es importante comprobar que está activada en todas las cuentas y servicios incluidos en el alcance, sin excepciones injustificadas.
2. Copias de seguridad aisladas o inmutables. Tampoco basta con una política general de backup. La estrategia debe permitir recuperar la actividad aunque un ransomware cifre los sistemas principales. La regla 3-2-1, que consiste en tres copias de los datos, en dos tipos de soporte y una fuera de la ubicación principal es una buena estrategia, pero no garantiza por sí sola la recuperación. Conviene además disponer de copias de seguridad aisladas o inmutables, protegidas con credenciales independientes, y realizar pruebas periódicas de restauración.
3. Gestión periódica de vulnerabilidades y parches. La ciberseguridad es un proceso continuo y en constante evolución. La organización debe detectar vulnerabilidades de forma periódica y corregir aquellas que puedan comprometer sus sistemas, dando prioridad a las más críticas. No basta con instalar actualizaciones, sino que es necesario disponer de un inventario actualizado de activos, registros de aplicación de parches y procedimientos para verificar que las vulnerabilidades detectadas se han corregido. Cuando no se pueda instalar un parche, deben documentarse las medidas compensatorias y el plazo previsto de resolución.
4. Monitorización y detección activa. Es necesario disponer de registros de actividad (logs) de puestos, servidores, identidades y sistemas críticos que permitan investigar accesos sospechosos y reconstruir incidentes. Soluciones como SIEM o EDR permiten identificar comportamientos sospechosos, centralizar eventos de seguridad y generar alertas. Para aprovechar estas capacidades, es importante contar con procedimientos de monitorización, análisis, investigación y respuesta ante incidentes, adaptados a las necesidades de cada organización. En este contexto, disponer del servicio de un Centro de Operaciones de Seguridad (SOC) puede reforzar estas capacidades y mejorar la detección y respuesta frente a las amenazas.

Qué analiza el perito informático tras una brecha de seguridad

Finalmente, ocurre el incidente y tienes que dar parte al seguro. Ha llegado el momento de la verdad y comprobar si se cumplen las condiciones establecidas en la póliza. Tras comunicar el siniestro, la aseguradora puede activar un procedimiento de investigación técnica para determinar cómo se produjo el incidente, qué sistemas resultaron afectados y qué daños se derivaron de él. La empresa también deberá seguir el procedimiento de notificación establecido en la póliza y coordinar la respuesta con la aseguradora, evitando actuaciones que puedan comprometer la investigación o la cobertura.

El análisis forense, realizado por un perito informático especializado en ciberseguridad, buscará reconstruir la secuencia del ataque mediante registros de autenticación, eventos de seguridad, conexiones de red, actividad de los dispositivos y evidencias de los sistemas afectados. También puede examinar los accesos iniciales, los movimientos del atacante dentro de la red, la posible extracción de información y las medidas aplicadas para contener el incidente.

Por eso, la conservación de evidencias es esencial. Los registros deben protegerse frente a modificaciones y conservar información suficiente sobre fechas, usuarios y eventos. Cuando sea posible, se utilizarán repositorios centralizados, controles de acceso y mecanismos que permitan comprobar la integridad de los datos. Aunque la ausencia de registros no demuestra por sí sola una negligencia, puede dificultar la reconstrucción de los hechos. Cuando sea necesario, deberá mantenerse una cadena de custodia que permita acreditar la integridad, trazabilidad y conservación de las evidencias digitales.

El perito también puede contrastar los hallazgos con las respuestas del cuestionario de suscripción y las medidas declaradas. Si la empresa aseguró disponer de MFA, pero la investigación revela que las cuentas afectadas no estaban protegidas, o si se detectan deficiencias como contraseñas débiles, vulnerabilidades críticas conocidas sin corregir o copias de seguridad que no permiten recuperar los sistemas, estas circunstancias quedarán reflejadas en el informe pericial. Sus conclusiones podrán ser relevantes para que la aseguradora evalúe la cobertura del siniestro, de acuerdo con las condiciones de la póliza y la normativa aplicable. De ahí la importancia de mantener las medidas de seguridad operativas y disponer de evidencias que permitan demostrarlo.

Cómo optimizar el coste del seguro con un Plan Director de Seguridad

Si entendemos que el seguro es un componente más de una estrategia de ciberseguridad en la que cada elemento está coordinado con los demás, la relación entre el coste del seguro y la inversión en medidas de protección cobra otra dimensión. Una estrategia de seguridad bien definida puede contribuir a reducir la exposición al riesgo y mejorar las condiciones de aseguramiento, aunque no garantiza una prima más baja. Para ello es necesario identificar las debilidades de la organización y determinar qué medidas son las más adecuadas para corregirlas. Si además eres capaz de demostrar que identificas tus riesgos, aplicas controles y revisas periódicamente su eficacia, dispones de mejores argumentos para negociar las condiciones de cobertura.

Una buena hoja de ruta para optimizar todos estos elementos parte de un Plan Director de Seguridad como el que ofrece Vodafone Empresas para sus clientes. Este permite evaluar la situación inicial, identificar activos críticos, priorizar vulnerabilidades y definir una estrategia de mejora adaptada a las necesidades de la organización. No se limita a obtener una fotografía, o más exactamente una radiografía, de su situación de seguridad, sino que permite transformar un conjunto disperso de medidas técnicas en una estrategia alineada con los riesgos operativos y financieros de la empresa. A través de su consultoría de ciberseguridad, Vodafone también ayuda a estructurar protocolos y preparar documentación útil para auditorías y procesos de evaluación.

Desde la perspectiva aseguradora, esa documentación puede facilitar la respuesta a los cuestionarios de suscripción y acreditar el estado de los controles. Así que, más allá del CISO, la colaboración con el CIO y el CFO es fundamental. El área técnica debe explicar las deficiencias y las medidas correctivas, la dirección financiera debe valorar su impacto económico y el riesgo residual y ambas áreas deben comprobar que las inversiones responden a las exigencias reales de la póliza.

Checklist previo: preguntas que tu comité de dirección debe responder

Vamos a ponernos manos a la obra y empezar por el principio con un autodiagnóstico que nos permita evaluar la situación de la empresa antes de renovar el seguro de ciberriesgo. Estas preguntas pueden ayudarte a identificar posibles carencias:

• Accesos: ¿tenemos MFA activa en VPN, correo y cuentas privilegiadas?, ¿revisamos periódicamente los permisos y las cuentas inactivas?
• Copias de seguridad: ¿disponemos de backups aislados o inmutables?, ¿hemos probado recientemente la restauración de sistemas críticos?
• Vulnerabilidades: ¿tenemos inventariados los activos y registros verificables de aplicación de parches?, ¿cómo gestionamos las excepciones?
• Detección: ¿Registramos y monitorizamos los eventos de seguridad relevantes?, ¿contamos con personal especializado o un servicio que analice las alertas, investigue los incidentes y active los procedimientos de respuesta?
• Evidencias forenses: ¿podemos preservar los registros necesarios para investigar un ataque sin perder su integridad?
• Condiciones de la póliza: ¿hemos revisado exclusiones, franquicias, límites, obligaciones de notificación y requisitos técnicos?
• Plan de mejora: ¿existe una hoja de ruta con responsables, prioridades, plazos y presupuesto para corregir las deficiencias detectadas?