¿Solicita un ciberseguro, renueva una póliza o completa el apartado de seguridad informática que hoy incluyen cada vez más las aseguradoras de responsabilidad civil profesional? Las preguntas son técnicas: autenticación multifactor, copias de seguridad, protección de puntos de conexión, aplicación de parches, cuentas de administrador, seguridad del correo y respuesta a incidentes. Cyber Insurance Express le ayuda a preparar cada respuesta a partir de lo que realmente está configurado en su inquilino de Microsoft 365, e indica con claridad qué preguntas Microsoft 365 no puede responder.
El cuestionario de seguridad se ha convertido en una parte central de la contratación o renovación de un ciberseguro, y rara vez es fácil responderlo con precisión.
¿Se exige la autenticación multifactor para todo acceso remoto y para todo administrador? ¿Se guardan las copias de seguridad sin conexión o de forma inmutable, y se ha probado una restauración? ¿Todos los puntos de conexión ejecutan una herramienta de detección y respuesta? ¿Está desactivada la autenticación heredada del correo? Un gerente de empresa, un director financiero o incluso un generalista de TI con poco tiempo rara vez tiene estas respuestas a mano, y menos con pruebas.
El cuestionario forma parte de cómo la aseguradora entiende el riesgo que acepta. Una respuesta que resulta inexacta puede convertirse en un motivo de discusión con la aseguradora, especialmente tras un incidente. Las consecuencias exactas dependen de su contrato y de la ley que lo rige: consúltelas con su corredor o su aseguradora. Lo que usted controla es la exactitud de lo que declara.
Verificar una por una las políticas de acceso condicional, las asignaciones de roles de administrador, los protocolos de buzón, los registros DNS de autenticación del correo, el cumplimiento de los dispositivos y el registro de auditoría, pregunta por pregunta, supone horas de trabajo en varios portales de administración. En una empresa pequeña o mediana, ese trabajo compite con todo lo demás que debe hacer el equipo de TI.
Nueva solicitud, renovación anual, cambio de corredor o de aseguradora, licitación de un gran cliente que pregunta por su cobertura: vuelven las mismas preguntas, a menudo redactadas de otra forma. Sin un expediente de pruebas estructurado, cada ronda empieza de cero y el trabajo anterior se pierde.
Cada aseguradora redacta su propio cuestionario, y la redacción cambia de un formulario a otro y de un año a otro. Los temas siguientes son los que aparecen con frecuencia. Se describen aquí como temas recurrentes, no como una cita del formulario de ninguna aseguradora en particular.
Para cada tema, explicamos qué intenta establecer normalmente la pregunta, qué puede mostrar su inquilino de Microsoft 365 como prueba y qué queda fuera de Microsoft 365 y debe documentarse de otra forma. Los enlaces remiten a la documentación pública de Microsoft sobre la función correspondiente.
Lo que suele preguntarse: ¿se exige MFA para el correo, el acceso remoto, las aplicaciones en la nube y cada cuenta de administrador, con o sin excepciones?
Lo que puede mostrar Microsoft 365: si los valores predeterminados de seguridad están activados o qué políticas de acceso condicional exigen MFA, a quién se aplican y quién queda excluido; los métodos de autenticación registrados por los usuarios; y si los protocolos de autenticación heredados, que no pueden llevar MFA, están bloqueados.
Fuera de M365: una VPN, una puerta de enlace de Escritorio remoto o una aplicación de negocio que no inicia sesión mediante Microsoft Entra ID debe documentarse por separado.
Lo que suele preguntarse: ¿se realizan copias de seguridad de los sistemas y datos críticos, está al menos una copia aislada de la red o protegida contra modificaciones, con qué frecuencia, y cuándo se probó por última vez una restauración?
Lo que puede mostrar Microsoft 365: poco que responda a esta pregunta. La configuración de retención de Microsoft 365 no es una copia de seguridad aislada de sus propias cuentas de administrador, y no la presentaremos como tal.
Fuera de M365: su solución de copias de seguridad, el aislamiento de sus copias y sus informes de pruebas de restauración. El asistente guiado le pide que los describa y adjunte sus propias pruebas, y el documento etiqueta esta respuesta como declarada, no medida.
Lo que suele preguntarse: ¿están todas las estaciones de trabajo y servidores protegidos por una herramienta de detección y respuesta en puntos de conexión, se supervisa, y están cifrados los dispositivos?
Lo que puede mostrar Microsoft 365: cuando los dispositivos se administran con Microsoft Intune y se protegen con Microsoft Defender, el inventario de dispositivos, los resultados de las políticas de cumplimiento (por ejemplo, cifrado y versión mínima del sistema operativo) y las recomendaciones de seguridad que notifica la Puntuación de seguridad de Microsoft.
Fuera de M365: un EDR de terceros, dispositivos no administrados y servidores locales no inscritos en herramientas de Microsoft. Se señalan, no se suponen.
Lo que suele preguntarse: ¿con qué rapidez se aplican las actualizaciones de seguridad, siguen en uso sistemas operativos sin soporte y se hace seguimiento de las vulnerabilidades críticas en los sistemas expuestos a Internet?
Lo que puede mostrar Microsoft 365: para los dispositivos administrados con Intune, las reglas de cumplimiento sobre versiones mínimas del sistema operativo y qué dispositivos las incumplen; cuando hay licencia, las recomendaciones de Defender.
Fuera de M365: equipos de red, firewalls, servidores y aplicaciones de negocio, y su propio procedimiento de aplicación de parches. El asistente le ayuda a describirlo en lenguaje claro.
Lo que suele preguntarse: ¿cuántas personas tienen derechos de administrador, usan cuentas separadas para el trabajo diario, se exige MFA para ellas, y el acceso privilegiado tiene una duración limitada o está aprobado?
Lo que puede mostrar Microsoft 365: quién ocupa qué rol de administrador de Microsoft Entra, si las asignaciones son permanentes o elegibles mediante Privileged Identity Management (cuando hay licencia), y si la MFA se aplica a esos roles.
Fuera de M365: cuentas de administrador local en servidores y estaciones de trabajo, administradores de dominio en un Active Directory local, y acceso de administración a sistemas de terceros.
Lo que suele preguntarse: ¿están implantados SPF, DKIM y DMARC, se filtran el phishing y los adjuntos maliciosos, están desactivados los protocolos heredados de buzón, y se controla el reenvío automático a direcciones externas?
Lo que puede mostrarse: los registros SPF y DMARC publicados de sus dominios (datos DNS públicos), la configuración de firma DKIM, las políticas de protección de Exchange Online y Defender para Office 365, y los protocolos permitidos en los buzones.
Fuera de M365: una pasarela de correo de terceros colocada delante de Microsoft 365, y la formación de concienciación de los usuarios, que usted documenta por su cuenta.
Lo que suele preguntarse: ¿existe un plan escrito de respuesta a incidentes, a quién se llama primero, se ha ejercitado, y se conservan los registros de seguridad el tiempo suficiente para investigar?
Lo que puede mostrar Microsoft 365: si el registro de auditoría unificado está activo y es consultable, y la retención que le corresponde. Microsoft documenta que la auditoría (estándar) está habilitada de forma predeterminada en las organizaciones con la suscripción adecuada y conserva los registros durante 180 días.
Fuera de M365: el plan en sí. El asistente genera un primer borrador de un plan de respuesta breve, que incluye, para las organizaciones en Francia, el paso de presentar denuncia en un plazo de 72 horas (véase más abajo).
Los cuestionarios también suelen preguntar por el número de empleados y de registros que se conservan, los incidentes previos, el uso de proveedores de servicios con acceso a sus sistemas, el cifrado de datos y la formación en seguridad. Algunos de estos datos solo usted puede declararlos. Otros, como la configuración de compartición externa o las cuentas de invitado en Microsoft 365, pueden medirse.
La propia Puntuación de seguridad de Microsoft indica que no es una medida absoluta de la probabilidad de sufrir una brecha. Usamos los ajustes medidos como prueba de respuestas concretas, nunca como garantía.
De dónde procede cada respuesta y cómo se etiquetará en su documento.
| Tema | De dónde procede la prueba | Etiqueta en su documento |
|---|---|---|
| MFA | Microsoft Entra ID: valores predeterminados de seguridad, políticas de acceso condicional, métodos de autenticación registrados, estado de la autenticación heredada | Medido, con las excepciones enumeradas por nombre de política o grupo |
| Copias de seguridad | Su herramienta de copias de seguridad e informes de pruebas de restauración | Declarado por usted, con sus adjuntos |
| Protección de puntos de conexión | Intune y Defender, cuando se usen; si no, su consola EDR | Medido para los dispositivos administrados; declarado para el resto |
| Aplicación de parches | Resultados de cumplimiento de Intune; su procedimiento para servidores y equipos de red | Parcialmente medido, parcialmente declarado |
| Cuentas privilegiadas | Asignaciones de roles de Microsoft Entra, Privileged Identity Management cuando haya licencia | Medido para Microsoft 365; declarado para lo local |
| Seguridad del correo | DNS público (SPF, DMARC), configuración DKIM, políticas de Exchange Online y Defender para Office 365 | Medido |
| Respuesta a incidentes y registros | Estado del registro de auditoría unificado; su plan escrito | Registros medidos; plan redactado en el asistente, validado por usted |
Regla básica: nada del documento se presenta como medido si no se ha medido. Una pregunta que Microsoft 365 no puede responder queda marcada de forma visible como tal, para que usted, y no una herramienta, decida qué declarar a su aseguradora.
Un recorrido de autoservicio en cuatro pasos. Usted mantiene el control desde la primera pregunta hasta el documento final.
Un test breve en línea: ¿solicita un ciberseguro, lo renueva, o responde al apartado de seguridad informática de una póliza de responsabilidad civil profesional u otra? ¿Está su empresa situada en Francia, donde se aplica la regla de denuncia en 72 horas? ¿Qué partes de su informática funcionan con Microsoft 365? El resultado le indica qué temas le aplican y qué deberá reunir.
Un asistente en línea le guía por cada tema. Usted responde libremente, a su ritmo, con explicaciones sobre lo que significa cada pregunta y por qué la preguntan las aseguradoras. Cuando Microsoft 365 puede aportar pruebas, el resultado medido se sitúa junto a su respuesta, de modo que cualquier diferencia entre lo que cree y lo que está configurado se haga visible antes de declarar nada.
Recibe un documento estructurado a nombre de su empresa: respuestas tema por tema, la prueba adjunta a cada una, los puntos fuera de alcance señalados y un primer borrador de hoja de respuesta a incidentes. Es una base de trabajo, que su propio asesor, corredor o abogado debe revisar y validar antes de usarla.
Si desea una segunda opinión, un consultor asociado puede revisar el documento con usted, ayudar a cerrar las brechas antes de la renovación o documentar los puntos que quedan fuera de Microsoft 365. Este paso es opcional; los tres primeros están pensados para completarse por su cuenta.
Importante: el documento es una base de trabajo y no constituye asesoramiento jurídico. No sustituye al cuestionario de su aseguradora, que usted completa y firma personalmente, y no compromete a ninguna aseguradora a cubrirle. La exactitud de su declaración final sigue siendo su responsabilidad.
Un único expediente de pruebas, honesto sobre lo que se midió y lo que no, que puede reutilizar en cada renovación.
Una respuesta clara para cada tema recurrente, lista para trasladarla al formulario propio de su aseguradora.
Los ajustes que respaldan cada respuesta, tal como se encontraron en su inquilino en la fecha de medición.
Cuando su respuesta y la configuración medida no coinciden, aparece aquí en primer lugar.
Un primer borrador breve que completar con sus propios contactos y validar internamente.
Cada afirmación legal o normativa del documento remite a su fuente oficial.
El año siguiente, vuelva a medir y compare en lugar de empezar de nuevo.
Dos minutos para separar lo que es una norma legal de lo que es buena práctica, con la fuente oficial en cada caso.
Desde el 24 de abril de 2023, el artículo L12-10-1 del Código de Seguros francés condiciona cualquier pago del seguro que compense pérdidas y daños causados por un ataque a un sistema de tratamiento automatizado de datos a que la víctima presente denuncia ante las autoridades competentes en un plazo máximo de 72 horas desde que tiene conocimiento del ataque. El plazo empieza cuando usted tiene conocimiento del ataque, no cuando este comenzó.
El artículo fue creado por el artículo 5 de la Ley n.º 2023-22, de 24 de enero de 2023 (conocida como LOPMI). No obliga a nadie a contratar un ciberseguro: fija una condición para ser pagado cuando un contrato ya cubre los ciberataques.
Una ficha del Ministerio del Interior distribuida a través de Cybermalveillance.gouv.fr, la plataforma gubernamental francesa para las víctimas de ciberataques, recuerda a las víctimas profesionales que la ley de 2023 les exige presentar denuncia para conservar su derecho a indemnización con arreglo a su contrato de seguro, en un plazo de 72 horas desde que tienen conocimiento del ataque. También incluye la activación del proceso de indemnización del seguro entre los motivos para presentar denuncia.
La Agencia de la Unión Europea para la Ciberseguridad (ENISA) publicó «Cyber Insurance - Models and methods and the use of AI» el 21 de febrero de 2024. Su objetivo declarado es presentar el ciberriesgo y el ciberseguro, ofrecer una visión general de los enfoques de investigación y modelización existentes, e identificar lagunas para investigaciones futuras. Es un trasfondo útil sobre por qué las aseguradoras tratan de evaluar la postura de seguridad de las empresas que cubren.
Para las entidades incluidas en su ámbito, el artículo 21 de la Directiva (UE) 2022/2555 (NIS2) enumera las medidas de gestión de riesgos de ciberseguridad, que incluyen la gestión de incidentes, la continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, las prácticas básicas de ciberhigiene y la formación en ciberseguridad, el control de acceso y el uso de la autenticación multifactor. Incluso fuera de NIS2, el solapamiento con los temas de las aseguradoras hace que las pruebas que reúna para una sirvan también para la otra.
La ANSSI, la agencia nacional francesa de ciberseguridad, y la AMRAE, la asociación francesa de gestores de riesgos y seguros, publicaron una guía para directivos, «Controlling the digital risk - the trust advantage», disponible en inglés y en francés. Presenta la gestión del riesgo digital como un enfoque paso a paso para organizaciones de todos los tamaños, que es exactamente el marco en el que debe leerse el cuestionario de una aseguradora.
El artículo 32 del Reglamento General de Protección de Datos (RGPD) exige medidas técnicas y organizativas adecuadas, incluida, cuando proceda, la capacidad de restaurar la disponibilidad de los datos personales de forma oportuna tras un incidente, y un proceso de verificación, evaluación y eficacia regulares de dichas medidas. Las copias de seguridad, las pruebas de restauración y el control de acceso importan, por tanto, mucho más allá de su expediente de seguro.
Fuera de Francia: la regla de denuncia en 72 horas anterior es ley francesa. Otros países tienen sus propias normas sobre seguros y sobre la denuncia de ciberdelitos, y su contrato puede fijar plazos de notificación propios. Consúltelos con su corredor, su aseguradora o su asesor jurídico. Esta página es información, no asesoramiento jurídico.
Lo que contiene cada opción. La disponibilidad y las condiciones se publicarán cuando se abra el servicio.
Solicita un ciberseguro, o responde por primera vez a un apartado de seguridad informática.
El cuestionario vuelve con su renovación y su informática ha cambiado desde el año pasado.
Un formulario nuevo, redactado de otra forma, pero que pregunta por los mismos controles.
Respuestas breves, con la fuente oficial cuando interviene una norma.
Consultadas el 13 de octubre de 2026. Cuando un texto está en francés, la traducción de esta página es nuestra y no oficial.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender y Purview son marcas de Microsoft. Se citan solo para nombrar las funciones de las que se lee la prueba. SYAGA Consulting no está afiliada a Microsoft, ENISA, ANSSI ni a ninguna aseguradora.
El recorrido de autoservicio se está preparando. Mientras tanto, preguntas: contact@syaga.eu
Base de trabajo, no asesoramiento jurídico. La declaración final a su aseguradora, y su exactitud, siguen siendo su responsabilidad.