Evidencia técnica para la suscripción de ciberriesgos
El asegurado declaró que el control existía. El siniestro descubrió que no.
Entre la autodeclaración de la solicitud y la peritación del siniestro hay una brecha que hoy nadie mide. Arandu somete a cada asegurado a pruebas ofensivas, en infraestructura y en IA, y entrega la evidencia por control que sostiene el precio, las condiciones de póliza y la defensa ante un siniestro.
Cuestionario de la solicitudExtracto de evidencia Arandu
| Control | Estado |
|---|---|
| 01MFA en todo acceso privilegiado | SíVerificado |
| 02EDR activo en todos los endpoints | SíVerificado |
| 03Claves de API fuera del código | SíExpuestas |
| 04Endpoint de scoring con autenticación | SíSin autenticación |
| 05Chatbot aislado de los datos de clientes | SíFiltra contexto |
| 06Backup inmutable con restauración probada | SíNo comprobado |
6 de 6 controles declarados. Firmado por el propio asegurado.Tres hallazgos abiertos condicionan la emisión. Cada uno llega con remediación y plazo.
Ciberseguro en Brasil · ene–abr 2026 frente al mismo periodo de 2025
Indemnizaciones pagadas
+253,1 %
≈ R$ 30 M en cuatro meses
Primas recaudadas
+71,1 %
R$ 134,6 M en primas
Las indemnizaciones crecen a un ritmo 3,5 veces mayor que el de las primas. La suscripción va por detrás del riesgo real.
Fuente: CNseg, ene–abr 2026
El problema
Toda póliza de ciberriesgos nace de una pregunta que el asegurado contesta solo.
- 01
Autodeclaración
El cuestionario de seguridad recoge lo que el asegurado declara. Lo que está expuesto queda fuera, y nadie vuelve a comprobarlo una vez emitida la póliza.
- 02
Desfase
Las indemnizaciones crecen más rápido que las primas: +253 % frente a +71 % en los cuatro primeros meses de 2026.
- 03
Sin verificación
Corredores y aseguradoras no tienen forma de validar técnicamente lo que informa el asegurado. La voluntad de comprobarlo existe; lo que falta es el dato.
- 04
Punto ciego de IA
Chatbots, modelos de scoring y agentes de IA ya son superficie de ataque en producción. Ningún cuestionario estándar del mercado pregunta por ellos.
Arandu
El dato que le falta a su suscripción, medido en el entorno real del asegurado.
- 01
Evidencia técnica en la contratación y en la renovación
Prueba ofensiva real contra la infraestructura, la aplicación y las API del asegurado.
- 02
Monitorización continua después de la emisión
Revalidación periódica durante toda la vigencia. El riesgo que surge en el noveno mes aparece en el noveno mes.
- 03
Cobertura nativa de IA
Chatbots, scoring de crédito y agentes probados como superficie de ataque: inyección de prompts, fuga por contexto, abuso de herramientas.
- 04
Cada hallazgo llega con su remediación
Corrección priorizada y con plazo. El siniestro baja cuando se cierra el fallo.
- 05
Sello Arandu Verified
Versionado y con fecha de validez. El asegurado lo muestra, la aseguradora lo comprueba en la URL y la suscripción avanza más rápido.
- 06
Modelos listos para los segmentos de su cartera
PSTIs, fintechs, healthtechs, startups participadas por VC, FIDCs y B2B SaaS, cada uno con sus propios pesos en la calificación.
Cuatro etapas entre la solicitud y el seguimiento de la vigencia.
-
Día 0
01El asegurado ejecuta el diagnóstico Arandu en la contratación o en la renovación de la póliza.
-
48–72 h
02Evidencia técnica por control, convertida en una calificación de riesgo por segmento.
-
Antes de emitir
03La aseguradora usa la calificación para fijar el precio, condicionar la emisión o exigir correcciones antes de cerrar.
-
Durante la vigencia
04Las revalidaciones periódicas alimentan el seguimiento del riesgo hasta el último día de la póliza.
Sobre el terreno
Sin credenciales y en pocos minutos encontramos claves de API de producción expuestas, endpoints sin autenticación y ni una sola cabecera de seguridad, en una plataforma que ya procesaba datos de clientes. Es el tipo de fallo por el que ningún cuestionario de suscripción pregunta y que aparece primero como siniestro.
Para quién
Cuatro equipos reciben la misma evidencia. Cada uno decide algo distinto.
“¿Existe de verdad lo que declaró el asegurado?”
“¿Cómo llevo a la aseguradora un riesgo que puedo defender?”
“¿Qué riesgo cibernético tiene la empresa objetivo? ¿Tumba la operación?”
“¿Cómo demuestro que estoy protegido?”
Lo que llega a la mesa
Seis entregables, del resumen para el comité al archivo para el equipo técnico.
- 01
Score card
Calificación general de la A a la F y calificaciones parciales por categoría: IA, infraestructura, datos, nube y cumplimiento.
PDF de 1 página + panel web
- 02
Resumen ejecutivo
Tres páginas para el comité: hallazgos bloqueantes, riesgo cuantificado y acciones recomendadas.
PDF
- 03
Hallazgos técnicos
Cada vulnerabilidad con su evidencia, severidad, explotabilidad e impacto en el negocio.
Panel web + API JSON
- 04
Informe de deal-breakers
Lo que debe detener o pausar la emisión o la inversión, con la evidencia de cada punto.
PDF de 2 páginas
- 05
Sello Arandu Verified
Sello digital con versión y fecha de validez, verificable en una URL pública.
SVG + página de verificación
- 06
Guía de remediación
Lista de correcciones por orden de prioridad, con el esfuerzo estimado.
Markdown + PDF
Informes en portugués, inglés, español, alemán, francés e italiano.
Diferenciación
Escáner de reputación, plataforma de gobernanza de IA o Arandu: tres respuestas distintas.
Deslice para ver la tabla completa
| Criterio | Escáneres externosBitSight, SecurityScorecard | Gobernanza de IACredo AI, OneTrust | AranduCOST + Agent SPM |
|---|---|---|---|
| Fuente del dato | Señal externa pública: DNS, certificados, filtraciones | Política declarada e inventario documental | Prueba ofensiva ejecutada en el entorno del asegurado |
| Profundidad | Superficie visible desde fuera, sin explotación | Documental; el sistema en producción queda sin probar | Explotación real de infraestructura, aplicación y API |
| Superficie de IA | No la cubre | La cubre sobre el papel: cumplimiento y trazabilidad de modelos | Chatbots, scoring y agentes probados en producción |
| Riesgo operativo | Puntuación de reputación, sin plan de corrección | Sigue el cumplimiento; la exposición queda fuera | Hallazgo con remediación priorizada y plazo |
| Sirve para suscribir | Orientativo; no sostiene una condición de póliza | No trata la tarificación ni los siniestros | Evidencia por control, calificación por segmento y revalidación durante la vigencia |
Preguntas
Preguntas de quien suscribe.
01¿Cómo entra Arandu en el proceso de suscripción de mi aseguradora?
La evaluación entra como etapa técnica antes de la emisión. El asegurado ejecuta el diagnóstico y la aseguradora recibe la calificación por control y el informe de evidencia en el mismo flujo en el que hoy recibe el cuestionario. La entrega llega como informe, hoja de cálculo estructurada o API, sin cambios en los sistemas de suscripción.
02¿Sustituye al cuestionario de seguridad que ya usamos?
No. El cuestionario sigue recogiendo la declaración del asegurado y la responsabilidad contractual que conlleva. Arandu verifica técnicamente lo declarado y cubre lo que el formulario no pregunta, en especial la superficie de IA, la exposición de credenciales y los endpoints sin autenticación.
03¿Cómo funcionan la alianza y las comisiones con corredores?
El corredor recomienda la evaluación al asegurado y cobra por cada contrato cerrado con evidencia Arandu. Para corredurías Tier-1 que estandarizan la evaluación en toda la cartera hay un modelo por volumen, con precio por evaluación y prioridad en la cola.
04¿Qué segmentos cubren hoy?
PSTIs, fintechs y entidades de pago, hospitales y healthtechs, fondos de VC y empresas objetivo de M&A, FIDCs y gestoras de crédito digital, B2B SaaS y empresas de servicios. Cada segmento tiene su propio modelo de riesgo y sus propios pesos en la calificación.
05¿Cómo funciona la prueba de seguridad de IA (chatbots, scoring, agentes)?
El modelo en producción se trata como superficie de ataque: inyección de prompts, fuga de datos por contexto, evasión de políticas, manipulación del scoring de crédito y abuso de agentes con acceso a herramientas. El resultado entra en la calificación como un control aparte, fuera del cálculo de infraestructura.
06¿Cuál es el plazo de entrega de la evaluación?
De 48 a 72 horas para la evaluación estándar, desde la autorización del alcance. Los entornos complejos, como varias filiales, integración con el core bancario o agentes con acceso a datos sensibles, requieren de 5 a 10 días hábiles.