Com novas ameaças surgindo diariamente e se tornando cada vez mais complexas e sofisticadas, a segurança cibernética tornou-se uma prioridade fundamental para todas as organizações — já que todas as empresas, independentemente de seu tamanho e localização, correm o risco de sofrer um ataque cibernético. Como resultado, a maioria passou a optar por um seguro cibernético para cobrir as perdas que tais ataques possam causar, às vezes acompanhado de uma cobertura específica contra ransomware, impulsionado pelo fato de que esse tipo de ameaça é responsável por cerca de 75% dos sinistros de seguro cibernético (AM Best 2021). Além do ransomware, o seguro cibernético pode cobrir áreas como exigências de extorsão e esforços de remediação.
Mas este é um mercado sob pressão, com a relação entre perdas e prêmios arrecadados em 73% em 2021, segundo a Fitch Ratings, e dificuldade em diversificar o risco, já que os ataques cibernéticos não conhecem fronteiras. Além disso, a ausência de dados históricos complica a capacidade de realizar o tipo de previsão de risco que o setor de seguros normalmente emprega para definir as taxas de precificação. Em conjunto, isso acaba ameaçando a rentabilidade do setor e, consequentemente, a proteção que ele oferece — além de impulsionar o aumento dos preços dos prêmios para os clientes.
As garantias oferecidas por ransomware que ganham destaque na mídia também são uma área que exige uma investigação mais aprofundada e a leitura das letras miúdas. O que pode parecer uma proposta atraente (e, muitas vezes, uma escolha óbvia) em muitos casos nunca resultará em pagamento e pode levar a uma complacência perigosa.
Além disso, as cláusulas relacionadas ao seguro de segurança cibernética estão se tornando cada vez mais restritivas, conforme destacado pelo recente anúncio daLloydsof London sobre a limitação da cobertura; por exemplo, seus produtos de seguro não cobrirão mais as consequências de ataques cibernéticos entre Estados-nação. Muitas seguradoras também estão impondo requisitos de proteção mais rigorosos, o que, embora ajude a reforçar os níveis de defesa em cibersegurança, também pode deixar algumas organizações — especialmente as pequenas e médias empresas — vulneráveis, já que elas têm menos condições de atender aos novos limites mínimos exigidos.
This makes knowing exactly what is covered in any policy you have today, or are contemplating purchasing in the future, a business and technology imperative. Companies should know that cyber insurance policies and ransomware protection warranties do not cover every aspect of attacks and in most cases, there will be varying triggers, limits, conditions and coverages for different types of claims which can lead to denial or a reduced claim, creating an expectation and actualisation gap. Education and awareness here is key – you must be fully aware of what is not covered by your cyber insurance today, to avoid any surprises later. Roy May does a great job of covering exactly this point.
Vamos explorar, uma a uma, algumas das principais questões para fundamentar exatamente isso.
- Third-Party Mistakes: Cyber insurance companies do not cover you if a cyber-attack takes place on any third-party system causing damage to your primary business. This third-party software or services can be your web hosting, email, cloud services, customer service management or any other significant online business relationship.
- Losses Incurred During ‘Waiting Period’: The insurance world often has a time-based deductible referred to as a “waiting period.” Only the losses that incur after the completion of the waiting duration are covered by insurance. This waiting period is usually around 10 to 12 hours. It means that if your network undergoes a cyberattack during the waiting period, you will not be able to claim money from your insurance.
- Loss During Downtime: Losses incurred during the business interruption event are not covered by major policies. The downtime can cause harm to your business in many ways leading to loss of productivity and customers trust, loyalty and ultimately their business. No matter how much sales loss this downtime costs you, it will not be covered.
- Reputation Damage: This is one of the most significant risks a company faces if a cyber-attack or data breach happens. Indeed, 1 in 3 customers are willing to leave a brand they love after just one bad experience, rising to over 90% after 2 or 3 poor experience interactions. (ADD CITE). Any attacks during special events like Cyber Mondays can do even more harm to the organization. As it is difficult to quantify such loss, cyber insurance companies do not cover them in their policy.
- Bodily Injury or Property Damage: Cyber-attacks have tangible consequences. As the world moves towards IoT (Internet of everything), the connections between objects are increasing, and there are chances that it may lead to bodily injury or property damage. It can sound unusual but many production firms are nowadays running entirely on computers.
Tudo, desde a coleta de matérias-primas até o envio dos produtos finais, ocorre por meio de sistemas automatizados. Caso ocorra um ataque cibernético em qualquer etapa desse processo, isso resultaria em uma catástrofe. Se alguma empresa se deparar com tal situação, é provável que o seguro cibernético não cubra (na totalidade) as necessidades.
- New Hardware: Usually cyber insurance policy will not cover any property damage like hardware replacement and other equipment caused due to a cyber-attack. It becomes problematic when the hardware is corrupted to such an extent that it is impossible to fix it. The best way in such cases is to replace the hardware with something new, but the organization itself will have to pay for this.
- Software Upgrades: The latest versions of the software are traditionally not covered by cyber insurance policies. In case of a cyber-attack, major cyber insurances will only help you restore the software to where it was before the attack took place.
- Lost Equipment: Most cyber insurance policies do not cover any cybercrime that originated from a lost portable device like a company laptop or tablet. Few insurance policies include only encrypted devices in their policy, so all the devices used in the organization must have appropriate security patches.
- Card Issuer Fines and Penalties: A key concern when dealing with a data breach is related to the penalties and potential fines imposed against a company by card issuers like MasterCard, Visa, etc, or indeed imposed against company directors under GDPR and similar regulations. These fines or penalties can reach a substantial amount of up to six figures. A few insurance companies exclude covering these types of fines which could lead to severe financial loss.
- Specialised Attacks: Many insurance policies cover only the attacks that are committed by cybercriminals that seek personal profits, or collective profits when bad actors collaborate together for shared gain. They deny the coverage if the attack is carried out with a motive of terrorism or by a nation-state actor for political ends, an area where research shows increasing scale and volume of attacks to evade detection (Microsoft 2021)
Final Thoughts – So, Is Cyber Insurance Worth It?
The resiliency of a business is tied to its cyber resilience, making a sustained and organisation wide focus on cybersecurity critical, right across technology, process, culture and skills. As part of this, cyber insurance plays a role in protection by necessitating advances in security by design within increasingly stringent terms – and by supporting organisational recovery in the event of a breach when all such obligations were fulfilled. But not all cyber insurance policies are made equal, with material differences in coverage and conditions. So you must fully understand both your requirements and your obligations before making a final decision.
Start-ups e pequenas e médias empresas (PMEs) com portfólios reduzidos ou poucos ativos digitais podem não conseguir justificar o custo de um seguro de segurança cibernética, já que é provável que se obtenha um melhor retorno sobre o investimento ao se concentrar na defesa de segurança, por exemplo, por meio de práticasde Zero Truste de treinamento e conscientização dos funcionários. Para grandes empresas que gerenciam um volume significativo de informações financeiras confidenciais ou dados pessoais identificáveis (PII) de seus clientes, o investimento em uma apólice de seguro cibernético de renome pode ser bem justificado — mas apenas como parte de uma estratégia holística de segurança cibernética. Nenhuma apólice irá prevenir nem resolver espontaneamente problemas relacionados à segurança; ao contrário, ela pode constituir a peça final de um programa de defesa proativo que se concentra tanto na identificação precoce de riscos quanto na Recovery rápida quando (e não se) um ataque de algum tipo inevitavelmente ocorrer.
About the Author
A Dra. Sally Eaves é presidente do Global Cyber Trust no renomado think tank GFCYBER e consultora em Descentralização Digital, Democracia e Segurança do Centro para uma Nova Segurança Americana (CNAS), órgão que presta contas ao Governo dos Estados Unidos. Com vasta experiência como diretora de tecnologia, professora de tecnologias avançadas e consultora estratégica global em transformação digital, Sally é especialista na aplicação de tecnologias emergentes — notadamente inteligência artificial, segurança, 5G, nuvem e Internet das Coisas — para a transformação empresarial e de TI, além de promover impacto social em grande escala.
Palestrante internacional e autora, Sally foi a primeira ganhadora do prêmio “Frontier Technology and Social Impact”, concedido nas Nações Unidas, e tem sido descrita como a “porta-bandeira da tecnologia ética”. Ela fundou a Aspirational Futures com o objetivo de promover a inclusão, a diversidade, a equidade e o sentimento de pertencimento no setor de tecnologia e em outras áreas.
