Negli ultimi mesi i criminali informatici hanno sferrato una serie allarmante di attacchi ransomware contro aziende e infrastrutture statunitensi. Hanno chiuso stabilimenti di lavorazione della carne, gasdotti, scuole e strutture sanitarie. In ciascun caso, hanno bloccato i sistemi informatici delle loro vittime e hanno chiesto denaro in cambio del ripristino dell’accesso. I pagamenti noti a favore di questi cyber-estorsori sono aumentati del 344%, passando da 2019 a 2020, per un totale di 416 milioni di dollari in criptovaluta, secondo un rapporto luglio 2021 pubblicato dalla piattaforma di analisi blockchain Chainalysis. Quest'anno, tale cifra ha già raggiunto i 210 milioni di dollari.
In molti casi di ransomware, non sono le vittime a firmare gli assegni (o, per meglio dire, a consegnare i bitcoin). Le loro compagnie di assicurazione contro i rischi informatici sono. Infatti, secondo Fitch Ratings, nel 2020 il 70% dei premi assicurativi contro i rischi informatici è stato versato agli hacker.
Considerato questo aumento delle richieste e dei pagamenti relativi al ransomware, non sorprende che il settore delle assicurazioni contro i rischi informatici stia ora aumentando i premi e ripensando le coperture offerte e le proprie modalità operative. Alla fine del 2020, oltre la metà degli acquirenti di assicurazioni contro i rischi informatici ha registrato un aumento del prezzo della propria copertura compreso tra il 10% e il 30%, secondo l’ , l’Ufficio per la responsabilità amministrativa del governo degli Stati Uniti () (GAO). Inoltre, gli assicuratori si stanno dimostrando più selettivi riguardo a ciò che intendono coprire esattamente e a chi intendono accettare come clienti. In alcuni casi, stanno introducendo nuove regole, riducendo i limiti di copertura o aumentando le franchigie.
Stanno inoltre approfondendo la propria analisi dei reparti IT e di sicurezza dei propri clienti, esaminandone gli stack tecnologici e i processi. Ad esempio, alcune compagnie assicurative si rifiutano di fornire la copertura qualora un cliente non utilizzi un sistema di autenticazione multifattoriale di base per l’accesso alla propria rete. Alcune aziende si avvalgono di società indipendenti specializzate in sicurezza informatica per valutare il rischio informatico di un cliente e determinarne il punteggio di rischio.
Infatti, il sistema di valutazione del rischio “ ” è diventato uno strumento potente per entrambe le parti in causa. Per gli assicuratori, ciò può aiutarli a comprendere il profilo di sicurezza delle reti, dei server e degli endpoint di un cliente, il che a sua volta consente loro di stabilire le condizioni delle polizze o di rifiutarle del tutto. Per le imprese di ogni dimensione, la valutazione del rischio si è rivelata uno strumento prezioso per determinare l’entità del rischio e stabilire le priorità. Inoltre, fornisce ai CIO e ai CISO dati chiari e specifici a sostegno di un aumento dei budget in determinati settori.
Cosa prevede la Sua assicurazione?
When cyber insurance policies first appeared in the 1990s, insurers limited coverage to mistakes in digital processing. Con l’evolversi delle polizze assicurative — e dell’attività criminale informatica — le compagnie assicurative hanno iniziato a coprire l’accesso non autorizzato, le violazioni della rete, la perdita di dati e i danni causati da virus. Le compagnie assicurative hanno inoltre esteso la copertura all’interruzione dell’attività e all’estorsione.
In alcuni casi, tale copertura era infatti inclusa in polizze assicurative esistenti relative a beni immobili o responsabilità civile, il che spesso comportava una formulazione ambigua delle clausole contrattuali, consentendo agli assicuratori di eludere ingenti risarcimenti. Oggi, la maggior parte delle assicurazioni contro i rischi informatici copre chiaramente la sicurezza delle reti, in modo che le aziende siano protette in caso di violazione dei dati, infezione da malware, estorsione informatica o attacco ransomware.
Sono coperti i costi relativi, ad esempio, alle spese legali, alle perizie informatiche, alle comunicazioni ai clienti, alle indagini delle autorità di regolamentazione e, sì, anche alle trattative e al pagamento delle richieste dei ransomware. Alcune compagnie assicurative specializzate in sicurezza informatica offrono addirittura la cosiddetta copertura di responsabilità civile, coprendo le perdite e i sinistri sia dell’assicurato che dei clienti di quest’ultimo colpiti da un evento informatico.
[Legga anche: Che cos’è la risposta agli incidenti?]
Tuttavia, l’assicurazione contro i rischi informatici è un tema che divide l’opinione pubblica. I critici sostengono che ciò incoraggi le vittime di attacchi ransomware ad assecondare le richieste dei criminali, quando invece dovrebbero investire in modo proattivo nel rafforzamento delle proprie misure di sicurezza e delle tecnologie aziendali. Altri la considerano una precauzione necessaria per contrastare i criminali informatici, sempre più sofisticati e distruttivi. Nell’attuale contesto economico, alcuni sostengono addirittura che l’assicurazione contro i rischi informatici dovrebbe essere obbligatoria, proprio come l’assicurazione auto per i conducenti.
Giocare meglio in difesa
Naturalmente, la migliore protezione contro una violazione informatica è una solida base. Spesso si inizia da , dove si illustrano i principi fondamentali di una corretta igiene informatica. Avere una chiara comprensione del numero, del tipo e dello stato operativo degli endpoint collegati alla Sua rete La aiuterà a valutare il Suo rischio. Le soluzioni di gestione del software , le piattaforme di configurazione e la gestione automatizzata delle patch costituiscono tutti elementi fondamentali per rafforzare le difese interne di un’azienda, mentre la gestione della privacy dei dati consente alle organizzazioni di proteggere le informazioni sensibili e di porre rimedio alle violazioni della privacy.
“Il fatto di sapere che tre mesi fa avete risolto ogni problema non significa che oggi stiate bene. È necessario individuare le vulnerabilità e agire rapidamente.”Shawn Marriott, direttore della gestione dei prodotti, Tanium
Una volta implementati questi strumenti informatici, la valutazione del rischio consente di individuare le aree che necessitano di un rafforzamento. Ciò è fondamentale negli attuali contesti IT e di sicurezza aziendali, in cui la presenza di dati incoerenti e ad hoc, provenienti da una moltitudine di strumenti e da numerose unità aziendali diverse, rende quasi impossibile stabilire delle priorità. I dati devono inoltre essere aggiornati. «Si scoprono continuamente nuove vulnerabilità e vettori di attacco», afferma Shawn Marriott, direttore della gestione dei prodotti presso Tanium e professionista di lunga data nel campo della sicurezza informatica. «Il fatto di sapere che tre mesi fa avete risolto ogni problema non significa che oggi stiate bene.» «È necessario individuare le vulnerabilità e agire rapidamente.»
Risk A tal fine è utile poter contare su una piattaforma unica di gestione e sicurezza dell’ endpoint , come quella offerta da Tanium. Il suo funzionamento consiste nel valutare tutte le potenziali aree che potrebbero costituire vettori di attacco. Tra questi figurano le vulnerabilità di sistema, la conformità dei sistemi, i diritti amministrativi, l’identificazione tramite password, i software antivirus, i firewall e i protocolli di crittografia. Questi strumenti sono in grado di fornire raccomandazioni per migliorare la sicurezza in ogni minimo angolo o per affrontare le vulnerabilità più evidenti.
«In qualsiasi organizzazione, c’è sempre più da fare rispetto al tempo a disposizione o alle risorse disponibili», afferma Marriott. «L’assegnazione di un punteggio aiuta a mettere in evidenza quali siano le cose più importanti da fare. Vi fornisce questo elenco ordinato per priorità: . Si occupi innanzitutto di questi aspetti, poiché sono quelli che avranno il maggiore impatto complessivo sulla riduzione del Suo punteggio. Si tratta semplicemente di capire cosa è importante e di essere in grado di rispondere alla domanda: come stiamo andando?”
Risk Inoltre, l’assegnazione di punteggi aiuta le aziende a integrare la sicurezza informatica nelle loro missioni principali. Le aziende sanno dare la giusta priorità alla gestione dei rischi, e un punteggio basso in materia di sicurezza informatica costituisce un forte incentivo per i vertici aziendali a colmare le lacune di sicurezza e a ridurre il rischio di violazioni, con i conseguenti danni alla reputazione e alle operazioni — per non parlare delle sanzioni pecuniarie inflitte dalle autorità di regolamentazione.
Rischi politici
Alcuni analisti ritengono che le minacce poste dai criminali che utilizzano il ransomware spingeranno le compagnie assicurative a rinunciare del tutto alla copertura contro i rischi informatici. Nel proprio rapporto “ ” ( ) , intitolato “”, il GAO ha espresso preoccupazione riguardo alla capacità degli assicuratori di fornire coperture assicurative contro i rischi informatici, affermando: “Rimane incerto in che misura tali coperture continueranno a essere generalmente disponibili e accessibili”.
«Rimane incerto in che misura l’assicurazione contro i rischi informatici continuerà ad essere generalmente disponibile e accessibile.”»Rapporto del GAO sulla “cyber assicurazione”, maggio 2021
In quella che viene definita una novità assoluta nel settore, il colosso assicurativo AXA ha deciso di smettere di rimborsare i danni causati dagli attacchi con richiesta di riscatto in Francia, dopo che il procuratore capo incaricato dei reati informatici di quel Paese aveva avvertito che le aziende non dovrebbero pagare i cyber-estorsori. Le stesse compagnie assicurative non sono al riparo dagli attacchi. A marzo, CNA Financial ha versato 40 milioni di dollari agli hacker per riottenere il controllo della propria rete dopo che alcuni malintenzionati si erano infiltrati nei suoi sistemi e avevano sottratto dei dati.
Nonostante gli evidenti rischi assicurativi, si prevede che il settore delle assicurazioni contro i rischi informatici abbia davanti a sé un futuro roseo. Secondo Mordor Intelligence, il mercato era valutato a 7,36 miliardi di dollari nel 2020 e si stima che raggiunga i 27,83 miliardi di dollari entro il 2026. Alcuni osservatori sostengono che gli assicuratori inseriranno clausole aggiuntive nelle loro polizze piuttosto che eliminare del tutto la copertura contro i rischi informatici. Dopotutto, si tratta di un mercato redditizio. Stewart Baker, avvocato presso lo studio Steptoe & Johnson ed ex consulente legale generale della NSA, afferma: «Le compagnie assicurative aumenteranno i premi e inseriranno esclusioni più ampie prima di abbandonare il mercato».
[Leggi anche: Ransomware 101: che cos’è e come prevenire un attacco]
E, non dimenticate che le compagnie assicurative operano nel settore della gestione del rischio. Proprio come per qualsiasi altra impresa, devono ridurre al minimo i pagamenti per garantire la propria redditività. Ciò significa che in una polizza saranno sempre presenti delle clausole di esclusione. E, in fin dei conti, molte polizze semplicemente non copriranno l’intero costo di una violazione.
L’assicurazione contro i rischi informatici può rivelarsi utile, ma solo se accompagnata da buone pratiche interne in materia di sicurezza informatica. E solo se utilizzerete la valutazione del rischio per individuare le vostre principali vulnerabilità e dare priorità alla loro risoluzione prima che un criminale informatico vi preceda e siate costretti a ricorrere ai periti assicurativi.
