11.3: Riesgos de propiedad de comercio electrónico

Objetivos de aprendizaje

En esta sección detallamos lo siguiente:

• La mayor frecuencia y severidad de los riesgos de propiedad del comercio electrónico
• Cinco categorías principales de riesgos de propiedad de comercio electrónico
• Pasos de control de pérdidas que pueden reducir los riesgos de propiedad del comercio electrónico
• Disponibilidad de seguros como medio de transferencia de riesgos de propiedad de comercio electrónico

Este capítulo, como se señaló anteriormente, introduce áreas que están creciendo en importancia en el mundo de los seguros. Casi todos los hogares, familias y negocios tienen exposiciones de riesgo debido al uso de computadoras, Internet y la Web; nos referimos a esto como riesgo de propiedad de comercio electrónico. Piensa en tus propios cursos en la universidad. Cada profesor enfatiza su comunicación con usted en el sitio Web para el curso. Utiliza Internet como herramienta de investigación. Cada vez que inicias sesión, estás expuesto a riesgos del ciberespacio. Lo más familiar para ti es el riesgo de virus. Pero hay muchas exposiciones de riesgo adicionales de negocios electrónicos, tanto para usted como individuo como para negocios. Los negocios con presencia en la Web son aquellos que ofrecen servicios profesionales en línea y/o compras en línea. Algunos negocios son de empresa a consumidor (BTC); otros son de empresa a empresa (BTB).

Independientemente de la naturaleza del uso de Internet, los ciberataques se han vuelto más frecuentes y han dado lugar a grandes pérdidas financieras. Según el Instituto de Seguridad Informática 2002/Oficina Federal de Investigaciones (CSI/FBI) Encuesta sobre delitos informáticos y seguridad, las pérdidas relacionadas con Internet aumentaron de 100 millones de dólares en 1997 a 456 millones de dólares en 2002. Richard Power, “Computer Security Issues & Trends”, Vol. VIII, Mo I. La encuesta fue realizada por el Instituto de Seguridad Informática (CSI) con la participación del Escuadrón de Intrusión Informática de la Oficina Federal de Investigaciones de San Francisco. Fundada en 1974, CSI tiene miles de miembros en todo el mundo y ofrece una amplia variedad de programas de información y educación para ayudar a proteger los activos de información de corporaciones y organizaciones gubernamentales. Para mayor información, diríjase a http://www.gocsi.com. La sexta encuesta anual de fraude de CyberSource indicó un aumento de 700 millones de dólares (37 por ciento) en la pérdida de ingresos en 2004, respecto de los 2.600 millones de dólares estimados en 2003. Las pequeñas y medianas empresas fueron las más afectadas. Estas pérdidas están en línea con el rápido crecimiento de los ingresos del comercio electrónico. La 6ª Encuesta Anual de Fraude de CyberSource fue patrocinada por CyberSource Corporation y realizada por Mindwave Research. La encuesta se realizó del 17 de septiembre al 1 de octubre de 2004, y arrojó 348 respuestas calificadas y completas (versus 333 del año anterior). La muestra se extrajo de una base de datos de empresas involucradas en actividades de comercio electrónico. Copias de la encuesta están disponibles visitando http://www.cybersource.com/fraudreport/.

Hoy en día, las empresas están tomando conciencia de sus exposiciones al riesgo de comercio electrónico. En cada foro de reuniones de aseguradoras y en todos los medios de seguros, la exposición al riesgo electrónico se discute como una de las mayores exposiciones al riesgo “menos entendidas”. Por ejemplo, véase Lee McDonald,” Aseguradora señala los riesgos del comercio electrónico”, Best's Review, febrero de 2000; Ron Lent, “Electronic Risk Gives Insurers Pause”, National Underwriter, Property & Casualalty/Risk & Benefits Management Edition, 7 de mayo de 2001; Caroline Saucer, “Technological Advances: Web Site Design Braves Clues to Underwriting Online Risks”, Best's Review, diciembre de 2000. En este capítulo, discutimos los peligros y peligros de la exposición al riesgo de comercio electrónico para el propio negocio como primera parte. En “12: The Liability Risk Management”, discutiremos el lado de responsabilidad de la exposición al riesgo de los negocios debido a Internet y conexiones en línea. A continuación, se discuten los peligros y peligros de los negocios electrónicos en general.

Causas de pérdida en el comercio electrónico

La encuesta del CSI/FBI de 2004 proporcionó muchas categorías de las causas de las pérdidas en el área de sistemas computadoras/electrónicos. Por frecuencia, el orden de causas de pérdidas de 2004 fueron: virus (78 por ciento); abuso interno de acceso a la red (59 por ciento); robos de computadoras portátiles/móviles (49 por ciento); acceso no autorizado a la información (39 por ciento); penetración del sistema (37 por ciento); denegación de servicio (17 por ciento); robo de propiedad información (10 por ciento); y sabotaje, fraude financiero y fraude de telecomunicaciones (menos del 10 por ciento). Esta lista no da cuenta de la gravedad de las pérdidas en 2004; sin embargo, los 269 encuestados a esta sección de la encuesta reportaron pérdidas que alcanzaron los $141.5 millones.

La encuesta del CSI/FBI de 2004 abarcó un amplio espectro de exposición al riesgo en el comercio electrónico, tanto para pérdidas de primera parte ( interrupción de la propiedad y del negocio) como de terceros (pérdidas de responsabilidad, cubiertas en “12: The Liability Risk Management”). Como puede ver en este resumen de la encuesta y otras fuentes, las causas de los riesgos de propiedad del comercio electrónico son numerosas. Podemos agrupar estos riesgos en cinco grandes categorías:

• Robos de hardware y software (pérdidas de activos de información y corrupción debido a hackers, vandalismo y virus)
• Cambios tecnológicos
• Cambios normativos y legales
• Infracciones de marcas
• Delitos de telefonía basada en Internet

Robos de Hardware y Software

Las empresas se han vuelto rápidamente dependientes de las computadoras. Cuando el sistema informático de una empresa está caído, independientemente de la causa, la compañía corre el riesgo de perder semanas, meses o posiblemente años de datos. Las empresas almacenan la mayor parte de su información en computadoras. Las bases de datos de clientes, la información de contacto, la información del proveedor, los formularios de pedido y casi todos los documentos que una empresa utiliza para realizar negocios se almacenan en el sistema informático. Las pérdidas por robo de información propietaria, sabotaje de redes de datos o escuchas de telecomunicaciones pueden causar grandes pérdidas en la base de infraestructura de un negocio, ya sea por piratas informáticos externos o por empleados descontentos con información privilegiada.

Los hackers y los crackers pueden causar daños costosos, si no fatales, a los sistemas informáticos de una empresa. Los hackers son vándalos virtuales que intentan hacer agujeros en la red de seguridad de una empresa.George S. Sutcliffe, Esq., E-Commerce and Insurance Risk Management (Boston: Standard Publishing Corp., 2001), 13. Los hackers pueden estar satisfechos con desfigurar los sitios web, mientras que los crackers son vándalos que quieren entrar en la red de seguridad de una empresa y robar información patentada para beneficio personal. Los terroristas potenciales suelen clasificarse como galletas. Su objetivo es golpear a empresas específicas para derribar sistemas, robar datos o modificar datos para destruir su integridad. Los iniciados son empleados internos molestos con la empresa por alguna razón, tal vez por un despido o un fracaso para obtener una promoción esperada. El acceso interno a la red informática de la empresa, y el conocimiento de cómo utilizarla, le da a este grupo el potencial de causar el mayor daño a un negocio.

Un virus es un programa o código que se replica dentro de una computadora personal o una estación de trabajo con la intención de destruir un sistema operativo o programa de control. Cuando se replica, infecta otro programa o documento.Adaptado del glosario en línea de Symantec, un proveedor mundial de soluciones de seguridad en Internet, en www.symantec.com/avcenter/refa.html.

Cambios Tecnológicos

Otro riesgo que enfrentan las empresas en el mundo cibernético es el rápido avance de la tecnología. Cuando una empresa actualiza su sistema informático, su paquete de software o el proceso para realizar negocios usando el sistema informático, el negocio se interrumpe mientras los empleados aprenden a realizar negocios usando el nuevo sistema. El resultado de este tiempo de inactividad es la pérdida de ingresos.

Cambios normativos y legales

Casi tan rápido como Internet está creciendo, el gobierno está agregando y cambiando las leyes de comercio electrónico aplicables. En el pasado, había pocas leyes porque Internet no se exploraba completamente ni se entendía completamente, pero ahora, las leyes y regulaciones van en aumento. Así, las empresas dedicadas al comercio electrónico enfrentan riesgos legales derivados de la participación gubernamental. Un ejemplo de una ley que es probable que cambie es la venta libre de impuestos por Internet. No hay impuesto sobre las ventas impuesto a los comerciantes (y por lo tanto al consumidor) sobre las ventas por Internet entre estados en parte porque el gobierno aún no ha determinado cómo deben distribuir los estados los ingresos fiscales. A medida que aumenta el volumen de compras en línea, también lo hacen las consecuencias de la pérdida de ingresos por impuestos sobre ventas del comercio electrónico

La falta de abogados calificados para manejar casos que surgen de disputas de comercio electrónico es otro nuevo riesgo. Hay muchas áreas de e-law en las que los abogados aún no están especializados. Las leyes no sólo son complejas y tediosas, sino que también están cambiando rápidamente. En consecuencia, es difícil para los abogados mantenerse al tanto de cada ley que gobierna y regula el ciberespacio.

Infracciones de Marcas

Las disputas de nombres de dominio son una preocupación seria para muchas empresas. En la mayoría de los casos, las disputas sobre los derechos de un nombre de dominio resultan de dos hechos específicos. El secuestro de nombres de dominio ocurre cuando un individuo o una empresa se reserva un nombre de dominio que usa la marca comercial de un competidor. El otro evento surge cuando una empresa o un individuo se reserva el nombre o marca comercial bien reconocida de una empresa no relacionada como nombre de dominio con la intención de vender el nombre de dominio al titular de la marca comercial. Solicitar una compensación por el uso de un nombre de dominio registrado del titular legítimo de la marca se conoce como ciberocupación. George S. Sutcliffe, Esq. , E-Commerce and Insurance Risk Management (Boston: Standard Publishing Corp., 2001), 13.

Un caso reciente que involucra ciberocupación es Personas para el Tratamiento Ético de los Animales v. Doncella. En agosto de 2001, el Tribunal de Apelaciones del Cuarto Circuito sostuvo que el demandado, Michael Doughney, era culpable de infracción de marca de servicio y competencia desleal, y había violado la Ley de Protección al Consumidor Anticiberocupación (ACPA). Doughney había creado un sitio web en http://www.peta.org, que contenía la marca de servicio registrada PETA. People for the Ethical Treatment of Animals (PETA) es una organización de derechos de los animales que se opone a la explotación de animales con fines de alimentación, vestimenta, entretenimiento y vivisección. Cuando los usuarios escribieron http://www.peta.org, esperaban llegar al sitio para Personas para el Tratamiento Ético de los Animales. En cambio, sorprendentemente llegaron a People Eating Tasty Animals, un “recurso para quienes disfrutan comiendo carne, vistiendo pieles y cuero, cazando, y los frutos de la investigación científica”. El sitio contenía enlaces a una serie de organizaciones que sostenían opiniones generalmente opuestas a las de PETA. Personas por el trato ético de los animales v. Doughney, núm. 00-1918 (4º Cir2001); www.phillipsnizer.com/internetlib.htm. En dos ocasiones, Doughney sugirió que si PETA quería uno de sus dominios, o se oponía a su registro, podría “hacerme una oferta” o “negociar un acuerdo”.

El secuestro del sitio web ocurre cuando un operador de sitio web engaña a sabiendas al usuario redirigiéndolo a un sitio que el usuario no tenía la intención de ver. Un caso reciente, Ford Motor Company v. 2600 Enterprises et al., llamó la atención en diciembre de 2001 cuando 2600 Enterprises redirigieron automáticamente a los usuarios de un sitio web que operan a un nombre de dominio dirigiendo blasfemias en General Motors al sitio web operado por Ford en www.ford.com. Los acusados redirigieron a los usuarios programando un enlace incrustado, que utilizaba la marca de Ford, en el código del sitio web de los acusados. Ford Motor Company v. 2600 Enterprises et al., 177 F. Supp. 2d 661, 2001, Tribunal de Distrito de Estados Unidos Lexis 21302 (E.D. Michigan2001); www.phillipsnizer.com/int-trademark.htm. El secuestro de nombres de dominio, la ciberocupación y el secuestro de sitios web en aras de la parodia o la sátira están protegidos por la Primera Enmienda, pero a veces el único propósito de los bromistas es acosar o extraer ganancias del dueño de la marca. Monte Enbysk, “Hackers y vándalos y gusanos, ¡Oh mío!” Boletín de Microsoft BCentral, http://www.bcentral.com.

Delitos de telefonía basada en Internet

Una de las tecnologías de comunicación de más rápido crecimiento es la telefonía basada en Internet, conocida como protocolo de voz sobre Internet (VoIP). El Instituto Nacional de Estándares y Tecnología advirtió que esta tecnología tiene “vulnerabilidades inherentes” Simon London, “Gobierno advierte a los usuarios sobre riesgos de la telefonía basada en Internet: Voip está creciendo en popularidad a medida que la tecnología prolifera, pero inherente al servicio, advierte el Gobierno, Se incrementan las fallas de seguridad y privacidad”, Financial Times, 6 de febrero de 2005, http://www.ft.com/cms/s/0/5fca499c-7554-11d9-9608-00000e2511c8.html (consultado el 15 de marzo de 2009). porque los firewalls no están diseñados para ayudar a asegurar esta industria, que es creció 903 millones de dólares en 2005, frente a 686 millones de dólares en 2004.

Gestión de riesgos de exposiciones de comercio electrónico

Las empresas pueden tomar medidas de control de pérdidas para reducir los riesgos de propiedad e interrupción del negocio del comercio electrónico utilizando lo siguiente:

• Productos y procesos de seguridad
• Auditorías de sistemas
• Protección antivirus
• Sistemas de respaldo y redundancias
• Protección y seguridad de datos
• Contraseñas
• Firmas digitales
• Cifrado
• Firewalls
• Red privada virtual (VPN)

Hoy en día, las empresas compran sistemas de seguridad electrónica y desarrollan muchos pasos para reducir el riesgo de pérdidas de datos y hardware. Las empresas realizan auditorías periódicas del sistema para detectar incumplimientos en la seguridad de la red. Los auditores intentan irrumpir en diversos componentes del sistema informático de la compañía, incluidos los sistemas operativos, redes, bases de datos, servidores, servidores web y procesos de negocio en general, para simular ataques y descubrir debilidades.Kevin Coleman, “How E-Tailers and Online Shoppers Can Protect Ellos mismos”, KPMG. Los servicios de seguridad administrados brindan una opción para la protección antivirus. Incluyen tanto protección antivirus como instalación de firewall.

Los procesos regulares de backup del sistema y los sistemas externos salvaron a muchos negocios heridos por los ataques del 11 de septiembre. Una ventaja de mantener los archivos de datos de copia de seguridad fuera del sitio es tener datos limpios en caso de daños en los archivos originales por virus, piratas informáticos y crackers. Debido a que la seguridad puede ser violada por parte de las personas dentro de la empresa, el acceso a Internet generalmente está disponible solo para usuarios internos y externos autorizados mediante el uso de contraseñas. Los correos electrónicos son fáciles de interceptar y leer mientras viajan a través de Internet. Adjuntar una firma digital permite al destinatario discernir si el documento ha sido alterado.George S. Sutcliffe, Esq., E-Commerce and Insurance Risk Management (Boston: Standard Publishing Corp., 2001), 13. Otro método para proteger los correos electrónicos es el cifrado. El cifrado permite al remitente de un correo electrónico codificar el contenido del documento. Antes de que el destinatario pueda leer el mensaje, necesita usar una contraseña para una clave privada. El cifrado se utiliza para las comunicaciones confidenciales.

Un firewall es otra solución de control de pérdidas que protege la red de área local (LAN) o la red corporativa del acceso no autorizado. Un firewall protege una red de intrusiones impidiendo el acceso a menos que se cumplan ciertos criterios. Otra técnica de control de pérdidas es la red privada virtual, que conecta oficinas satélite con una ubicación central. Una red privada virtual (VPN) permite a los usuarios remotos obtener acceso seguro a una red corporativa. Las VPN brindan infinitas oportunidades para teletrabajadores, viajeros de negocios y múltiples oficinas independientes de una compañía más grande.

Seguro de propiedad de comercio electrónico

Según la Encuesta de Seguridad y Delitos Informáticos del CSI/FBI de 2004 descrita anteriormente, solo el 28 por ciento de los 320 encuestados contaba con pólizas de seguro externas para ayudar a gestionar los riesgos de ciberseguridad El seguro de propiedad tradicional cubre los daños físicos a bienes tangibles por un peligro asegurado. Los datos electrónicos pueden considerarse propiedad en la mayoría de los casos, pero las pólizas de seguro comercial estándar, discutidas en “1: La naturaleza del riesgo - pérdidas y oportunidades”, contienen exclusiones que “invalidan explícitamente la cobertura de las exposiciones en relación con el uso de la tecnología”. “Nueva política ofrecida para cubrir riesgos tecnológicos”, Servicio Nacional de Noticias Online Underwriter, 2 de julio de 2002; Encuesta de mercado de comercio electrónico independiente, por IRMI en www.irmi.com/expert/articles/2001/popups/Rossi02-1.aspx. Algunas aseguradoras ahora ofrecen pólizas de seguro de comercio electrónico personalizadas que amplían las áreas de cobertura disponibles para el riesgo inmobiliario de comercio electrónico. ISO tiene un aval de comercio electrónico que modifica el seguro proporcionado bajo cobertura de propiedad comercial. En virtud de este refrendo,

las aseguradoras pagarán el costo de reemplazar o restaurar datos electrónicos que hayan sufrido pérdida o daño por una Causa de Pérdida Cubierta... incluyendo el costo de entrada de datos, reprogramación y servicios de consulta informática.

El refrendo tiene cuatro secciones. En la sección I se describe la cobertura electrónica de datos. En la Sección II se define el periodo de cobertura así como la cobertura de ingresos empresariales, gastos extras y reanudación de la actividad de comercio electrónico. La Sección III clasifica los peligros cubiertos y excluidos; las exclusiones incluyen avería mecánica; tiempo de inactividad debido a virus, a menos que la computadora esté equipada con software antivirus; errores u omisiones en la programación o procesamiento de datos; errores en el diseño, mantenimiento o reparación; daños a una computadora en la red causada por la reparación o modificación de cualquier otra computadora de la red; interrupción por falta de capacidad; y falla inexplicable. La fracción IV del refrendo es para otras disposiciones, explicadas en “10: Estructura y Análisis de los Contratos de Seguros”.

Además de este aval, algunas aseguradoras han creado una variedad de políticas de comercio electrónico. Algunas de las compañías incluyen ACE USA, Chubb, AIG, Fidelity and Deposit Companies (miembros de Zurich Financial Services Group), Gulf Insurance Group, Legion Indemnity Company y Lloyd's of London. Esta lista de ninguna manera es inclusiva.George S. Sutcliffe, Esq., E-Commerce and Insurance Risk Management (Boston: Standard Publishing Corp., 2001), 13. Estas compañías no solo brindan cobertura de propiedad de comercio electrónico de primera parte e interrupción del negocio, sino también cobertura de responsabilidad civil por riesgos de responsabilidad de terceros. La cobertura de responsabilidad se discutirá en “12: La Gestión del Riesgo de Responsabilidad”. Debido a que el comercio electrónico no ve límites geográficos, muchas pólizas brindan cobertura mundial de comercio electrónico

Conclusiones clave

En esta sección estudiaste la exposición emergente del riesgo de propiedad del comercio electrónico:

• Los riesgos de propiedad del comercio electrónico se clasifican en cinco categorías: robos de hardware y software, cambios tecnológicos, cambios regulatorios y legales, infracciones de marcas registradas y delitos de telefonía basada en Internet
• Los ciberataques se han vuelto más frecuentes y más costosos en las pérdidas financieras que causan
• Los hackers, los crackers, los iniciados y los virus son las principales causas del robo de hardware y software y la pérdida de datos
• Los avances tecnológicos causan tiempo de inactividad mientras los empleados aprenden a usar nuevos sistemas y componentes
• Las frecuentes adiciones y cambios en las leyes de comercio electrónico existentes crean riesgos de cumplimiento y la falta de abogados calificados para manejar disputas.
• El secuestro de nombres de dominio, la ciberocupación y el secuestro de sitios web son formas de infringir las marcas comerciales legítimas de las empresas
• El protocolo de voz sobre Internet (VoIP) tiene vulnerabilidades inherentes debido a la ausencia de medidas de seguridad efectivas
• Los pasos de control de pérdidas que pueden reducir los riesgos de propiedad del comercio electrónico incluyen productos de seguridad, auditorías de sistemas, sistemas de respaldo y protección de datos
• Si bien los datos electrónicos se consideran propiedad, generalmente se excluyen de las pólizas de seguros comerciales estándar, lo que lleva al aumento de pólizas y endosos personalizados de comercio electrónico

Preguntas de Discusión

1. ¿Cuáles son las exposiciones al riesgo del comercio electrónico?
2. ¿Cómo se debe gestionar el riesgo inmobiliario del comercio electrónico?
3. Describir las partes de un endoso de comercio electrónico.
4. ¿Cuáles son algunas de las posibles pérdidas de propiedad de comercio electrónico que enfrentan las empresas?