Ciberseguridad de nivel corporativo.para Aseguradoras

Con autenticación de doble factor y permisos acotados estrictamente al rol: el productor alcanza emisión y consulta de su cartera, el perito sólo los expedientes que se le asignaron. Y con registro de actividad, para poder reconstruir qué hizo cada usuario externo. El riesgo es que el dispositivo del tercero no está bajo gestión de la compañía, así que el control tiene que estar del lado del acceso.

El resguardo, por encima de todo lo demás. Las capas de prevención —email, endpoint, DNS, firewall— reducen la probabilidad, pero la única garantía de recuperar la operación sin negociar es una copia inmutable o fuera de línea que el atacante no pueda cifrar. Conviene probar la restauración periódicamente: un backup que nunca se restauró es una hipótesis, no un respaldo.

La Ley 25.326 exige adoptar medidas técnicas y organizativas de seguridad sobre los datos personales que administra, y responder por ellos aun cuando el tratamiento lo haga un tercero. En la práctica eso implica controlar el acceso, registrar quién consulta qué y poder demostrar que los controles existen y operan.

Por identidad y resguardo, en ese orden. Doble factor en todos los accesos y un esquema de backup probado cubren los dos escenarios más frecuentes y más costosos: credencial comprometida y cifrado por ransomware. Recién después conviene invertir en las capas de detección, que sin esas dos bases dan visibilidad sobre un problema que igual no se puede contener.