Mercado de bonos CAT cibernéticos
Los bonos de catástrofes cibernéticas constituyen una forma de que las aseguradoras y reaseguradoras transfieran una parte de su exposición cibernética en el peor de los casos desde su propio balance a los mercados de capitales. Una aseguradora vende un bono a los inversores; si se produce un incidente cibernético lo suficientemente grave como para activar la cláusula de activación del bono, los inversores pierden parte o la totalidad de su capital y ese dinero cubre las reclamaciones. Si no ocurre, los inversores perciben un cupón considerable por asumir el riesgo. Se trata del mismo mecanismo básico que existe desde hace décadas para huracanes y terremotos, y que ahora se adapta a un riesgo que no se comporta como un fenómeno meteorológico.
Esa adaptación es la parte difícil. Un huracán cuenta con un siglo de datos meteorológicos que lo respaldan. El riesgo cibernético es reciente, presenta correlaciones que no resultan evidentes y cambia cada vez que un nuevo programa informático de uso generalizado presenta una vulnerabilidad crítica. Un único fallo en un proveedor de servicios en la nube, en un dispositivo VPN o en un programa de contabilidad puede provocar pérdidas simultáneas en miles de asegurados sin relación entre sí: el tipo de evento sistémico, en el que «todos se ven afectados el mismo martes», que las estructuras de bonos catastróficos están diseñadas para transferir, pero que resulta realmente difícil de modelar con fiabilidad.
A quiénes les concierne
Yo no estructuro ni vendo bonos catastróficos —de eso se encargan los bancos de inversión, las reaseguradoras especializadas y las empresas de modelización que elaboran las curvas de pérdidas—. Lo que hago es la parte que subyace a todo ello: una evaluación técnica real del riesgo cibernético a nivel de los sistemas reales, la exposición real y la madurez real de los controles, en lugar de basarme en la información facilitada por los propios interesados a través de encuestas. Las aseguradoras, las reaseguradoras y los modeladores de riesgos que elaboran o validan modelos de catástrofes cibernéticas necesitan datos que reflejen cómo están realmente expuestas las organizaciones: el riesgo de concentración en proveedores compartidos y las dependencias de la nube, la rapidez con la que una clase determinada de vulnerabilidad se explota realmente en la práctica, y en qué aspectos la postura de seguridad autodeclarada difiere de la realidad. Ese es el conocimiento especializado que se obtiene al realizar directamente el trabajo de evaluación, no al leer el informe de otra persona al respecto.
Cómo lo abordaría yo
Si está desarrollando o sometiendo a pruebas de estrés un modelo, una definición de desencadenante o una perspectiva de suscripción que dependa de la comprensión de la exposición cibernética en el mundo real y de la dinámica de los incidentes, puedo colaborar con sus equipos actuariales y de modelización como voz técnica en la sala: revisando los supuestos sobre la propagación de los ataques, la concentración de proveedores y la eficacia de los controles en comparación con lo que realmente ocurre durante los incidentes, y señalando aquellos casos en los que los datos de entrada del modelo son más optimistas de lo que justifica el panorama de amenazas. Este suele ser un trabajo de asesoramiento por proyectos, más que un contrato de prestación de servicios continuado, cuyo alcance se limita estrictamente a la cuestión que está tratando de resolver.
Si se dedica al ámbito de la transferencia de riesgos en este mercado y desea obtener una segunda opinión, con base técnica, sobre cómo se caracteriza un riesgo cibernético, Contacte conmigo y explíqueme en qué está trabajando.