Seguro cibernético, riesgo humano y potencial de cibercalificaciones

Seguridad corporativa

¿Se podría gestionar el riesgo humano en ciberseguridad con una calificación cibernética, similar a cómo las calificaciones crediticias ayudan a evaluar la responsabilidad financiera de las personas?

8 de octubre de 2024
•
,
Leer durante 5 minutos

Es innegable que el ciberseguro y la ciberseguridad están indisolublemente ligados. Uno necesita al otro y son una pareja perfecta, aunque niegue la relación. Sin embargo, de cara al futuro, es probable que necesitemos incorporar a la relación a un tercero: la empresa. Ahora todos están en la sala: ¿qué nos depara el futuro?

Hay áreas obvias de desarrollo en la relación. Las aseguradoras quieren saber que la ciberseguridad no sólo se utiliza, sino que también se hace un buen trabajo. Es probable que las aseguradoras quieran ver este buen trabajo en acción casi en tiempo real y, en algunos casos, posiblemente incluso en tiempo real.

Por ejemplo, si una aseguradora requiere EndpointDetection and Response (EDR), no significa «instalarlo y olvidarlo» hasta la renovación de la póliza del próximo año. Quiere saber que el sistema está operativo y que las alertas se responden con prontitud. Ya podemos ver este requisito de supervisión en algunas aseguradoras que toman la ruta de proporcionar un elemento de servicios gestionados o exigir informes periódicos de los sistemas EDR. Sin embargo, esta prestación de servicios por parte del asegurador puede conducir a una monocultura de productos de seguridad en la que todos los asegurados estén protegidos por un único producto, algo que yo desaconsejaría.

¿A dónde podría conducir esto en el largo plazo? ¿Cuál podrían considerar las aseguradoras como otro método de reducción de riesgos que, en última instancia, elimina la necesidad de pagar por un reclamo? Después de todo, su objetivo es minimizar los pagos y mantener la rentabilidad.

Los seres humanos suponen un riesgo importante en materia de ciberseguridad. Pueden ser manipulados socialmente, cometer errores, tomar atajos y, lamentablemente, su comportamiento es difícil de cambiar. ¿Cómo pueden las aseguradoras resolver el problema del riesgo humano y al mismo tiempo intentar proteger las ganancias y reducir las reclamaciones?

Este desafío es similar al de la industria financiera, que está tratando de reducir el riesgo financiero de otorgar préstamos a personas que toman malas decisiones, no realizan pagos o tal vez son algo imprudentes con su dinero. Una parte clave de la respuesta en la industria financiera son las calificaciones crediticias: cada persona recibe una calificación dinámica que cambia con los patrones de comportamiento cambiantes, y las organizaciones financieras pueden ajustar su riesgo casi en tiempo real. Esta es una decisión basada en datos que fue posible gracias al uso de tecnología avanzada de inteligencia artificial y porque los datos sobre nuestras transacciones financieras se comparten, al menos parcialmente.

¿Podrían ser las cibercalificaciones el futuro?

¿Podrían las aseguradoras cibernéticas utilizar un enfoque similar y crear perfiles de riesgo para las personas dentro de una organización que ayudarían a prevenir reclamaciones costosas al predecir si es probable que una persona tome una mala decisión o acción en materia de ciberseguridad? En otras palabras, ¿podría desarrollarse una “cibercalificación” similar a las calificaciones crediticias en el sector financiero?

En algunos países y regiones, un empleador potencial puede rechazar a un solicitante basándose en su puntaje crediticio, al menos para puestos que requieren responsabilidad financiera, y puede llegar el día en que un puntaje cibernético se utilice de la misma manera.

Imaginemos ahora un escenario en el que cada usuario de Internet reciba esa calificación basada no en los detalles de sus transacciones o comunicaciones, sino en algunos elementos específicos de sus interacciones en línea y patrones de comportamiento. Con suficiente información, se podría hacer una predicción basada en datos sobre si una persona hará clic en un enlace de phishing, adjuntará datos no cifrados a un correo electrónico o adoptará hábitos de navegación cuestionables. Al igual que con los puntajes crediticios, cualquiera puede ver su puntaje cibernético y obtener consejos sobre cómo mejorarlo, tal como lo hacemos con los puntajes crediticios hoy.

Los empleadores podrían utilizar esta métrica para asegurarse de que están ofreciendo un puesto a una persona responsable de los ciberataques y que no pone en riesgo a la empresa. Las aseguradoras pueden exigir a sus clientes que no contraten a nadie por debajo de un determinado valor o establecer límites a personas con un valor inferior, reduciendo así el riesgo de la aseguradora.

Algunos empleadores ya monitorean el comportamiento en línea de sus empleados e identifican a aquellos que representan un riesgo, para luego fortalecer la conciencia sobre la ciberseguridad y las políticas para reducir el riesgo. Sin embargo, esto es controvertido ya que potencialmente viola la legislación laboral y de protección de datos. Por otro lado, un empleado potencial puede estar dispuesto a renunciar a estos derechos para conseguir un trabajo, del mismo modo que puede dar su consentimiento para que el empleador realice una verificación de crédito.

Una calificación cibernética podría tener otros usos e incluso fortalecer el sistema de calificación crediticia. Las estafas y estafas en línea a menudo requieren que la víctima haya actuado en línea; Si la calificación cibernética conoce la probabilidad de que alguien haga clic en esa increíble oferta o correo electrónico fraudulento, un banco puede imponer requisitos de autenticación adicionales a esa persona al realizar transacciones en línea. Las dos evaluaciones podrían potencialmente complementarse entre sí.

Por otra parte, la seguridad en relación con las calificaciones cibernéticas debería ser, por supuesto, muy estricta. Si estas evaluaciones de riesgos caen en las manos equivocadas, los ciberdelincuentes podrían utilizarlas como arma para identificar a los más vulnerables al phishing y otros ataques. Esto podría convertir efectivamente el sistema en una herramienta dirigida a personas vulnerables, socavando su propósito de mejorar las medidas de ciberseguridad y la gestión de riesgos.

Hay muchas maneras en que los seguros cibernéticos podrían evolucionar con el tiempo, pero la capacidad de eliminar o reducir el riesgo humano sería la próxima gran victoria, más allá de hacer cumplir los actuales requisitos de ciberseguridad en los que las aseguradoras insisten hoy.

Transformación empresarial y trabajo híbrido con IA: ¿Cómo deberían responder las empresas al creciente riesgo cibernético?

Escuche la conversación del periodista Peter Warren con la profesora Leslie Wilcox, profesora de la London School of Economics, sobre el problema de la digitalización y la importancia de equilibrar la rentabilidad y la ciberresiliencia.