El mercado global de seguros cibernéticos alcanzó los $15.3 mil millones USD en 2024 y se espera que se duplique con creces para 2030. A medida que este mercado crece, los reguladores endurecen las normas y esperan que las aseguradoras demuestren que sus controles y prácticas de gestión de riesgos están a la altura. Las regulaciones de ciberseguridad para aseguradoras en Estados Unidos existen principalmente a nivel estatal, lo que genera obligaciones superpuestas. En el centro de todo esto está la Ley Modelo de Seguridad de Datos de Seguros de la NAIC (NAIC MDL‑668), una ley modelo que los estados pueden adoptar para dar consistencia entre jurisdicciones. Hasta mediados de 2023, 23 estados han adoptado legislación basada en esta ley modelo.

Más allá de la ley de la NAIC, cada estado implementa sus propias regulaciones, y el 23 NYCRR Part 500 de Nueva York es una de las más completas y estrictas. Exige que las aseguradoras mantengan un programa de ciberseguridad basado en riesgos, designen a un director de seguridad de la información (o equivalente) y presenten certificaciones anuales de cumplimiento. La regulación también exige una documentación extensa del programa y prueba continua de cumplimiento.

La mayoría de las regulaciones también exigen requisitos de notificación de brechas. Las aseguradoras deben notificar a los comisionados estatales de seguros sobre eventos cibernéticos materiales, generalmente dentro de las 72 horas, en especial cuando las brechas afectan a más de 250 consumidores, y deben notificar oportunamente a los consumidores afectados cuando ocurren estas brechas. Estas regulaciones también establecen requisitos de privacidad que rigen cómo las aseguradoras recopilan, usan y protegen los datos de los consumidores.

Las regulaciones de ciberseguridad para el sector de seguros pueden variar según el estado. Sin embargo, por lo general se centran en tres áreas principales: identificar y evaluar los riesgos de ciberseguridad mediante evaluaciones documentadas periódicas, implementar controles de seguridad acordes con esos riesgos y mantener documentación detallada que demuestre que los controles son efectivos. Por eso los reguladores insisten en que las aseguradoras vayan más allá de tener políticas y demuestren, en los hechos, la efectividad de su programa.

Registro y monitoreo

Las aseguradoras deben mantener registros completos de las actividades del sistema, incluidas las acciones de los usuarios, los cambios de configuración, los eventos de autenticación y el acceso a datos confidenciales. Para efectos de cumplimiento normativo, las aseguradoras deben demostrar que monitorean estos registros y los conservan según los plazos regulatorios. Huntress Managed SIEM ayuda a las aseguradoras a manejar grandes volúmenes de datos de registro, detectar eventos de seguridad y mantener registros de cumplimiento.

Gestión de accesos y controles de identidad

Las aseguradoras necesitan saber quién tiene acceso a los sistemas y datos, por qué tienen ese acceso, y aplicar los controles apropiados. Considera implementar autenticación multifactor (MFA), una gobernanza de identidad sólida, gestión de accesos privilegiados (PAM) y revisiones periódicas para eliminar el acceso cuando los empleados se van o cambian de puesto. Huntress Managed ITDR puede ayudar a identificar riesgos de identidad en tu entorno.

Planes de respuesta ante incidentes

Las aseguradoras deben documentar planes de respuesta ante incidentes que describan los procedimientos para detectar, investigar, contener y recuperarse de incidentes de ciberseguridad. Los planes deben abordar los requisitos de notificación a los comisionados estatales de seguros, generalmente dentro de las 72 horas para eventos materiales, así como la notificación oportuna a los consumidores cuando las filtraciones afecten datos personales. Los ejercicios de simulación (tabletop) regulares ponen a prueba la preparación y validan los procesos de respuesta.

Gestión de proveedores externos

Las aseguradoras deben gestionar a los proveedores externos que acceden a sus sistemas o datos. Sigues siendo responsable de garantizar que los proveedores mantengan estándares adecuados de seguridad de datos. Incluye requisitos de seguridad para proveedores en los contratos, realiza evaluaciones periódicas y conserva el derecho a auditar las prácticas de los proveedores.

Security awareness training

Los reguladores esperan que las aseguradoras mantengan programas continuos de security awareness training. Los empleados deben entender las políticas de seguridad, reconocer los intentos de ingeniería social y seguir los procedimientos adecuados de manejo de datos. Los registros de capacitación que demuestran la concientización y el cumplimiento de las políticas de seguridad por parte del personal son elementos esenciales de cumplimiento que los examinadores solicitan de forma rutinaria.

Los elementos clave incluyen:

• Políticas y procedimientos escritos que reflejen con precisión la práctica actual
• Evidencia de que el personal sigue las políticas, visible a través de registros, informes, tickets y pistas de auditoría
• Actualizaciones periódicas como parte de un ciclo de mejora continua
• Informes a la junta directiva que demuestren la supervisión de la ciberseguridad
• Evaluaciones independientes de terceros

Para muchas aseguradoras, el cumplimiento normativo depende tanto del mantenimiento de registros como de la seguridad técnica. De hecho, un análisis reciente de Munich Re encontró que el 87% de los ejecutivos de alto nivel cree que la protección de su organización es inadecuada. Esta estadística resalta la importancia de una documentación organizada del programa, convenciones de nomenclatura de archivos aplicadas, y políticas implementadas de control de versiones y retención para agilizar las revisiones.

Y cuando necesites supervisión experta, el SOC 24/7 de Huntress, Managed EDR y Managed Security Awareness Training se integran en tus operaciones para que puedas justificar de manera continua tus políticas, evidencia y capacitación ante los auditores.

Cuando los reguladores examinan tu programa, las aseguradoras deben proporcionar evidencia de cumplimiento normativo en ciberseguridad. Las solicitudes comunes de los examinadores incluyen:

• Registros centralizados y accesibles (acceso de usuarios, autenticación, acceso a datos confidenciales) conservados de tres a cinco años
• Documentación de respuesta ante incidentes que muestre cómo manejaste los eventos de seguridad
• Registros de capacitación que demuestren la concientización y el cumplimiento de las políticas de seguridad por parte del personal
• Informes de evaluación de riesgos, incluido el análisis de respaldo y los pasos de remediación de riesgos
• Evidencia de pruebas, incluidos ejercicios de simulación (tabletop) y evaluaciones de vulnerabilidades

Las aseguradoras con mejor desempeño integran la recopilación de evidencia en las operaciones diarias en lugar de apresurarse a reunir documentos a último momento. Incorpora la documentación en las prácticas diarias para que el cumplimiento normativo sea natural.

Las regulaciones de ciberseguridad para seguros reflejan el hecho de que las aseguradoras manejan algunos de los datos confidenciales más sensibles y enfrentan objetivos muy lucrativos para los cibercriminales. El cumplimiento normativo no requiere un presupuesto enorme. Requiere un enfoque organizado y metódico que vincule los controles de seguridad con los requisitos regulatorios, mantenga registros adecuados y trate el cumplimiento como un proceso continuo, no anual.

Las soluciones de Huntress, como Managed SIEM para evidencia y paneles, Managed ITDR para controles de identidad, Managed EDR para respuesta a incidentes, y Managed SAT para capacitación de empleados, ayudan a las aseguradoras a demostrar el cumplimiento normativo de manera continua y a mantener la seguridad operativa.

Si estás creando o mejorando un programa de cumplimiento normativo, contáctanos y descubre cómo nuestra plataforma alinea los controles, la documentación y los informes con lo que exigen los reguladores. Reserva una demo hoy.