Assicurazione informatica, garanzie e protezione dal ransomware: attenzione alle lacune nella copertura assicurativa!

Con nuove minacce che emergono ogni giorno e che diventano sempre più complesse e sofisticate, la sicurezza informatica è diventata una priorità fondamentale per tutte le organizzazioni: ogni singola azienda, indipendentemente dalle dimensioni e dall’ubicazione, è a rischio di un attacco informatico. Di conseguenza, la maggior parte di esse ha iniziato a optare per un’assicurazione contro i rischi informatici per coprire le perdite che tali attacchi potrebbero causare, talvolta abbinata a una garanzia specifica contro il ransomware, una scelta incentivata dal fatto che questo tipo di minaccia rappresenta circa il 75% dei sinistri relativi alle assicurazioni contro i rischi informatici (AM Best 2021). Oltre al ransomware, l’assicurazione contro i rischi informatici può coprire aspetti quali le richieste di estorsione e le misure di ripristino.

Si tratta tuttavia di un mercato sotto pressione, con un rapporto tra sinistri e premi incassati pari al 73% nel 2021 secondo Fitch Ratings e difficoltà nel diversificare il rischio, dato che gli attacchi informatici non conoscono confini. Inoltre, l’assenza di dati storici complica la capacità di effettuare quel tipo di previsione del rischio che il settore assicurativo utilizza tipicamente per fissare i tassi di tariffazione. Nel complesso, ciò sta minacciando in ultima analisi la redditività del settore e, di conseguenza, la protezione che esso offre, alimentando anche l’aumento dei premi a carico dei clienti.

Anche le garanzie relative ai ransomware, che fanno scalpore, sono un ambito che richiede ulteriori approfondimenti e un’attenta lettura delle clausole scritte in piccolo. Ciò che può sembrare un’offerta allettante (e spesso una scelta ovvia) in molti casi non porterà mai a un risarcimento e potrebbe indurre a un pericoloso senso di sicurezza.

Inoltre, le clausole relative alle assicurazioni sulla sicurezza informatica stanno diventando sempre più restrittive, come evidenziato dal recente annuncio di Lloyd’s of London sui limiti di copertura: ad esempio, i suoi prodotti assicurativi non copriranno più le conseguenze degli attacchi informatici sferrati tra Stati-nazione. Molti assicuratori stanno inoltre imponendo requisiti di protezione più rigorosi, che, pur contribuendo a rafforzare i livelli di difesa in materia di sicurezza informatica, possono anche lasciare alcune organizzazioni, e in particolare le PMI, esposte al rischio, poiché queste ultime hanno maggiori difficoltà a soddisfare i nuovi limiti minimi richiesti.

Per questo motivo, sapere esattamente cosa è coperto da qualsiasi polizza che avete oggi, o che state pensando di acquistare in futuro, è un imperativo sia dal punto di vista aziendale che tecnologico. Le aziende devono sapere che le polizze di assicurazione informatica e le garanzie di protezione dal ransomware non coprono ogni aspetto degli attacchi e che, nella maggior parte dei casi, ci saranno diversi fattori scatenanti, limiti, condizioni e coperture per i diversi tipi di sinistri, il che può portare al rifiuto o a una riduzione del risarcimento, creando un divario tra aspettative e realtà. In questo ambito, la formazione e la consapevolezza sono fondamentali: è necessario essere pienamente consapevoli di ciò che oggi non è coperto dalla propria assicurazione informatica, per evitare sorprese in seguito. Roy May illustra in modo eccellente proprio questo punto.

Esaminiamo una per una alcune delle questioni chiave proprio a sostegno di ciò.

• Errori di terzi: le compagnie di assicurazione contro i rischi informatici non ti coprono nel caso in cui un attacco informatico avvenga su un sistema di terzi causando danni alla tua attività principale. Questi software o servizi di terzi possono essere il tuo hosting web, la posta elettronica, i servizi cloud, la gestione del servizio clienti o qualsiasi altra relazione commerciale online significativa.
• Perdite subite durante il «periodo di attesa»: nel settore assicurativo è spesso prevista una franchigia temporanea denominata «periodo di attesa». Sono coperte dall’assicurazione solo le perdite subite dopo la scadenza di tale periodo. Questo periodo di attesa è solitamente compreso tra le 10 e le 12 ore. Ciò significa che se la vostra rete subisce un attacco informatico durante il periodo di attesa, non potrete richiedere un risarcimento alla vostra assicurazione.
• Perdite durante i tempi di inattività: le perdite subite durante l’interruzione dell’attività non sono coperte dalle principali polizze. I tempi di inattività possono causare danni alla vostra azienda in molti modi, portando a una perdita di produttività, di fiducia e di fedeltà dei clienti e, in ultima analisi, alla perdita del loro business. Indipendentemente dall’entità della perdita di fatturato causata da questi tempi di inattività, essa non sarà coperta.
• Danno alla reputazione: si tratta di uno dei rischi più significativi che un’azienda deve affrontare in caso di attacco informatico o violazione dei dati. Infatti, 1 cliente su 3 è disposto ad abbandonare un marchio che ama dopo una sola esperienza negativa, percentuale che sale a oltre il 90% dopo 2 o 3 interazioni negative. (AGGIUNGERE RIFERIMENTO). Qualsiasi attacco durante eventi speciali come il Cyber Monday può causare danni ancora maggiori all’organizzazione. Poiché è difficile quantificare tali perdite, le compagnie di assicurazione contro i rischi informatici non le coprono nelle loro polizze.
• Lesioni personali o danni alla proprietà: gli attacchi informatici hanno conseguenze tangibili. Man mano che il mondo si muove verso l’IoT (Internet of Everything), le connessioni tra gli oggetti aumentano e vi è il rischio che ciò possa causare lesioni personali o danni alla proprietà. Può sembrare insolito, ma molte aziende di produzione oggi funzionano interamente tramite computer.

Tutte le fasi, dalla raccolta delle materie prime alla spedizione dei prodotti finiti, avvengono tramite sistemi automatizzati. Se dovesse verificarsi un attacco informatico in qualsiasi fase di questo processo, le conseguenze sarebbero catastrofiche. Se un’azienda dovesse trovarsi in una situazione del genere, è probabile che l’assicurazione contro i rischi informatici non copra (nella misura necessaria) il danno.

• Nuovo hardware: di norma, le polizze assicurative contro i rischi informatici non coprono i danni materiali, come la sostituzione dell’hardware e di altre apparecchiature, causati da un attacco informatico. La situazione diventa problematica quando l’hardware è danneggiato a tal punto da renderne impossibile la riparazione. La soluzione migliore in questi casi è sostituire l’hardware con uno nuovo, ma i relativi costi saranno a carico dell’organizzazione stessa.
• Aggiornamenti software: le versioni più recenti del software non sono tradizionalmente coperte dalle polizze assicurative contro i rischi informatici. In caso di attacco informatico, le principali compagnie assicurative vi aiuteranno solo a ripristinare il software allo stato in cui si trovava prima che l’attacco avesse luogo.
• Smarrimento delle apparecchiature: la maggior parte delle polizze assicurative contro i rischi informatici non copre alcun reato informatico derivante dallo smarrimento di un dispositivo portatile, come un laptop o un tablet aziendale. Poche polizze assicurative includono nella copertura esclusivamente i dispositivi crittografati; pertanto, tutti i dispositivi utilizzati nell’organizzazione devono disporre di adeguate patch di sicurezza.
• Multe e sanzioni da parte degli emittenti di carte di credito: una delle principali preoccupazioni in caso di violazione dei dati riguarda le sanzioni e le potenziali multe inflitte a un’azienda da emittenti di carte di credito come MasterCard, Visa, ecc., o addirittura ai dirigenti aziendali ai sensi del GDPR e di normative simili. Tali multe o sanzioni possono raggiungere importi considerevoli, anche a sei cifre. Alcune compagnie assicurative escludono la copertura di questo tipo di multe, il che potrebbe comportare gravi perdite finanziarie.
• Attacchi mirati: Molte polizze assicurative coprono solo gli attacchi perpetrati da criminali informatici che perseguono profitti personali, o profitti collettivi quando malintenzionati collaborano tra loro per un guadagno condiviso. Esse negano la copertura se l’attacco viene sferrato con motivazioni terroristiche o da un attore statale per fini politici, un ambito in cui le ricerche evidenziano un aumento della portata e del volume degli attacchi volti a eludere il rilevamento (Microsoft 2021).

Considerazioni finali – Allora, vale la pena stipulare un’assicurazione contro i rischi informatici?

La resilienza di un’azienda è legata alla sua resilienza informatica, rendendo fondamentale un impegno costante e trasversale a livello organizzativo in materia di sicurezza informatica, che abbracci tecnologia, processi, cultura e competenze. In questo contesto, l’assicurazione informatica svolge un ruolo di protezione, imponendo progressi nella “sicurezza fin dalla progettazione” (security by design) secondo termini sempre più rigorosi e sostenendo il Recovery operativo dell’organizzazione in caso di violazione, a condizione che tutti tali obblighi siano stati rispettati. Tuttavia, non tutte le polizze assicurative informatiche sono uguali, poiché presentano differenze sostanziali in termini di copertura e condizioni. È quindi necessario comprendere appieno sia le proprie esigenze che i propri obblighi prima di prendere una decisione definitiva.   

Le start-up e le PMI con portafogli ridotti o risorse digitali minime potrebbero non riuscire a giustificare la spesa per un’assicurazione sulla sicurezza informatica, poiché è probabile che si ottenga un migliore ritorno sull’investimento concentrandosi sulle misure di difesa, ad esempio le pratiche Zero Trust e la formazione e la sensibilizzazione dei dipendenti. Per le grandi imprese che gestiscono un volume significativo di informazioni finanziarie sensibili o dati personali (PII) dei propri clienti, l’investimento in una polizza assicurativa informatica di comprovata affidabilità può essere ben giustificato, ma solo come parte di una strategia olistica di sicurezza informatica. Nessuna polizza potrà prevenire né risolvere spontaneamente i problemi legati alla sicurezza; piuttosto, può costituire l’ultimo tassello di un programma di difesa proattivo incentrato sia sull’identificazione precoce dei rischi, sia sul tempestivo Recovery quando (non “se”) si verificherà inevitabilmente un attacco di qualche tipo.

Informazioni sull’autrice

La dott.ssa Sally Eaves è presidente del Global Cyber Trust presso il prestigioso think tank GFCYBER e consulente in materia di decentralizzazione digitale, democrazia e sicurezza per il Centre for a New American Security (CNAS), che opera sotto l’egida del governo degli Stati Uniti. Con un background di Chief Technology Officer di grande esperienza, docente di Tecnologie Avanzate e consulente strategico globale in materia di trasformazione digitale, Sally è specializzata nell’applicazione delle tecnologie emergenti, in particolare nell’ambito dell’intelligenza artificiale, della sicurezza, del 5G, del cloud e dell’IoT, per la trasformazione aziendale e informatica, oltre che per favorire un impatto sociale su larga scala.

Relatrice di fama internazionale e autrice, Sally è stata la prima vincitrice del premio “Frontier Technology and Social Impact”, consegnato presso le Nazioni Unite, ed è stata definita la “portabandiera della tecnologia etica”; ha fondato Aspirational Futures per promuovere l’inclusione, la diversità, l’equità e il senso di appartenenza nel settore tecnologico e oltre.