Con nuove minacce che emergono ogni giorno e che diventano sempre più complesse e sofisticate, la sicurezza informatica è diventata una priorità fondamentale per tutte le organizzazioni: ogni singola azienda, indipendentemente dalle dimensioni e dall’ubicazione, è a rischio di un attacco informatico. Di conseguenza, la maggior parte di esse ha iniziato a optare per un’assicurazione contro i rischi informatici per coprire le perdite che tali attacchi potrebbero causare, talvolta abbinata a una garanzia specifica contro il ransomware, una scelta incentivata dal fatto che questo tipo di minaccia rappresenta circa il 75% dei sinistri relativi alle assicurazioni contro i rischi informatici (AM Best 2021). Oltre al ransomware, l’assicurazione contro i rischi informatici può coprire aspetti quali le richieste di estorsione e le misure di ripristino.
Si tratta però di un mercato sotto pressione, con un rapporto tra sinistri e premi incassati pari al 73% nel 2021 secondo Fitch Ratings e difficoltà nel diversificare il rischio, dato che gli attacchi informatici non conoscono confini. Inoltre, l’assenza di dati storici complica la capacità di effettuare quel tipo di previsione del rischio che il settore assicurativo utilizza tipicamente per fissare i tassi di tariffazione. Nel complesso, ciò sta minacciando in ultima analisi la redditività del settore e, di conseguenza, la protezione che esso offre, alimentando anche l’aumento dei premi a carico dei clienti.
Anche le garanzie relative ai ransomware, che fanno scalpore, sono un ambito che richiede ulteriori approfondimenti e un’attenta lettura delle clausole scritte in piccolo. Ciò che può sembrare un’offerta allettante (e spesso una scelta ovvia) in molti casi non porterà mai a un risarcimento e potrebbe indurre a un pericoloso senso di sicurezza.
Inoltre, le clausole relative alle assicurazioni sulla sicurezza informatica stanno diventando sempre più restrittive, come evidenziato dal recente annuncio diLloyd’sof London sui limiti di copertura: ad esempio, i suoi prodotti assicurativi non copriranno più le conseguenze degli attacchi informatici sferrati tra Stati-nazione. Molti assicuratori stanno inoltre imponendo requisiti di protezione più rigorosi, che, pur contribuendo a rafforzare i livelli di difesa in materia di sicurezza informatica, possono anche lasciare alcune organizzazioni, e in particolare le PMI, esposte al rischio, poiché queste ultime hanno maggiori difficoltà a soddisfare i nuovi limiti minimi richiesti.
This makes knowing exactly what is covered in any policy you have today, or are contemplating purchasing in the future, a business and technology imperative. Companies should know that cyber insurance policies and ransomware protection warranties do not cover every aspect of attacks and in most cases, there will be varying triggers, limits, conditions and coverages for different types of claims which can lead to denial or a reduced claim, creating an expectation and actualisation gap. Education and awareness here is key – you must be fully aware of what is not covered by your cyber insurance today, to avoid any surprises later. Roy May does a great job of covering exactly this point.
Esaminiamo una per una alcune delle questioni chiave proprio a sostegno di questo.
- Third-Party Mistakes: Cyber insurance companies do not cover you if a cyber-attack takes place on any third-party system causing damage to your primary business. This third-party software or services can be your web hosting, email, cloud services, customer service management or any other significant online business relationship.
- Losses Incurred During ‘Waiting Period’: The insurance world often has a time-based deductible referred to as a “waiting period.” Only the losses that incur after the completion of the waiting duration are covered by insurance. This waiting period is usually around 10 to 12 hours. It means that if your network undergoes a cyberattack during the waiting period, you will not be able to claim money from your insurance.
- Loss During Downtime: Losses incurred during the business interruption event are not covered by major policies. The downtime can cause harm to your business in many ways leading to loss of productivity and customers trust, loyalty and ultimately their business. No matter how much sales loss this downtime costs you, it will not be covered.
- Reputation Damage: This is one of the most significant risks a company faces if a cyber-attack or data breach happens. Indeed, 1 in 3 customers are willing to leave a brand they love after just one bad experience, rising to over 90% after 2 or 3 poor experience interactions. (ADD CITE). Any attacks during special events like Cyber Mondays can do even more harm to the organization. As it is difficult to quantify such loss, cyber insurance companies do not cover them in their policy.
- Bodily Injury or Property Damage: Cyber-attacks have tangible consequences. As the world moves towards IoT (Internet of everything), the connections between objects are increasing, and there are chances that it may lead to bodily injury or property damage. It can sound unusual but many production firms are nowadays running entirely on computers.
Tutte le fasi, dalla raccolta delle materie prime alla spedizione dei prodotti finiti, avvengono tramite sistemi automatizzati. Se dovesse verificarsi un attacco informatico in qualsiasi fase di questo processo, le conseguenze sarebbero catastrofiche. Se un’azienda dovesse trovarsi in una situazione del genere, è probabile che l’assicurazione contro i rischi informatici non copra (nell’entità necessaria) il danno.
- New Hardware: Usually cyber insurance policy will not cover any property damage like hardware replacement and other equipment caused due to a cyber-attack. It becomes problematic when the hardware is corrupted to such an extent that it is impossible to fix it. The best way in such cases is to replace the hardware with something new, but the organization itself will have to pay for this.
- Software Upgrades: The latest versions of the software are traditionally not covered by cyber insurance policies. In case of a cyber-attack, major cyber insurances will only help you restore the software to where it was before the attack took place.
- Lost Equipment: Most cyber insurance policies do not cover any cybercrime that originated from a lost portable device like a company laptop or tablet. Few insurance policies include only encrypted devices in their policy, so all the devices used in the organization must have appropriate security patches.
- Card Issuer Fines and Penalties: A key concern when dealing with a data breach is related to the penalties and potential fines imposed against a company by card issuers like MasterCard, Visa, etc, or indeed imposed against company directors under GDPR and similar regulations. These fines or penalties can reach a substantial amount of up to six figures. A few insurance companies exclude covering these types of fines which could lead to severe financial loss.
- Specialised Attacks: Many insurance policies cover only the attacks that are committed by cybercriminals that seek personal profits, or collective profits when bad actors collaborate together for shared gain. They deny the coverage if the attack is carried out with a motive of terrorism or by a nation-state actor for political ends, an area where research shows increasing scale and volume of attacks to evade detection (Microsoft 2021)
Final Thoughts – So, Is Cyber Insurance Worth It?
The resiliency of a business is tied to its cyber resilience, making a sustained and organisation wide focus on cybersecurity critical, right across technology, process, culture and skills. As part of this, cyber insurance plays a role in protection by necessitating advances in security by design within increasingly stringent terms – and by supporting organisational recovery in the event of a breach when all such obligations were fulfilled. But not all cyber insurance policies are made equal, with material differences in coverage and conditions. So you must fully understand both your requirements and your obligations before making a final decision.
Le start-up e le PMI con portafogli ridotti o risorse digitali minime potrebbero non riuscire a giustificare la spesa per un’assicurazione sulla sicurezza informatica, poiché è probabile che si ottenga un migliore ritorno sull’investimento concentrandosi sulle misure di difesa, ad esempio le praticheZero Truste la formazione e la sensibilizzazione dei dipendenti. Per le grandi imprese che gestiscono un volume significativo di informazioni finanziarie sensibili o dati personali (PII) dei propri clienti, l’investimento in una polizza assicurativa informatica di comprovata affidabilità può essere ben giustificato, ma solo come parte di una strategia olistica di sicurezza informatica. Nessuna polizza potrà prevenire né risolvere spontaneamente i problemi legati alla sicurezza; piuttosto, può costituire l’ultimo tassello di un programma di difesa proattivo incentrato sia sull’identificazione precoce dei rischi, sia sul Recovery tempestivo quando (non “se”) si verificherà inevitabilmente un attacco di qualche tipo.
About the Author
La dott.ssa Sally Eaves è presidente del Global Cyber Trust presso il prestigioso think tank GFCYBER e consulente in materia di decentralizzazione digitale, democrazia e sicurezza per il Centre for a New American Security (CNAS), che opera sotto l’egida del governo degli Stati Uniti. Con un background di Chief Technology Officer di grande esperienza, docente di Tecnologie Avanzate e consulente strategico globale in materia di trasformazione digitale, Sally è specializzata nell’applicazione delle tecnologie emergenti, in particolare nell’ambito dell’intelligenza artificiale, della sicurezza, del 5G, del cloud e dell’IoT, per la trasformazione aziendale e informatica, oltre che per favorire un impatto sociale su larga scala.
Relatrice di fama internazionale e autrice, Sally è stata la prima vincitrice del premio “Frontier Technology and Social Impact”, consegnato presso le Nazioni Unite, ed è stata definita la “portabandiera della tecnologia etica”; ha fondato Aspirational Futures per promuovere l’inclusione, la diversità, l’equità e il senso di appartenenza nel settore tecnologico e oltre.
