El aumento exponencial de los casos de ransomware y las consecuencias para las compañías sobre la filtración de datos e información plantea una nueva ola de desafíos jurídicos en el sector asegurador.
Las aseguradoras se enfrentan a la encrucijada de decidir si deben o no pagar el rescate en caso de un ciberataque a uno de sus asegurados. El melón para plantear esta duda a nivel europeo se abrió a raíz de un proyecto legislativo con el que Francia debatía si obligar a las aseguradoras al pago de dichos rescates.
¿Posible financiación ilegal del cibercrimen?
A priori es evidente que la finalidad buscada por un asegurado a la hora de suscribir una póliza de ciberseguridad es precisamente que la Compañía responda de todas las consecuencias del ciberataque, salvo que exista responsabilidad del asegurado (art. 19 Ley 50/1980 del Contrato de seguro). Pues en otro caso, la suscripción del seguro carecería de sentido.
Cabe indicar además que no sólo se exige intrínsecamente al asegurado la adopción de medidas preventivas de ataques cibernéticos, sino que el artículo 17 de la Ley 50/1980 determina la obligación del asegurado de emplear los medios a su alcance para aminorar las consecuencias del siniestro. El problema en los casos de ciberataque es que se produce una paradoja en este aspecto, pues ante peticiones de rescate cuantiosas la única opción del asegurado para evitar daños adicionales (publicación ilícita de los datos protegidos o venta a terceros, por ejemplo) es que la aseguradora pague el rescate.
Sin embargo, en el otro lado, el artículo 576 del Código Penal condena a quienes financien, de cualquier manera, a grupos terroristas. En este sentido, si a la primera de cambio las aseguradoras se avienen a pagar los rescates como garantía en la póliza, de alguna forma indirecta, se está financiando del cibercrimen como criterio estándar. Sumado al hecho, de que se podría llegar a fomentar de alguna forma el cibercrimen, bajo la premisa de que pagan las grandes compañías. Esta última es la postura mantenida hasta ahora por Europa frente al cibercrimen. De hecho, algunos juristas sostienen además la idea de que no sólo debe prohibirse el abono de rescates, sino que las empresas que los abonen deberían ser sancionadas por financiación de actividades ilícitas.
art. 576.1 CP. Será castigado con la pena de prisión de cinco a diez años y multa del triple al quíntuplo de su valor el que, por cualquier medio, directa o indirectamente, recabe, adquiera, posea, utilice, convierta, transmita o realice cualquier otra actividad con bienes o valores de cualquier clase con la intención de que se utilicen, o a sabiendas de que serán utilizados, en todo o en parte, para cometer cualquiera de los delitos comprendidos en este Capítulo.
Así las cosas, las recomendaciones oficiales van en la línea de que los rescates no sean abonados, toda vez que el pago no garantiza la recuperación de la información, e incluso, puede fomentar ataques futuros a la compañía al considerar que la empresa paga.
No puede olvidarse además que establecer una obligación de pago de rescate a las aseguradoras supondría un consiguiente incremento notorio de las primas de los ciberseguros para los asegurados; dificultando la contratación de estos seguros a empresas de poco presupuesto.
El futuro del ciberseguro
El seguro de ciberriesgo es una herramienta crucial en la protección de las empresas contra las crecientes amenazas cibernéticas ante el aumento de los ataques cibernéticos.
Sin embargo, el dilema sobre si las aseguradoras deben pagar el rescate en casos de ciberataque a sus asegurados plantea cuestiones importantes que afectan a la seguridad cibernética, la responsabilidad financiera y la accesibilidad a los seguros. Por el momento, el debate sigue a la espera de posicionamientos legislativos; pero por su parte, las empresas deben seguir enfocándose en fortalecer su ciberseguridad con medidas técnicas y organizativas.
Commenti