La recomendación es una de varias hechas en un informe sobre ransomware y seguros cibernéticos emitido el martes por la Asociación de Ginebra
Los gobiernos y los reguladores tienen que hacer más para contrarrestar los grupos e individuos detrás de los ataques de ransomware, dice un grupo que representa a las compañías de seguros globales.
La recomendación es una de varias hechas en un informe sobre ransomware y seguros cibernéticos emitido el martes por la Asociación de Ginebra . También dice que prohibir a las organizaciones pagar rescates por la devolución del acceso a los datos robados “es un instrumento contundente y potencialmente ineficaz”.
Y en un mensaje a las organizaciones, el informe dice que el seguro cibernético hace más que cubrir los pagos de rescate. También mejora la higiene cibernética general de una empresa.
Al pedir más acción gubernamental, el informe argumenta que las políticas destinadas a disuadir los ataques de ransomware, interrumpir los modelos comerciales de los ciberdelincuentes (incluido su uso de criptomonedas para lavar fondos), preparar mejor a las organizaciones para las intrusiones y responder de manera más efectiva a los ataques “mejorarán la la seguridad del ciberespacio y ayudar a las empresas legítimas a ganar ventaja frente a los ciberadversarios”.
Las acciones podrían incluir:
sanciones más duras contra los ciberdelincuentes que llevan a cabo ataques de ransomware; coordinación internacional de los regímenes de sanciones que prohíben las transacciones con entidades prohibidas, incluido el intercambio de inteligencia sobre cepas de ransomware renombradas; mantener los intercambios de criptomonedas y las plataformas peer-to-peer (P2P) según los estándares de diligencia debida en la creación de cuentas y el monitoreo de transacciones, incluidos los requisitos adicionales de seguimiento y de conocimiento del cliente (KYC); persecución, enjuiciamiento y publicidad de actividades ilícitas de intercambios sin licencia y servicios de intercambio de criptomonedas; promover estándares mínimos de ciberseguridad y fomentar mecanismos para fomentar las mejores prácticas y; fortalecer los regímenes de divulgación de incidentes de ransomware. Prohibir los pagos de rescate por parte de las empresas o prohibir el reembolso por parte de las aseguradoras probablemente desalentaría algunos ataques, reconoce el informe. Pero, agrega, “una respuesta política tan contundente puede no siempre tener el efecto deseado, especialmente si las prohibiciones no se aplican de manera consistente a nivel internacional”.
Una prohibición total de los pagos de rescate podría llevar a las transacciones a la clandestinidad y/o alentar a los atacantes de ransomware a participar en nuevas formas de extorsión, argumenta el informe, incluidas las amenazas de destruir la propiedad o causar lesiones corporales si no se cumplen sus demandas.
En los EE. UU., Carolina del Norte, Pensilvania y Nueva York han aprobado o están promoviendo leyes que prohibirían los pagos de ransomware por parte de los gobiernos estatales y locales,
En cuanto a los beneficios del seguro cibernético, el informe señala que los seguros juegan un papel importante para fomentar una buena higiene cibernética y prevención de riesgos. Por ejemplo, a través de descuentos en primas, acuerdos de coseguro y retención, y límites de cobertura, las organizaciones se ven obligadas a adoptar las mejores prácticas esenciales de ciberseguridad. Estos incluyen invertir en sistemas de copia de seguridad de última generación, protección antivirus y de punto final, implementar los últimos parches de software, hacer cumplir el uso de autenticación multifactor y capacitar a todos los empleados para que sean conscientes de los riesgos de seguridad.
Según un cálculo, el informe dice que el ransomware representó el 75 % de todas las reclamaciones de seguros cibernéticos en 2020. Según otro informe, es probable que el ransomware haya sido la categoría de evento de pérdida más costosa para las aseguradoras en 2021.
A nivel mundial, pocas organizaciones se suscriben a un seguro cibernético. El informe señala que las primas cibernéticas, las tarifas que pagan las empresas por la cobertura, representan menos del uno por ciento del mercado global de propiedad y accidentes. Los números serían más altos en Canadá, Estados Unidos y Europa.
La asociación quiere alentar a más empresas a comprar cobertura, instando a los gobiernos a “evitar medidas que podrían desalentar inadvertidamente a los hogares y las empresas de comprar seguros cibernéticos. En cambio, las políticas que apuntan a salvaguardar el ciberespacio, promover la ciberseguridad y socavar los modelos comerciales de los ciberdelincuentes ayudarán a contrarrestar los ataques de malware y aumentarán el apetito de las reaseguradoras para absorber los riesgos cibernéticos de aquellos que son menos capaces de enfrentarlos”.
Sin embargo, como señala el informe, el aumento de las reclamaciones relacionadas con los seguros cibernéticos ha provocado que algunas aseguradoras y reaseguradoras reduzcan la cantidad de daños que cubrirán, limiten lo que cubrirán, aumenten las primas o incluso se retiren del seguro cibernético. El informe cita a un corredor internacional que dice que el costo de la protección cibernética aumentó más del 100 % en EE. UU. y el Reino Unido, y un 80 % en Europa continental durante el año que finalizó en el primer trimestre de 2022.
Lo que la industria llama pólizas de seguros cibernéticos afirmativos generalmente cubren los gastos externos asociados con una infracción (por ejemplo, los costos de investigaciones forenses, restauración de datos/sistemas y tarifas de gestión de crisis), costos de interrupción del negocio y responsabilidades frente a terceros afectados por la ataque, así como cualquier rescate pagado.
“Con el ransomware vemos un ejemplo del importante papel de ‘prevención y mitigación’ que desempeñan las aseguradoras como gestores de riesgos”, dijo Jad Ariss, director general de la Asociación de Ginebra.
“Controlan una palanca crítica con su capacidad para incentivar a los clientes a mantener sólidos controles y estándares de ciberseguridad, lo que ayuda a reducir la vulnerabilidad de las empresas a los ataques y aumenta su resiliencia cibernética. Los gobiernos y los reguladores también tienen sus palancas y, como destaca nuestro informe, deben frenar el uso ilegal de las criptomonedas y hacer más para garantizar el intercambio de información sobre incidentes y mejorar la cooperación internacional entre las fuerzas del orden”.