Dopo aver raggiunto livelli esorbitanti durante la pandemia, quando tutti si sono trovati improvvisamente a dover lavorare da remoto, i premi delle assicurazioni contro i rischi informatici sono diminuiti in modo significativo. Avete letto bene: è in forte calo, come si può vedere chiaramente all’indirizzo.
Allora, cosa è cambiato e qual è il trucco?
Un recente rapporto intitolato “ ” ( ), redatto da Howden, un broker assicurativo e sottoscrittore con sede nel Regno Unito, ha evidenziato che i premi delle assicurazioni contro i rischi informatici sono diminuiti del 15% a livello globale dal loro picco raggiunto a metà del 2022, nonostante un panorama delle minacce sempre più complesso. Oltre alle riduzioni, che variano a seconda della regione, Howden afferma che la capacità assicurativa è in aumento e che gli assicuratori sono ora più disposti ad aumentare i massimali, a rimuovere le restrizioni relative alla copertura contro il ransomware e ad abbassare i livelli di franchigia. Nel frattempo, i tassi statunitensi sono scesi del 5% nel secondo trimestre di quest’anno, segnando il quinto trimestre consecutivo di calo, secondo quanto riferito da Marsh, una compagnia assicurativa con sede a New York.
Howden e gli esperti del settore ritengono che la maturazione del settore e la crescente concorrenza siano le cause principali del calo dei prezzi. Infatti, secondo quanto riferito, S&P Global afferma che la copertura contro i rischi informatici è attualmente uno dei prodotti assicurativi in più rapida crescita e che si prevede che superi i 20 miliardi di dollari entro il 2025, in aumento rispetto ai circa 15 miliardi di dollari del 2023.
Non era così solo pochi anni fa, quando i tassi avevano raggiunto il picco. All’epoca, l’assicurazione contro i rischi informatici era ancora un prodotto relativamente nuovo rispetto alle assicurazioni sulla casa, sulla vita e sull’auto. Le compagnie assicurative non avevano ancora stabilito quale tariffa applicare per realizzare un profitto.
La situazione è peggiorata notevolmente durante la pandemia, poiché milioni di lavoratori si sono trovati improvvisamente a dover svolgere il proprio lavoro da remoto, il che ha acuito le preoccupazioni relative alla privacy dei dati e ha provocato un picco dei crimini informatici. Alcune compagnie assicurative hanno reagito limitando la copertura, introducendo esclusioni (in particolare per gli attacchi ransomware) e aumentando i premi. Altri vettori hanno abbandonato del tutto il settore.
Ora la situazione è completamente diversa. Finora, tuttavia, le aziende non sembrano convinte – almeno non del tutto. E c’è una buona ragione (seppur non del tutto valida) per questo.
Un mercato delle assicurazioni contro i rischi informatici ormai stabilizzato
Le compagnie assicurative hanno ormai definito in larga misura i propri modelli di business, sanno come generare profitti e sono in competizione per acquisire nuovi clienti, nonostante persistano gravi incidenti di sicurezza.
«Il costo delle assicurazioni contro i rischi informatici continua a diminuire, nonostante gli attacchi in corso, l’acuta instabilità geopolitica e la proliferazione dell’intelligenza artificiale di nuova generazione.»Sarah Heild, responsabile del settore e-commerce, Howden
“Favourable (sic) dynamics have persisted into 2024, with the cost of cyber insurance continuing to fall, despite ongoing attacks, heightened geopolitical instability, and the proliferation of Gen AI,” said Sarah Heild, Howden’s head of cyber retail, in a statement. «Sono ormai state poste le basi per un mercato informatico maturo, incentrato sull’innovazione e su una crescita trainata dall’esposizione.»
Traduzione: Il settore delle assicurazioni contro i rischi informatici ha finalmente definito i propri modelli di sottoscrizione, pertanto la situazione si è stabilizzata. I profitti derivanti dall’attività di sottoscrizione sono elevati e si prevede che rimangano tali. E le compagnie assicurative stanno cercando di attirare i clienti sottolineando i crescenti rischi informatici , offrendo al contempo allettanti offerte per assicurarsi contro tali rischi.
[Legga anche: 5 miti – e realtà – sull’assicurazione contro i rischi informatici]
Sembra proprio un mercato favorevole agli acquirenti. Eppure sono pochi gli acquirenti che ne approfittano. Sebbene i dati indichino che la maggior parte dei responsabili delle decisioni in materia di tecnologie di sicurezza aziendale disponga di una qualche forma di copertura assicurativa contro i rischi informatici, secondo Forrester solo uno su quattro possedeva una polizza autonoma su 2023.
Perché l’assicurazione contro i rischi informatici suscita scetticismo
Ilia Kolochenko, socio dello studio legale Platt Law LLP — con sede a Washington D.C. e New York e specializzato in sicurezza informatica — e membro dell’ CEO e di ImmuniWeb, un’azienda globale specializzata nella sicurezza delle applicazioni, afferma che una delle ragioni principali è che molte aziende non comprendono il prodotto. Alcuni la considerano una scelta esclusiva: o si stipula un’assicurazione contro i rischi informatici per proteggersi da un incidente, oppure si investe in tecnologie di sicurezza informatica per prevenire gli incidenti. Ma non si fanno entrambe le cose. Kolochenko afferma che altre aziende nutrono semplicemente scetticismo riguardo alle motivazioni delle compagnie assicurative. Temono che, qualora dovessero subire un attacco informatico, gli assicuratori adducano ogni sorta di clausole nascoste, massimali, limiti ed esclusioni per evitare di pagare, lasciandoli così in balia degli eventi.
«Per prodotti complessi come l’assicurazione contro i rischi informatici, quando i prezzi scendono, ciò significa probabilmente che qualcosa è cambiato. Se qualcosa è migliorato, è più probabile che sia a vantaggio dell’assicuratore piuttosto che dell’assicurato.”Ilia Kolochenko, socio dello studio legale Platt Law LLP
E questo è un aspetto che merita di essere considerato. Claims sure are climbing — for example, Marsh announced its U.S. and Canadian clients filed 1.800 cyber insurance claims in 2023, a record for the company. Tuttavia, secondo quanto riportato da Security Boulevard , , il 99% delle aziende che hanno presentato richieste di risarcimento quell’anno non ha ricevuto il rimborso completo poiché le proprie spese hanno superato i limiti previsti dalla polizza. I limiti di copertura della polizza “ ” variano, secondo quanto riportato da Embroker, una società di assicurazioni commerciali, da 500.000 a 5 milioni di dollari per sinistro ( ). IBM ha invece riferito, secondo quanto riportato su , che nel 2024 il costo medio globale di una violazione dei dati ammontava a 4,88 milioni di dollari, con un aumento del 10% rispetto all’anno precedente.
Kolochenko racconta la storia di un responsabile della sicurezza informatica (CISO) di un’ , , che ha subito una violazione dei dati, ha presentato una richiesta di risarcimento alla propria assicurazione contro i rischi informatici ed è rimasto piacevolmente sorpreso quando l’assicuratore ha coperto l’intero importo senza porre alcuna domanda.
«Era felicissimo e ha detto: “Probabilmente dovremmo iniziare a ridurre il nostro budget per la sicurezza informatica”.» «Non abbiamo più bisogno di quei controlli di sicurezza; abbiamo un’assicurazione contro i rischi informatici!»”
Poi, l’entusiasmo si è affievolito. Qualche mese dopo, il cliente chiamò Kolochenko in preda al panico per comunicargli che la sua azienda era stata colpita da un altro attacco informatico e aveva bisogno di aiuto.
«Mi ha detto: “Ascolti, Ilia, in base al nostro contratto, per ogni anno solare è coperto dall’assicurazione un solo sinistro. Questo è il nostro secondo episodio. Si tratta di una grave violazione dei dati subita da , che probabilmente ci costerà milioni in perdite. Ma la nostra compagnia assicurativa ci manda rispettosamente al diavolo, sostenendo di aver già versato diverse migliaia di dollari per la nostra precedente richiesta di risarcimento. «Cosa dovremmo fare?»”
Tenete gli occhi ben aperti
Kolochenko sostiene che tali storie raccapriccianti non dovrebbero dissuadere le aziende dal prendere in considerazione un'assicurazione contro i rischi informatici, soprattutto alla luce delle tariffe più convenienti attualmente disponibili. In effetti, dovrebbero farlo. Tuttavia, egli afferma che le aziende devono valutare le opzioni politiche con grande lucidità e dedicare il tempo necessario a comprenderle, poiché possono risultare complesse.
“Potete invitare il vostro responsabile IT nella sala riunioni e intrattenere una conversazione piuttosto tecnica su ciò che è contenuto in quell’applicazione.”Peter Hedberg, vicepresidente responsabile della sottoscrizione delle polizze contro i rischi informatici, Corvus Insurance
Oltre a far partecipare il responsabile degli acquisti assicurativi e il direttore finanziario all’incontro con l’assicuratore, «potete coinvolgere anche il direttore IT e intrattenere una conversazione piuttosto tecnica su ciò che è contenuto in quella richiesta», afferma Peter Hedberg, vicepresidente del settore sottoscrizioni cyber presso Corvus Insurance. «Se riescono ad approfondire questi aspetti, è segno che si tratta di un agente piuttosto valido.» «Perché ora è una questione tecnica.»
Ciò è ancora più vero quando i prezzi scendono.
«Quando i prezzi di beni di consumo comuni, come una lattina di Coca-Cola o un’auto della GM, diminuiscono, ciò rappresenta in genere un vantaggio per i consumatori», afferma Kolochenko. «Tuttavia, nel caso di prodotti complessi come l’assicurazione contro i rischi informatici, quando i prezzi scendono, ciò significa probabilmente che qualcosa è cambiato. Se qualcosa è migliorato, è più probabile che sia a vantaggio dell’assicuratore piuttosto che dell’assicurato. Se un'offerta sembra troppo bella per essere vera, potrebbe essere vera. «Tuttavia, consiglio sempre di esaminare attentamente i termini e le condizioni, di rivolgersi al proprio assicuratore e di assicurarsi di essere sulla stessa lunghezza d’onda, conservando al contempo tutta la corrispondenza scritta con quest’ultimo relativa alla reciproca comprensione delle clausole contrattuali e del loro significato».
Per “verifica” non si intende che un membro dell’azienda esamini la documentazione o contatti un broker assicurativo. Si suggerisce piuttosto di coinvolgere un gruppo multidisciplinare di persone, proprio come avviene nel caso delle compagnie assicurative.
«L’assicurazione contro i rischi informatici è un connubio di scienza, arte e diritto», afferma Kolochenko. «È davvero necessario che nella valutazione delle politiche siano coinvolti esperti di tecnologia, professionisti del rischio e avvocati con esperienza nel campo della sicurezza informatica.»
