Fonte: Valor
O mercado brasileiro de seguros cibernéticos vive uma fase de expansão acelerada, acompanhada por um endurecimento sem precedentes nos critérios de contratação e renovação das apólices. O movimento ocorre em meio ao aumento da frequência e da sofisticação dos ataques digitais e à preocupação das seguradoras com eventos capazes de gerar perdas simultâneas em centenas de empresas.
Dados da Confederação Nacional das Seguradoras (CNseg) mostram que a arrecadação do seguro cibernético deu um salto de 880% em cinco anos. Passou de R$ 20,7 milhões em 2019 para R$ 203,3 milhões no fim de 2023. Hoje, a arrecadação anual do ramo supera R$ 240 milhões. O crescimento ocorre em um cenário no qual 60% das empresas brasileiras já sofreram algum tipo de incidente de bloqueio de dados, segundo o Índice Global de Proteção de Dados.
Ao mesmo tempo em que o mercado cresce, as exigências para contratação tornam-se mais rigorosas. Ferramentas como autenticação multifator (MFA), criptografia de dados, backups protegidos, segmentação de redes e planos formais de resposta a incidentes deixaram de ser diferenciais e passaram a integrar o conjunto mínimo de requisitos analisados pelas seguradoras. “A ideia não é criar barreiras, mas apoiar a empresa a se proteger melhor e tornar a cobertura mais aderente e sustentável”, diz Caroline Ayub, diretora de riscos financeiros da Tokio Marine.
Segundo Ayub, após a onda global de ataques de ransomware, registrada entre 2021 e 2022, a subscrição tornou-se significativamente mais técnica. Hoje, a análise não se limita à existência de ferramentas de segurança. Procura, além disso, avaliar a capacidade real das organizações de prevenir, responder e se recuperar de um incidente. Fragilidades na gestão de acessos, baixa maturidade de segurança, falhas de governança e excessiva dependência do fator humano podem resultar em restrições de cobertura, redução de capacidade ou aumento de prêmio.
Na Zurich Seguros, o processo segue a mesma direção. Para Hellen Fernandes, gerente-executiva de linhas financeiras da companhia, as empresas precisam comprovar uma estrutura consistente de governança, gestão de riscos e segurança da informação. “As seguradoras avaliam não apenas se os controles existem, mas se estão efetivamente implementados, documentados e testados”, afirma. Segundo ela, autenticação multifator, monitoramento de eventos, gestão de vulnerabilidades, backups estruturados e derência à Lei Geral de Proteção de Dados (LGPD) passaram a integrar a análise de risco das seguradoras.
A executiva ressalta que o seguro deve ser visto como a última camada de proteção. “A base dessa proteção é construída pela própria empresa por meio de investimentos consistentes em controles e gestão de riscos.”
O endurecimento das exigências acompanha um quadro de perdas crescentes. Estudo recente da Marsh McLennan estima que a exposição global aos riscos cibernéticos em ambientes industriais e de tecnologia operacional (OT) já supera US$ 300 bilhões e pode alcançar US$ 329,5 bilhões em cenários extremos. O levantamento mostra ainda que ataques de ransomware respondem por 81% dos pedidos de indenização relacionados a custos de recuperação, enquanto quase um quarto dos sinistros enfrenta algum tipo de exclusão ou limitação contratual.
A preocupação dos resseguradores está concentrada principalmente nos chamados riscos de acumulação, quando um único evento afeta simultaneamente centenas ou milhares de segurados. “A capacidade global para riscos cibernéticos voltou a crescer e hoje supera a demanda, mas o acesso a essa proteção tornou-se mais seletivo”, afirma Eduardo Bezerra, superintendente de seguros cibernéticos da Wiz Corporate.
Segundo ele, o principal desafio é compreender como uma única falha em um provedor de nuvem – sistema amplamente utilizado -ou infraestrutura digital, pode gerar uma onda de sinistros em escala global. Apesar dos avanços nos modelos de precificação, Bezerra afirma que os eventos catastróficos continuam sendo a principal fonte de incerteza do setor. “O mercado já precifica adequadamente os riscos mais frequentes. A dificuldade permanece concentrada nos eventos extremos”, diz.
A mesma avaliação é compartilhada por Ilan Kajan, CEO da We Insurance Advisor. Segundo ele, os grandes ataques globais de ransomware mudaram a percepção dos resseguradores sobre a América Latina, que deixou de ser vista como uma região de baixa exposição. “Os resseguradores perceberam que muitas empresas da região ainda apresentam níveis de maturidade em segurança inferiores aos observados nos Estados Unidos e na Europa, enquanto a frequência dos ataques aumentou significativamente”, afirma.
Como consequência, a concessão de capacidade passou a exigir disciplina técnica das seguradoras, com questionários mais robustos, revisões periódicas e equipes especializadas. “Os resseguradores não aceitam mais carteiras baseadas em questionários simplificados”, ressalta Kajan.
Além da função de transferência de risco, especialistas observam que o seguro passou a desempenhar um papel relevante na disseminação de boas práticas de segurança digital. De acordo com Eduardo Lucena, deputy CEO da Lockton Brasil, os processos de auditoria exigidos para contratação ajudam as empresas a elevar o nível de maturidade na gestão de riscos e a identificar vulnerabilidades que, muitas vezes, passavam despercebidas.
Lucena acredita que esse processo tende a produzir efeitos positivos para todo o mercado. “As empresas se tornarão cada vez mais sofisticadas e protegidas, o que contribuirá para a redução dos riscos para as seguradoras e, consequentemente, para a diminuição do custo dos seguros e ampliação da sua penetração.”
O avanço dos riscos digitais também acelera uma transformação mais ampla na indústria seguradora. Estudo divulgado recentemente pelo Distrito defende que o setor caminha para uma nova fase, denominada “cognitive insurance”, baseada em inteligência artificial, monitoramento contínuo e avaliação dinâmica dos riscos.
A proposta rompe com um modelo que opera a partir de estimativas estatísticas baseadas em eventos passados. Em seu lugar, surgem seguros capazes de acompanhar o risco em tempo real, ajustando prevenção, subscrição e precificação de forma contínua.
“Ao ampliar a capacidade de atuar já no suporte à prevenção, com base em dados e comportamentos de cada cliente, a indústria cria condições para contribuir mais efetivamente para que a sociedade esteja preparada para fazer frente aos impactos que os riscos emergentes devem trazer nos próximos anos”, afirma Alfredo Lalia Neto, CEO da Sompo.
