Seguros empresariales en Massachusetts
🗣 Hablamos español · Falamos português · English — llame al (781) 349-7360
El seguro de responsabilidad cibernética (cyber liability) paga lo que ocurre después de una violación de datos, un ataque de ransomware o una falla de sistemas: la investigación forense, el abogado especializado en violaciones de datos, las notificaciones exigidas por ley y los ingresos perdidos mientras los sistemas están caídos. Una póliza de responsabilidad civil general comercial (commercial general liability) generalmente no responde por nada de esto — la mayoría de los formularios modernos excluyen la pérdida electrónica de datos — y en Massachusetts las obligaciones de notificación de violaciones de datos se aplican a empresas de todos los tamaños.
Vale la pena conocer por su nombre dos requisitos de Massachusetts, porque ambos se activan por los datos que usted tiene y no por sus ingresos ni por su número de empleados.
De esto se derivan dos consecuencias que toman por sorpresa a los dueños de negocios. Primero, "información personal" es aquí un término definido que alcanza registros comerciales comunes: el nombre de un residente de Massachusetts junto con un número de Seguro Social, un número de licencia de conducir o de identificación estatal, o un número de cuenta financiera, de tarjeta de crédito o de tarjeta de débito que permita acceder a la cuenta financiera del residente. Un archivo de nómina califica. Una carpeta con los formularios I-9 de los empleados califica. Un contratista con ocho empleados y sin base de datos de clientes muy probablemente tiene información personal de residentes de Massachusetts.
En segundo lugar, estas obligaciones siguen al residente, no a su domicilio. Una empresa de New Hampshire con clientes de Massachusetts o empleados de Massachusetts queda dentro del alcance de las normas.
Somos una agencia de seguros, no su abogado. Si estos requisitos se aplican a su empresa en particular, y cómo — y lo que debe decir su WISP —, es una pregunta para un abogado. Lo que sí podemos hacer es asegurarnos de que, si algo sale mal, el costo de cumplir esté asegurado en lugar de pagarse de su cuenta operativa. El texto vigente de ambos requisitos lo publica el estado de Massachusetts (Commonwealth); los enlaces están al final de esta página.
Las pólizas cibernéticas se dividen en dos mitades. El lado de primera parte (first-party) paga sus propios costos. El lado de terceros (third-party) paga lo que usted les debe a otras personas. La mayoría de los reclamos de pequeñas empresas caen del lado de primera parte.
| Cobertura | A qué responde | Lado |
|---|---|---|
| Respuesta a violaciones de datos / respuesta a incidentes (breach / incident response) | Análisis forense, abogado especializado en violaciones de datos, notificación a las personas afectadas y a los reguladores, centro de llamadas, monitoreo de crédito | Primera parte |
| Extorsión cibernética (cyber extortion) / ransomware | Negociación y pago del rescate donde la ley lo permita, y el trabajo de recuperación relacionado | Primera parte |
| Interrupción del negocio (business interruption) | Ingresos perdidos y gastos adicionales incurridos mientras los sistemas están caídos | Primera parte |
| Interrupción de negocio dependiente (dependent business interruption) | Ingresos perdidos cuando el que se cae es su proveedor o su proveedor de servicios en la nube, no usted | Primera parte |
| Restauración de datos | Recrear o restaurar datos y sistemas que se dañaron o destruyeron | Primera parte |
| Fraude por transferencia de fondos (funds transfer fraud) / ingeniería social | Dinero transferido por una instrucción fraudulenta — muy comúnmente con sublímite, a veces excluido y a veces solo en la póliza de delitos (crime policy) | Primera parte |
| Responsabilidad por seguridad de la red y privacidad | Reclamaciones presentadas contra usted por personas cuyos datos usted tenía, o por terceros perjudicados a través de su red | Terceros |
| Defensa regulatoria y sanciones | Procedimientos regulatorios y multas, donde la ley permita asegurar las multas | Terceros |
| Responsabilidad por medios (media liability) | Reclamaciones por difamación y por propiedad intelectual derivadas de su sitio web y su contenido | Terceros |
| Multas y cargos PCI (PCI fines and assessments) | Cargos de las marcas de tarjetas tras una violación de datos de tarjetas de pago, si usted acepta tarjetas | Terceros |
No lo pone a usted en cumplimiento. Una póliza no es un programa escrito de seguridad de la información (WISP), y comprar una no satisface la 201 CMR 17.00. No paga para mejorar los sistemas que permitieron el incidente — las mejoras (betterment) generalmente están excluidas. Rara vez responde por una pérdida que usted podría haber evitado aplicando un parche que le dijo a la aseguradora que ya había aplicado. Y no cubre el costo reputacional de la llamada que tendrá que hacerle a su mejor cliente.
Lo que sí hace es marcar la diferencia entre una semana costosa y el fin del negocio. Los costos de respuesta a una violación de datos llegan en las primeras setenta y dos horas, antes de que usted tenga idea de cuál será la responsabilidad final, y llegan lo demande alguien o no.
El seguro cibernético suele ser una de las últimas coberturas que agrega una empresa y una de las líneas más económicas de la cuenta en relación con lo que hace. Se ubica junto a la responsabilidad civil general, la propiedad, el auto comercial y la compensación laboral (workers' compensation) — y cuando todo eso está repartido entre cuatro agencias, nadie está mirando la exposición completa. Consolidar la cuenta es la forma de resolverlo.
Probablemente sí. Massachusetts define la información personal de forma tan amplia que los registros de nómina por sí solos — el nombre de un residente más un número de Seguro Social — lo colocan dentro de la 201 CMR 17.00 y de la ley de notificación de violaciones de datos. Los datos de tarjetas son un factor desencadenante entre varios, no el único.
Un programa escrito de seguridad de la información (Written Information Security Program, WISP) es el plan de seguridad documentado que la 201 CMR 17.00 exige a toda persona que sea propietaria o licenciataria de información personal sobre un residente de Massachusetts. Si el requisito alcanza a su empresa en particular, y lo que debe contener su WISP, es una cuestión legal: consulte a un abogado. Una póliza de seguro cibernético no lo sustituye.
Generalmente no. La responsabilidad civil general comercial responde por lesiones corporales y daños físicos a la propiedad, y la mayoría de los formularios modernos incluyen una exclusión explícita por la pérdida electrónica de datos. Los costos de respuesta a violaciones de datos, la notificación, la interrupción del negocio por una caída de sistemas y la responsabilidad por privacidad corresponden a una póliza cibernética.
Las pólizas cibernéticas comúnmente incluyen una sección de cobertura de extorsión cibernética (cyber extortion) que cubre la negociación, el pago donde la ley lo permita y el trabajo de recuperación, junto con la interrupción del negocio mientras usted está sin operar. Los términos y sublímites varían considerablemente entre aseguradoras, y algunas aseguradoras ahora condicionan la cobertura a controles como la autenticación multifactor y las copias de seguridad fuera de línea.
Eso es ingeniería social o fraude por transferencia de fondos, y es la sección de cobertura que hay que revisar con más cuidado. Muchas pólizas le aplican un sublímite muy por debajo del límite de la póliza, algunas la excluyen y, en algunas cuentas, corresponde más bien a una póliza de delitos. Pida por escrito el sublímite específico antes de formalizar la contratación (bind).
Las obligaciones están vinculadas a la información personal de los residentes de Massachusetts, no al domicilio de su empresa. Si usted tiene datos de residentes de Massachusetts — clientes o empleados —, suponga que los requisitos lo alcanzan y confírmelo con un abogado.
Parta de lo que le costaría un evento real: de cuántas personas tiene registros, cuánto costarían la notificación y el monitoreo de crédito para esa cantidad de personas, y cuántos ingresos perdería por cada día sin operar. Eso produce una cifra justificable. Un límite elegido porque era la opción más barata, no.
Envíenos sus pólizas empresariales actuales. Le diremos si tiene alguna cobertura cibernética, cuáles son los sublímites y dónde están las brechas — sin costo y sin compromiso.
Esta página es una traducción del original en inglés, ofrecida para su comodidad. Si existe alguna diferencia entre ambas versiones, prevalece la versión en inglés.
Esta página contiene información general para empresas de Massachusetts. No es asesoramiento legal, ni una cotización, ni una promesa de cobertura. Si alguna ley o reglamento se aplica a su empresa, y lo que le exige, es una pregunta para su abogado. Los términos de cobertura, sublímites, exclusiones y disponibilidad varían según la aseguradora y la póliza; la cobertura está sujeta a suscripción y solo entra en vigor cuando una aseguradora la confirma por escrito. Nada de lo aquí expuesto modifica los términos de ninguna póliza emitida.