Riesgo cibernético y ciberseguro

La división más útil para el actuario es la que separa los costos propios del asegurado (primera parte) de su responsabilidad frente a otros (tercera parte). La primera parte se parece a un seguro de daños con interrupción de negocio; la tercera, a un seguro de responsabilidad civil con desarrollo largo y litigios. Una misma intrusión suele activar ambas: el ransomware detiene la operación (primera parte) y además expone datos de clientes que luego reclaman (tercera parte).

La experiencia reciente señala al ransomware como la principal fuente de pérdidas. Según el informe de Munich Re de 2025, la interrupción de negocio representó 51% de los costos de los eventos de ransomware y la manufactura concentró la mayor proporción de siniestros de este tipo, seguida de salud. El costo promedio de una vulneración de datos alcanzó un récord de 4.9 millones de dólares.

Una póliza ciber independiente (stand alone) empaqueta secciones con límites y deducibles propios, casi siempre bajo un límite agregado anual. Para modelarla hay que entender que cada sección tiene una distribución distinta: la respuesta a incidentes es frecuente y moderada, la interrupción de negocio depende de un umbral temporal y la responsabilidad frente a terceros llega años después del evento.

Las coberturas cibernéticas también aparecen, a veces sin querer, en pólizas tradicionales de incendio, responsabilidad civil o fianzas que no excluyen expresamente el evento informático. Ese riesgo silencioso (silent cyber) es una fuente de cúmulo no tarificado y por eso el mercado ha ido incorporando cláusulas que afirman o excluyen la cobertura cibernética en todos los ramos.

Un cúmulo cibernético ocurre cuando una sola causa afecta a muchos asegurados a la vez. Las fuentes típicas son una vulnerabilidad común en software ampliamente usado, la caída de un proveedor de nube, un malware que se propaga sin control y la cadena de suministro tecnológica. A diferencia de un sismo, el cúmulo no tiene epicentro: la exposición se define por dependencias tecnológicas, que casi nunca aparecen en la información de suscripción.

CrowdStrike, 19 de julio de 2024. Una actualización de contenido defectuosa del software de seguridad de CrowdStrike dejó inoperables computadoras con Windows en todo el mundo. Microsoft estimó unos 8.5 millones de dispositivos afectados, menos del 1% de los equipos Windows, pero concentrados en aerolíneas, bancos, hospitales y servicios. No fue un ataque: fue una falla de sistema. Las estimaciones de pérdida asegurada variaron según el modelo: Guy Carpenter la ubicó entre 300 millones y 1,000 millones de dólares, CyberCube entre 400 millones y 1,500 millones para el mercado de ciber independiente y Parametrix calculó que las empresas del Fortune 500 de Estados Unidos (sin Microsoft) tendrían pérdidas directas por unos 5,400 millones, de las que solo entre 10% y 20% estarían aseguradas por retenciones altas y límites bajos.

NotPetya, 2017. Un malware destructivo que la Casa Blanca atribuyó a una acción de Rusia contra Ucrania y que se propagó mucho más allá de su objetivo. Merck reclamó cerca de 1,400 millones de dólares a sus aseguradoras de daños (pólizas todo riesgo) por más de 40,000 equipos inutilizados. Las aseguradoras invocaron la exclusión de actos hostiles o bélicos; el tribunal de apelaciones de Nueva Jersey resolvió el 1 de mayo de 2023 que esa exclusión no aplicaba porque exige la participación de una acción militar, y las partes llegaron a un acuerdo confidencial a inicios de 2024. Mondelez, que demandó a Zurich por unos 100 millones por el mismo evento, también llegó a un acuerdo en 2022.

Los dos casos dejan lecciones distintas. CrowdStrike mostró que una falla no maliciosa puede generar el mayor evento del año y que el periodo de espera de la interrupción de negocio determina cuánto paga el mercado. NotPetya mostró que las pólizas que no mencionan el riesgo cibernético pueden terminar pagándolo y que la redacción de las exclusiones de guerra pesa tanto como el modelo.

Las exclusiones de guerra tradicionales se escribieron pensando en ejércitos y bombardeos. El caso Merck dejó claro que, sin una redacción específica, un tribunal puede negarse a extenderlas a un ataque informático atribuido a un Estado. El mercado de Lloyd's reaccionó en dos pasos.

El 25 de noviembre de 2021 la Lloyd's Market Association (LMA) publicó cuatro cláusulas modelo, de la LMA5564 a la LMA5567. La número 1 se titula de guerra, guerra cibernética y operación cibernética, y es la más simple: excluye la pérdida que derive directa o indirectamente de una guerra o de una operación cibernética. Las números 2 a 4 incorporan la expresión operación cibernética limitada y ofrecen distintos niveles de cobertura para operaciones de Estados que no llegan a ser guerra. Todas comparten el concepto de impacto perjudicial mayor sobre un servicio esencial de un Estado.

El 16 de agosto de 2022 Lloyd's emitió el boletín Y5381, que exige a sus sindicatos que las pólizas ciber independientes excluyan las pérdidas por ataques cibernéticos respaldados por Estados y cuenten con una base sólida para atribuirlos, aplicable a cada póliza que inicie o se renueve a partir del 31 de marzo de 2023. En enero de 2023 la LMA sustituyó las cláusulas originales por ocho versiones (LMA5564A y B hasta LMA5567A y B). Las versiones A incluyen un método acordado para atribuir la operación a un Estado y cumplen el boletín; las versiones B omiten la atribución y requieren autorización previa de Lloyd's. La nueva redacción define la guerra como un conflicto armado entre Estados con uso de fuerza física.

El punto de partida es el modelo colectivo: un número aleatorio de siniestros por año y una severidad aleatoria para cada uno. En ciber, la frecuencia suele mostrar sobredispersión (la varianza supera a la media) por la heterogeneidad entre asegurados y por oleadas de campañas de ataque, de modo que la Poisson es un punto de partida y la binomial negativa una mejora natural. La severidad necesita colas pesadas: la lognormal funciona bien en el cuerpo de la distribución y la Pareto describe mejor los siniestros que superan un umbral alto.

Las cantidades que importan para la prima no son las del siniestro bruto sino las de la capa que paga la póliza: lo que excede al deducible y no rebasa el límite. Para eso se usa el valor esperado limitado, que para la lognormal tiene forma cerrada. La misma herramienta aparece en funciones de pérdida y en el análisis de capas de reaseguro.

Los datos de siniestros ciber cubren pocos años, mezclan redacciones de póliza muy distintas y reflejan una tecnología que ya cambió. Un siniestro de 2019 dice poco sobre el ransomware de doble extorsión de hoy, y la frecuencia observada depende de la madurez de los controles del asegurado, que también cambió. Ajustar una distribución con esa historia y extrapolar a un periodo de retorno de 200 años es, en el mejor de los casos, una conjetura informada.

Por eso la práctica combina tres fuentes. Primero, modelos de exposición que estiman frecuencia y severidad con variables del asegurado (ingresos, sector, número de registros, dependencias de proveedores). Segundo, escenarios deterministas de cúmulo: la caída de un proveedor de nube por cierto número de horas, un ransomware masivo sobre un sistema operativo, la falla de un software de seguridad. Tercero, modelos probabilísticos de proveedores especializados como CyberCube, cuyas estimaciones se usaron para el evento de CrowdStrike y como modelo de riesgo del bono Cairney de Beazley. Para índices de mercado, PERILS publica pérdidas aseguradas de la industria ciber en Estados Unidos que ya sirven como disparador de bonos.

Con datos escasos, la teoría de la credibilidad permite mezclar la experiencia propia con supuestos de mercado de forma transparente. Y conviene tratar la incertidumbre de parámetros como un riesgo más: dos modelos razonables pueden diferir por un factor de cinco en la pérdida de un periodo de retorno de 200 años, como mostraron los rangos publicados tras CrowdStrike.

La tarifa ciber parte de una prima base por tamaño (ingresos) y sector, y la ajusta con factores que reflejan la higiene de seguridad del asegurado. Lo novedoso respecto de otros ramos es que esos factores se pueden verificar desde fuera: los escaneos externos revelan puertos expuestos, certificados vencidos o software sin parchar, y la aseguradora puede exigir controles mínimos como condición de suscripción.

Los controles actúan sobre distintos componentes. La autenticación multifactor y la gestión de parches reducen la frecuencia; los respaldos fuera de línea y probados reducen la severidad de un ransomware porque acortan la interrupción y debilitan la extorsión; un plan de respuesta ensayado reduce los costos de primera parte. Separar el efecto en frecuencia y severidad permite tarificar con relatividades de un GLM en lugar de descuentos arbitrarios.

El ciclo de precios también pesa. Después del alza de 2020 a 2022, Howden reportó que las tasas globales de ciber estaban 22% por debajo de su máximo de mediados de 2022 y que el crecimiento de ingresos del mercado se desaceleró a 6% anual entre 2022 y 2024. Un mercado blando con controles mejores puede ser rentable; uno blando que relaja requisitos repite el error del ciclo anterior.

El ciberseguro depende mucho del reaseguro. La forma dominante ha sido la cuota parte, que comparte primas y siniestros en proporción y permite a la cedente crecer sin consumir tanto capital. La protección contra cúmulos se compra con excesos de pérdida por evento o agregados, cuyo punto débil es la definición de evento: ¿cuándo dos intrusiones con el mismo malware son un solo evento?

Desde 2023 el riesgo ciber llegó a los mercados de capitales. En enero de 2023 Beazley colocó Cairney, un bono privado de 45 millones de dólares con disparador de indemnización que protege por encima de un evento de 300 millones. AXIS patrocinó Long Walk Re 2023-1, descrito como el primer bono catastrófico ciber colocado bajo la Regla 144A, por 75 millones de dólares, con disparador de indemnización por ocurrencia y punto de enganche de 510 millones. En diciembre de 2023 Swiss Re emitió Matterhorn Re 2023-1 por 50 millones, el primero con disparador de pérdida de la industria basado en datos de PERILS. En enero de 2024 Beazley cerró PoleStar Re 2024-1, de 140 millones, su primer bono 144A.

Para un inversionista, el atractivo es una prima alta por un riesgo poco correlacionado con sismos y huracanes. Para el actuario, cada estructura plantea una pregunta distinta: con indemnización, cuánto riesgo de suscripción de la cedente asume el inversionista; con índice de industria, cuánto riesgo de base asume la cedente.

La Ley de Instituciones de Seguros y de Fianzas no tiene un ramo cibernético: su artículo 25 enumera los ramos de la operación de daños (responsabilidad civil y riesgos profesionales, incendio, diversos, entre otros) y el ciberseguro se estructura como producto dentro de esa operación, sustentado, como todo producto, en una nota técnica, documentación contractual y un dictamen de congruencia (artículo 201). Como las estadísticas sectoriales se organizan por esos ramos, la información específica de ciber es escasa y poco comparable entre compañías, a diferencia de lo que ocurre en autos o gastos médicos. Quien construye la nota técnica depende de la experiencia propia, del reaseguro y de referencias internacionales ajustadas al mercado local.

El marco de protección de datos cambió en 2025. El 20 de marzo de 2025 se publicó en el DOF una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el día siguiente, que sustituyó a la de 2010 y trasladó las funciones del extinto INAI a la Secretaría Anticorrupción y Buen Gobierno. La ley obliga a todo responsable a mantener medidas de seguridad administrativas, técnicas y físicas (artículo 18) y a informar de inmediato a los titulares las vulneraciones de seguridad que afecten de forma significativa sus derechos patrimoniales o morales (artículo 19). Las multas del artículo 59 van de 100 a 160,000 o de 200 a 320,000 veces la Unidad de Medida y Actualización según la infracción, y pueden duplicarse si se trata de datos sensibles. Estas obligaciones definen buena parte de los costos de respuesta y de la responsabilidad frente a terceros que cubre una póliza.

Las propias aseguradoras están obligadas a gestionar su riesgo tecnológico. La Circular Única de Seguros y Fianzas exige que el sistema de control interno preserve la seguridad de la información generada, recibida, transmitida, procesada o almacenada en sus sistemas (Disposición 3.3.3, fracción VI) y que las políticas de contratación de servicios con terceros mantengan la confidencialidad y seguridad de la información y prevean planes de continuidad (Disposición 3.6.3). Para operaciones por medios electrónicos, el Capítulo 4.10 pide dispositivos para detectar y prevenir eventos que afecten la confidencialidad, integridad y disponibilidad de la información, informar los incidentes al comité de auditoría y contar con procedimientos de respuesta bajo responsabilidad del director general (Disposiciones 4.10.23 a 4.10.26). Ningún regulador está exento: el 30 de enero de 2026 la propia CNSF informó un incidente de seguridad de la información que expuso datos de cédulas de intermediarios.

El Institute and Faculty of Actuaries publicó en diciembre de 2024, dentro de su Actuarial Monitoring Scheme, la revisión temática Actuaries managing cyber risk, que describe cómo participan los actuarios en la gestión del riesgo cibernético operativo y en el diseño de coberturas, con ejemplos de colaboración con especialistas en seguridad. Es una lectura útil para entender el papel profesional más allá del modelo.