L'assicurazione contro i rischi informatici è spesso oggetto di critiche.
Scoraggiate dall’ aumento vertiginoso dei premi, dall’ampliamento delle esclusioni e dal maggiore controllo delle pratiche di sicurezza informatica dei richiedenti, molte aziende stanno scegliendo di correre il rischio e di procedere con una copertura finanziaria minima o nulla contro gli attacchi informatici.
Infatti, solo l’ e il 55% delle aziende nordamericane intervistate di recente da BlackBerry e Corvus Insurance ha dichiarato di disporre di un’assicurazione contro i rischi informatici, e meno del 20% beneficia di una copertura di valore superiore a 600.000 dollari, che rappresentava l’importo mediano richiesto dagli autori di attacchi ransomware lo scorso anno.
A dire il vero, l’assicurazione contro i rischi informatici non è adatta a tutti. Alcune grandi aziende non ne hanno bisogno, poiché dispongono del budget e del personale necessari per coprire autonomamente i propri rischi. È tuttavia probabile che altre aziende rinuncino a tale copertura perché non ne comprendono appieno il valore.
«L’assicurazione contro i rischi informatici è probabilmente il prodotto meno compreso oggi sul mercato assicurativo, nonché quello che presenta le maggiori difficoltà», afferma Scott Godes, socio dello studio legale Barnes & Thornburg LLP, uno studio legale di portata nazionale che rappresenta le aziende in cause relative al risarcimento assicurativo.
Di seguito sono riportati cinque miti diffusi sull’assicurazione contro i rischi informatici, accompagnati da un’analisi della realtà fornita dagli esperti del settore intervistati da “ ” Focal Point .
Mito: l’assicurazione è costosa, quindi è meglio cavarsela da soli
Realtà: Sì, con l’esplosione degli attacchi ransomware negli ultimi anni, i premi delle assicurazioni contro i rischi informatici hanno subito un’impennata. Secondo il Council of Insurance Agents & Brokers (CIAB), nel primo trimestre del 2022 i premi assicurativi ( ) hanno registrato un aumento medio del 28% rispetto al trimestre precedente.
«L’assicurazione contro i rischi informatici è probabilmente il prodotto meno compreso oggi sul mercato assicurativo, nonché quello che presenta le maggiori difficoltà.»Scott Godes, socio dello studio legale Barnes & Thornburg LLP
E, sì, agire in autonomia può rappresentare un approccio valido per le grandi aziende che dispongono di team di sicurezza di grandi dimensioni e si ritengono in grado di valutare e mitigare i rischi, afferma Josephine Wolff, professoressa associata di politica della sicurezza informatica presso la Fletcher School della Tufts University.
Rinunciare all’assicurazione può anche rivelarsi una scelta sensata dal punto di vista finanziario per alcune aziende di piccole dimensioni, aggiunge John Pescatore, direttore del settore “Tendenze emergenti in materia di sicurezza” presso il SANS Institute, un’organizzazione specializzata in formazione, certificazione e ricerca nel campo della sicurezza informatica. «Il costo degli incidenti varia generalmente in proporzione al numero di clienti coinvolti, sia che si tratti di una violazione dei dati sia di un’interruzione dei servizi», afferma.
Per una piccola impresa con meno di 10.000 clienti, il costo di una polizza potrebbe essere inferiore a 5.000 dollari all’anno per una copertura di 1 milione di dollari e una franchigia di 10.000 dollari, afferma Pescatore. Ciò dovrebbe coprire i costi diretti di un incidente. Tuttavia, spendere quei 10.000 dollari non significa che possiate tralasciare gli investimenti nella sicurezza informatica, poiché vi esporrete semplicemente ad attacchi molto più costosi e frequenti.
[Leggi anche: Il ransomware sta mettendo a dura prova il settore delle assicurazioni informatiche]
Jason Rebholz, CISO di Corvus Insurance, concorda sul fatto che l’assicurazione contro i rischi informatici non sia adatta a tutti. Egli sostiene tuttavia che valga la pena investire in polizze assicurative poiché la maggior parte delle aziende non dispone delle capacità tecniche o finanziarie necessarie per far fronte alle violazioni dei dati, che secondo le stime di Forrester costano alle organizzazioni in media 2,4 milioni di dollari. Sebbene i costi varino notevolmente a seconda del livello di copertura richiesto, secondo AdvisorSmith Solutions, una società di ricerca specializzata nelle piccole imprese, nel 2021 il premio medio per un’assicurazione contro i rischi informatici negli Stati Uniti era pari a 1.589 dollari all’anno.
«In qualità di CISO, mi piacerebbe disporre di un budget illimitato per gestire gli incidenti di sicurezza», afferma Rebholz. «Ma non nutro nemmeno l’illusione di poter mai avere abbastanza risorse per affrontare qualsiasi cosa mi capiti. “È proprio in questi casi che l’assicurazione contro i rischi informatici può essere d’aiuto.”
Mito: La mia azienda è troppo piccola per essere oggetto di un attacco
La realtà: Un attacco informatico sta per colpire le piccole imprese, se non le ha già colpite. AdvisorSmith Solutions stima che nel 2021 quasi il 42% delle piccole imprese abbia subito una qualche forma di attacco informatico. Va ammesso che il 24% di questi sembrava costituire attacchi di phishing di basso livello di tipo “ ”. Tuttavia, il 19% consisteva in violazioni dei dati su vasta scala, mentre il 11% era costituito da attacchi ransomware potenzialmente in grado di mettere in ginocchio le aziende.
La realtà è che le piccole e medie imprese (PMI) non sono immuni agli attacchi informatici, e subirne uno può avere conseguenze disastrose. Secondo Hiscox, un fornitore di assicurazioni aziendali, gli attacchi informatici costano in media fino a 25.612 dollari a una piccola impresa. Eppure, secondo , il 66% dei responsabili delle decisioni nelle piccole imprese ritiene di essere troppo irrilevante o poco visibile perché i criminali informatici si interessino alla propria azienda.
Rebholz sostiene che gli attacchi non siano così mirati o personali come molti dirigenti di piccole imprese potrebbero credere. «Agli autori degli attacchi non interessa necessariamente chi sia», afferma. «Molti episodi di ransomware, ad esempio, sono attacchi opportunistici di tipo “ ” , in cui gli autori cercano di ottenere l’accesso a chiunque. Se individuano un gruppo di cinque o più aziende, lanceranno attacchi contro tutte, nella speranza che almeno una di esse paghi.”
Mito: È rischioso fornire agli assicuratori troppe informazioni sulle proprie pratiche in materia di sicurezza informatica
La realtà: Proprio come nel caso delle richieste di assicurazione auto, sanitaria e sulla vita, molti consumatori sono giunti a credere che fornire troppe informazioni a un assicuratore comporti un aumento dei premi o il rifiuto della copertura. I professionisti della sicurezza, dal canto loro, sono già di per sé restii ad assumersi rischi e non amano rivelare troppi dei propri segreti professionali a nessuno, tanto meno ad assicuratori di cui non si fidano pienamente.
Tale riluttanza a fornire troppe informazioni porta spesso i dirigenti aziendali a decidere di non stipulare un’assicurazione, a ridurre al minimo le informazioni fornite nei moduli di richiesta, spesso molto lunghi, oppure a fornire risposte vaghe.
Ma questi approcci non vanno a vantaggio di nessuno, afferma Rebholz. Egli afferma che le compagnie assicurative desiderano disporre del maggior numero possibile di informazioni aggiornate, al fine di prevenire in modo proattivo gli attacchi informatici che potrebbero rivelarsi onerosi sia per l’assicuratore che per l’assicurato. Allo stesso tempo, osserva, le compagnie di assicurazione specializzate in rischio informatico potrebbero offrire tariffe più vantaggiose agli assicurati che dimostrino di seguire le migliori pratiche in materia di sicurezza informatica, proprio come le compagnie di assicurazione auto offrono sconti per la guida prudente.
[Leggi anche: Il governo federale garantirà le assicurazioni contro i rischi informatici?]
Gary Davis, responsabile della sicurezza informatica presso BlackBerry, un fornitore di software per la sicurezza informatica, afferma che gli assicurati stanno iniziando ad adottare un approccio più proattivo e si stanno dimostrando più disponibili a condividere le proprie strategie in materia di sicurezza informatica. «La nostra ricerca ha dimostrato che il 64% delle aziende sarebbe disposto a condividere con il proprio assicuratore le informazioni relative al proprio livello di sicurezza in cambio di una riduzione dei costi della copertura assicurativa contro i rischi informatici», afferma. «Il rischio di credere a questo mito è che possa verificarsi l’esatto contrario: i Suoi premi potrebbero aumentare proprio perché le Sue difese informatiche sono deboli o vulnerabili.»
Mito: le compagnie assicurative cercheranno il modo di evitare di pagare un risarcimento
Realtà: È sempre possibile che un assicuratore possa rifiutare una richiesta di risarcimento qualora un’organizzazione subisca un attacco. Succede continuamente.
“La maggior parte delle richieste di risarcimento viene liquidata. Le persone finiscono per confondersi a causa delle loro supposizioni su ciò che le polizze assicurative coprono.”Jason Rebholz, responsabile della sicurezza informatica (CISO), Corvus Insurance
Tuttavia, in genere, i rifiuti si verificano perché le polizze non coprono una determinata situazione. Questo è uno dei pregiudizi più diffusi che le persone nutrono riguardo alle assicurazioni. Ad esempio, stipulano una polizza assicurativa sulla casa e rimangono sbalorditi nell’apprendere che non copre i danni causati da un terremoto o da un’alluvione. Allo stesso modo, quando alcune aziende subiscono un attacco ransomware, acquistano nuovo hardware nell’ambito del processo di ripristino e rimangono sconcertate nell’apprendere che l’assicurazione non copre questo tipo di aggiornamenti.
Rebholz sostiene che le aziende non dovrebbero rinunciare all’assicurazione contro i rischi informatici solo perché potrebbe non garantire un risarcimento sufficiente. Dovrebbero invece cercare protezione tenendo gli occhi ben aperti. È fondamentale conoscere il contenuto di una polizza, afferma. Qualora non coprisse determinati casi, quali le spese legali relative a una società affiliata anch’essa coinvolta, i dirigenti dovrebbero valutare altre opzioni.
Gli assicuratori potrebbero inoltre rifiutare o addirittura revocare la copertura qualora gli assicurati non rispettino quanto dichiarato nelle richieste di polizza in merito al proprio livello di sicurezza. In altre parole, se affermassero di disporre di un’autenticazione multifattor e ma in realtà non la utilizzassero né la mantenessero, ciò potrebbe costituire un problema.
«Se si considera il quadro complessivo, la maggior parte delle richieste di risarcimento viene liquidata», afferma Rebholz. «Le persone finiscono per confondersi a causa delle loro supposizioni su ciò che le polizze assicurative coprono.»
Mito: un'assicurazione informatica di base è sufficiente
La realtà: Nella vita, il più delle volte si ottiene ciò per cui si paga. Se per la Sua auto più vecchia stipula solo una copertura di responsabilità civile e questa subisce un sinistro con danno totale, non potrà sostituirla. Allo stesso modo, se stipulate l’assicurazione informatica più economica e dovesse verificarsi un evento grave, le conseguenze potrebbero essere devastanti.
«: quando si stipula un’assicurazione per qualcosa, ciò può indurre a un atteggiamento negligente sia nella pratica che nella politica». Si ha la sensazione di essere protetti nel caso in cui si verifichi una catastrofe.”Sean O’Brien, ricercatore ospite presso l’Information Society Project della Yale Law School
«La nostra ricerca dimostra che il 44% delle aziende non dispone di una copertura assicurativa sufficiente a far fronte al riscatto mediano richiesto dai ransomware, mentre il 43% non è coperto in caso di spese accessorie, quali le spese processuali e i costi legati all’inattività dei dipendenti», afferma Davis di BlackBerry. «Il rischio di credere a questo mito è che potreste diventare vittime di un attacco il cui costo potenziale di ripristino superi quanto la vostra azienda possa ragionevolmente permettersi.»
Le aziende dovrebbero decidere di investire in un'assicurazione contro i rischi informatici basandosi sulla realtà piuttosto che sui miti: su questo punto concordano gli esperti intervistati per questo articolo. Allo stesso tempo, gli esperti di sicurezza non dovrebbero abbassare la guardia, afferma Sean O’Brien, ricercatore ospite presso l’Information Society Project della Yale Law School. «Quando si stipula un’assicurazione per qualcosa, ciò può indurre a un atteggiamento negligente sia nella pratica che nella politica», afferma. «Si ha la sensazione di essere protetti nel caso in cui si verifichi una catastrofe e, di conseguenza, si rischia di non prestare tutta l’attenzione necessaria».
In definitiva, sostiene O’Brien, eviti che la Sua copertura assicurativa Le impedisca di adottare appieno una solida strategia di sicurezza. Alla fine, ne vale sempre la pena.
