El seguro cibernético y sus condiciones

De una póliza larga, a quien responde le importan pocas condiciones, y todas se activan temprano. La primera es el aviso al asegurador, con su plazo y su punto de partida. La segunda es la aprobación previa: muchas pólizas cubren los gastos de respuesta solo si el asegurador los aprobó antes, y a veces solo con proveedores de su panel. La tercera es lo que excluye, por ejemplo los daños que derivan de declaraciones inexactas en la solicitud.

Contener el incidente no espera a la póliza: lo urgente se hace y se documenta. Lo que se puede hacer a la vez es avisar y pedir la aprobación en cuanto se sabe lo que se necesita.

El aviso al asegurador tiene su propio reloj, casi siempre más corto que el de una autoridad y con su propio punto de partida: aquí, desde que el responsable de seguridad conoce el incidente. No es un trámite que se haga al final: avisar tarde puede ser una causa para discutir la cobertura.

La póliza dice cuántas horas y la tabla de conocimiento dice desde cuándo. Calcula la hora límite en UTC. Escribe aaaa-mm-dd hh:mm.

Al contratar, la empresa respondió una solicitud: copias de respaldo, parches, segundo factor, EDR. Esas respuestas son la base sobre la que el asegurador fijó el riesgo y la prima, y la póliza excluye lo que deriva de declaraciones inexactas. En un incidente, el análisis técnico descubre cómo estaban los controles de verdad, y esa foto puede no coincidir con la de la solicitud.

Quien responde no decide qué consecuencia tiene eso, y tampoco lo oculta: lo identifica con exactitud y lo lleva al área legal. Compara las dos columnas.

La cuenta de una póliza tiene un orden: primero se separa lo que está cubierto (aprobado antes de gastarse y dentro de lo que la póliza admite), después se resta la retención, que es la parte que siempre asume la empresa, y por último se compara con el límite. Un gasto sin aprobación previa no entra en lo cubierto, aunque haya sido razonable.

Con los gastos del caso y las condiciones de la póliza, calcula cuánto pagaría el asegurador, en pesos y sin separadores. Es un ejercicio de lectura: el asegurador es quien resuelve.

Descubrir que una declaración de la solicitud no era cierta produce la tentación de arreglarla: actualizar el formulario, quitar el dato del informe, o no mencionarlo. Es el camino que convierte una discusión sobre un control en una discusión sobre honestidad, y la segunda es peor.

Lo correcto es lo mismo que con cualquier evidencia: se deja tal como está, se documenta con su fuente y su fecha y se lleva al área legal y a quien gestiona el seguro, que decide cómo y cuándo se comunica. El informe técnico describe el estado real de los controles sin juicios.