Escaneo de Vulnerabilidades para Ciberriesgo: Qué Exige Tu Aseguradora

Estás renovando tu póliza de ciberriesgo. El corredor te envía el cuestionario de la aseguradora y llegas a la pregunta clave: "¿Realizan escaneos de vulnerabilidades periódicos?" Marcas "Sí" sin pensarlo demasiado. Al fin y al cabo, tu equipo ejecutó uno... hace ocho meses. Un escaneo puntual, externo, cuyos resultados reposan en un PDF que nadie ha vuelto a abrir.

La aseguradora no lo verifica en ese momento. Te emiten la póliza, pagas la prima y sigues con tu día a día.

Hasta que ocurre un incidente. Un ransomware entra por un servidor con una vulnerabilidad crítica publicada hace tres meses. Abres un siniestro. Y entonces la aseguradora sí audita. Pide logs, evidencias de escaneo, informes de remediación, registros de parcheo. Lo que encuentran es un único escaneo de hace ocho meses, sin evidencia de que se corrigiera nada. El resultado: denegación parcial o total de la cobertura por incumplimiento de los controles declarados.

Este escenario no es hipotético. Es la realidad de un mercado de ciberseguros que ha madurado enormemente en los últimos dos años. Las aseguradoras ya no se fían de lo que declaras. Quieren pruebas. Y si no las tienes, no pagan.

---

Qué exigen las aseguradoras en 2026

El modelo de suscripción de ciberseguros ha cambiado de forma radical. Durante años, conseguir una póliza era rellenar un cuestionario con preguntas genéricas: "¿Tienen antivirus?", "¿Hacen copias de seguridad?", "¿Tienen un plan de respuesta a incidentes?". La aseguradora aceptaba las respuestas tal cual y calculaba la prima en función de la facturación y el sector.

Ese modelo ha muerto. La oleada de reclamaciones por ransomware entre 2020 y 2024 obligó al sector a replantear su aproximación. Las pérdidas fueron tan elevadas que las aseguradoras entendieron que los cuestionarios de autoevaluación no servían como herramienta de valoración de riesgo. Demasiadas empresas declaraban cumplir controles que en la práctica no tenían implementados.

En 2026, el proceso de suscripción se basa en tres niveles de exigencia creciente.

Mínimo: escaneos trimestrales documentados. Prácticamente todas las aseguradoras del mercado europeo exigen evidencia de escaneos de vulnerabilidades externos e internos con una frecuencia mínima trimestral. No basta con decir que se hacen: hay que presentar los informes con fechas, alcance y resultados.

Habitual: monitorización continua. Las aseguradoras más sofisticadas — Hiscox, Beazley y las principales reaseguradoras — están exigiendo evidencia de monitorización continua de la superficie de ataque. No quieren cuatro fotos al año. Quieren ver que la empresa tiene visibilidad permanente sobre sus activos expuestos y que reacciona cuando aparecen nuevos riesgos.

Emergente: verificación técnica directa. La tendencia más clara del mercado es que las aseguradoras empiezan a realizar sus propios escaneos técnicos como parte del proceso de suscripción. Herramientas de rating de ciberriesgo como SecurityScorecard, BitSight o Qualys proporcionan una puntuación externa que la aseguradora usa para validar lo que la empresa declara. Si tu puntuación dice una cosa y tu cuestionario dice otra, la aseguradora se fía del dato técnico.

Además del escaneo de vulnerabilidades, las aseguradoras están verificando activamente la existencia de MFA en accesos remotos, la exposición de puertos RDP y la presencia de servicios obsoletos en el perímetro externo. Todo esto se puede comprobar desde fuera, sin necesidad de que la empresa colabore, y cada vez más lo hacen antes de emitir la póliza.

El cuestionario no va a desaparecer, pero su peso en la decisión de suscripción se reduce cada año. Lo que realmente importa es la evidencia técnica verificable. Y eso cambia completamente la forma en que una empresa debe prepararse para contratar o renovar su seguro cibernético.

---

Los 5 controles técnicos que toda aseguradora revisa

Cada aseguradora tiene su propio cuestionario, pero hay cinco controles que aparecen de forma recurrente en todos ellos. Si no cumples estos cinco, tu prima se encarece significativamente o directamente no consigues cobertura.

1. Escaneo de vulnerabilidades externas

La aseguradora quiere saber qué ve un atacante cuando mira tu infraestructura desde internet. Puertos abiertos, servicios expuestos, versiones de software con CVEs conocidos, certificados SSL caducados, paneles de administración accesibles sin protección.

Este es el control más básico y, paradójicamente, donde más empresas fallan. No porque no hagan escaneos, sino porque los hacen de forma esporádica y no documentan la remediación. Un escaneo que detecta 15 vulnerabilidades críticas y no tiene un informe posterior mostrando que se corrigieron es peor que no tener escaneo: demuestra que sabías del problema y no hiciste nada.

Lo que la aseguradora quiere ver: informes periódicos con fecha, alcance (IPs y dominios escaneados), hallazgos clasificados por severidad y evidencia de corrección con fechas concretas.

2. MFA en accesos remotos

La autenticación multifactor en VPN, RDP, correo electrónico y paneles de administración es el control número uno que las aseguradoras comprueban. Sin MFA, no hay póliza. Así de simple.

El motivo es estadístico: la mayoría de ataques de ransomware en los últimos años entraron por credenciales comprometidas en accesos remotos sin MFA. Las aseguradoras aprendieron por las malas que una empresa sin MFA es una reclamación en espera.

No vale tener MFA "en parte". Si tu VPN tiene MFA pero tu RDP está expuesto a internet con usuario y contraseña, la aseguradora lo detectará en su escaneo externo y lo tratará como incumplimiento. Todos los accesos remotos deben estar cubiertos, sin excepciones.

3. Backups: cifrados, offline y con restauración probada

Las aseguradoras no preguntan solo "¿Tienen backups?". Preguntan cómo están configurados. Los requisitos habituales incluyen cifrado en reposo y en tránsito, copia offline o air-gapped que no pueda ser alcanzada por ransomware a través de la red, y pruebas periódicas de restauración documentadas.

La prueba de restauración es donde muchas empresas tropiezan. Tener backups que nunca se han probado equivale a no tener backups. Un backup que no restaura correctamente cuando lo necesitas es inútil, y la aseguradora lo sabe. La documentación de pruebas de restauración con fecha y resultado es parte del expediente que deberías tener preparado.

4. Parcheo con SLAs definidos

Las aseguradoras quieren ver que la empresa tiene un proceso formal de gestión de parches con plazos definidos. Los SLAs más habituales que vemos en cuestionarios del mercado europeo son: vulnerabilidades críticas (con una puntuación CVSS de 9.0 o superior — en una escala de 0 a 10 que mide la gravedad) parcheadas en un máximo de 30 días, vulnerabilidades altas (CVSS 7.0-8.9) en un máximo de 60 días, y vulnerabilidades medias en un máximo de 90 días — aunque cada aseguradora define sus propios umbrales.

No se trata solo de tener la política escrita. La aseguradora quiere ver métricas reales: tiempo medio de parcheo, porcentaje de cumplimiento del SLA, tendencia a lo largo del tiempo. Si tu política dice 30 días pero tu tiempo medio real es de 90, la desviación es un problema.

El parcheo está directamente ligado al escaneo de vulnerabilidades: sin escaneo no sabes qué parchear, y sin parcheo el escaneo no sirve de nada. Las aseguradoras evalúan ambos como un proceso integrado.

5. Segmentación de red

Las redes planas donde todos los sistemas pueden comunicarse con todos son el escenario perfecto para un ransomware. Una vez dentro, se propaga lateralmente sin obstáculos hasta cifrar todo. Las aseguradoras lo saben y preguntan específicamente por la segmentación.

Los controles que revisan incluyen separación entre redes de producción y corporativas, aislamiento de sistemas críticos (bases de datos, servidores de backup, controladores de dominio), reglas de firewall interno que limiten el tráfico lateral y monitorización de movimiento lateral con alertas configuradas.

La segmentación no tiene que ser perfecta, pero sí demostrable. Un diagrama de red actualizado con las zonas de seguridad definidas y las reglas de firewall que las implementan es suficiente para la mayoría de aseguradoras.

---

El coste de no cumplir: denegación de cobertura

Contratar un ciberseguro y no cumplir los controles declarados es peor que no tener seguro. No solo no cobras, sino que has pagado una prima por nada y tienes una falsa sensación de seguridad que puede afectar tus decisiones de inversión en ciberseguridad.

Los casos de denegación de cobertura se han multiplicado en los últimos dos años. Los patrones más comunes son estos.

MFA declarado pero no implementado completamente. Una empresa declara en el cuestionario que tiene MFA en todos los accesos remotos. Sufre un ransomware que entra por RDP expuesto a internet sin MFA. La auditoría forense lo documenta. La aseguradora deniega la cobertura porque la declaración del cuestionario era falsa. El concepto legal se llama "declaración inexacta del riesgo" o, en términos anglosajones, material misrepresentation. Si la inexactitud fue intencionada, la póliza puede quedar anulada. Si fue negligente, la indemnización se reduce proporcionalmente al riesgo real. En ambos casos, el resultado es que no cobras lo que esperabas.

Escaneos sin remediación. La empresa puede demostrar que hacía escaneos periódicos. Pero los informes muestran vulnerabilidades críticas detectadas meses antes del incidente que nunca se corrigieron. La aseguradora reduce el pago argumentando que la empresa conocía el riesgo y no actuó con la diligencia debida. No es una denegación total, pero el pago se reduce significativamente -- a veces al 50 % o menos del importe reclamado.

Cuestionario desactualizado. La empresa rellenó el cuestionario hace un año durante la contratación. Desde entonces, han cambiado de proveedor de hosting, han expuesto nuevos servicios y han desactivado controles temporalmente "para una migración" que nunca terminó. La aseguradora argumenta que los cambios materiales en la postura de seguridad debían haberse comunicado.

La lección es clara: el cuestionario de la aseguradora no es un trámite administrativo. Es una declaración jurada sobre tu postura de seguridad. Todo lo que declares tiene que ser verdad, y tiene que seguir siendo verdad durante la vigencia de la póliza.

---

Escaneo continuo vs escaneo puntual

Si tu aseguradora te pide escaneos trimestrales, hacer exactamente cuatro escaneos al año es cumplir el mínimo. Pero el mínimo no es suficiente para protegerte de verdad.

Tu superficie de ataque cambia cada día. Un desarrollador despliega un servidor de staging el martes con un panel de administración expuesto. Si tu próximo escaneo es dentro de dos meses, ese servidor puede ser comprometido el miércoles y nadie se entera hasta que el daño está hecho. El escaneo trimestral detecta el problema retroactivamente, cuando ya es un incidente.

El escaneo continuo resuelve este problema de raíz. En lugar de hacer cuatro fotos al año, tienes una cámara encendida permanentemente. Cada nuevo activo, cada cambio de configuración, cada nueva vulnerabilidad publicada se detecta y evalúa en horas, no en meses.

Desde la perspectiva del ciberriesgo, el escaneo continuo ofrece tres ventajas fundamentales. Primera: la detección temprana reduce drásticamente la ventana de exposición. Una vulnerabilidad crítica detectada en 24 horas y parcheada en 48 no es lo mismo que una detectada tres meses después. Segunda: genera un historial continuo de evidencias que demuestra diligencia debida ante cualquier reclamación. No hay huecos temporales donde la aseguradora pueda cuestionar qué pasó. Tercera: permite identificar tendencias y medir la mejora de la postura de seguridad a lo largo del tiempo, que es exactamente lo que las aseguradoras más sofisticadas están empezando a valorar.

El coste de un escaneo continuo automatizado -- desde 49 €/mes en plataformas como Vulnerabbit -- es insignificante comparado con la prima de un ciberseguro o, peor aún, con la denegación de una cobertura de cientos de miles de euros.

---

Cómo presentar evidencias a tu aseguradora

Cuando llega el momento de renovar la póliza o abrir un siniestro, la diferencia entre una empresa preparada y una que no lo está se nota en la documentación. Estas son las evidencias que deberías tener listas.

Resumen ejecutivo con tendencia de riesgo. Un informe de alto nivel que muestre la puntuación de riesgo de tu organización y cómo ha evolucionado en los últimos 12 meses. Las aseguradoras quieren ver una tendencia descendente: que cada trimestre tu postura de seguridad mejora. Si la puntuación se mantiene o empeora, prepárate para justificarlo.

Cobertura del escaneo. Porcentaje de activos escaneados sobre el total de tu infraestructura, frecuencia de escaneo por tipo de activo y fecha del último escaneo completo. La aseguradora quiere saber que no tienes puntos ciegos. Un escaneo que cubre el 60 % de tus activos deja un 40 % de riesgo sin evaluar.

Tiempos de remediación. Métricas reales de cuánto tardas en corregir las vulnerabilidades detectadas, desglosadas por severidad. Tiempo medio de corrección para críticas, altas, medias y bajas. Porcentaje de cumplimiento respecto a tus SLAs de parcheo. Estas métricas son el indicador más directo de tu capacidad operativa de respuesta.

Mapeo de cumplimiento normativo. Si tu organización está sujeta a ISO 27001, ENS, NIS2 o cualquier otro marco, un informe que mapee tus controles de seguridad contra los requisitos del marco refuerza tu posición ante la aseguradora. Demuestra que no solo haces las cosas, sino que las haces dentro de un sistema de gestión reconocido.

Vulnerabbit genera toda esta documentación de forma automática. Cada escaneo alimenta el panel de riesgo, calcula los tiempos de remediación, actualiza la cobertura y exporta informes en formato PDF listos para entregar a tu corredor o directamente a la aseguradora. Sin compilar datos de tres herramientas distintas en una hoja de cálculo a las once de la noche del día antes de la renovación.

---

Vulnerabbit: escaneo continuo con evidencias para tu aseguradora

Preparar las evidencias que tu aseguradora necesita no debería ser un proyecto trimestral. Con Vulnerabbit, es un proceso automático que ocurre en segundo plano mientras tu equipo se centra en lo que importa.

La plataforma ejecuta escaneos continuos de tu superficie de ataque externa -- puertos, servicios, certificados, CVEs, configuraciones -- y genera informes ejecutivos exportables con todo lo que tu aseguradora necesita: puntuación de riesgo, cobertura de activos, tiempos de remediación y mapeo normativo.

Si tu empresa está en proceso de contratación o renovación de una póliza de ciberriesgo, empieza por evaluar tu situación actual. El escáner gratuito de Vulnerabbit analiza tu dominio en minutos y te muestra qué vería una aseguradora si escaneara tu infraestructura hoy.

Para empresas del sector seguros -- corredores, aseguradoras y MGAs que necesitan evaluar el riesgo de sus clientes -- tenemos una solución específica diseñada para integrar el escaneo de vulnerabilidades en el proceso de suscripción.

El ciberseguro es una red de seguridad, pero solo funciona si cumples los requisitos. El escaneo continuo de vulnerabilidades es la forma más directa de demostrarlo.