Negli ultimi anni è diventato sempre più difficile stipulare e rinnovare le polizze assicurative contro i rischi informatici. Il mercato delle assicurazioni contro i rischi informatici è più volatile che mai, a causa dell’aumento sia del numero complessivo di richieste di risarcimento presentate sia delle tipologie di minacce informatiche a cui sono esposti gli assicurati. In risposta all’aumento del rischio, gli assicuratori del settore informatico hanno reso più rigorose le proprie procedure di sottoscrizione, il che a sua volta ha costretto gli assicurati a dedicare più tempo e maggiori risorse al processo di approvazione, il tutto pur rimanendo nell’incertezza circa l’esito.
È possibile che il processo di sottoscrizione delle polizze venga semplificato nei prossimi anni, man mano che il settore delle assicurazioni contro i rischi informatici continua a maturare e il ritmo dei cambiamenti rallenta. Nel frattempo, tuttavia, è fondamentale che le organizzazioni comprendano appieno il processo di sottoscrizione delle assicurazioni contro i rischi informatici e cerchino modi per ridurre al minimo l’onere amministrativo a carico dei propri team.
Una breve ma affascinante storia della sottoscrizione delle assicurazioni contro i rischi informatici
L'assicurazione contro i rischi informatici rappresenta un segmento relativamente recente del mercato assicurativo. Sebbene le assicurazioni sulla vita e sui beni abbiano entrambe più di 250 anni – e persino l’assicurazione auto esista da oltre 125 anni – la prima “polizza di responsabilità civile per la sicurezza su Internet” riconosciuta è stata stipulata da AIG nel 1997. Infatti, la recente comparsa di questo segmento è uno dei motivi per cui la sottoscrizione delle assicurazioni contro i rischi informatici può risultare così complessa. In un settore in cui l’analisi dei dati storici e la previsione delle tendenze future rivestono un ruolo fondamentale, questa mancanza di dati storici costituisce un ostacolo alla modellizzazione delle aspettative di rischio future.
All’inizio, le stime delle perdite si basavano quasi esclusivamente sull’istinto e su un approccio per tentativi ed errori. In breve tempo, ciò si è trasformato in una visione macroeconomica, in cui le previsioni relative ai sinistri si basavano sulle perdite complessive del mercato applicate a un insieme di assicurati. Tuttavia, con l’aumentare della frequenza degli incidenti informatici e la crescente sofisticazione degli autori delle minacce, si sono verificati tre fenomeni:
- I sinistri hanno superato le previsioni, determinando un aumento dei tassi di sinistralità e una riduzione della redditività
- Gli assicuratori hanno osservato che il rischio di perdita era concentrato su un sottogruppo di assicurati, anziché essere distribuito in modo uniforme tra tutti loro
- Le compagnie assicurative hanno iniziato a nutrire preoccupazioni riguardo al rischio sistemico o di correlazione, in cui un sinistro relativo a una polizza aumentava la probabilità di richieste di risarcimento relative ad altre polizze
Di fronte a queste nuove sfide, le compagnie assicurative hanno dovuto integrare una componente micro nella valutazione del rischio. Gli assicuratori dovevano analizzare in modo approfondito il profilo di rischio di ogni singolo richiedente di polizza e non potevano più basarsi su una comprensione del rischio di mercato complessivo.
La situazione attuale: lo stato attuale delle attività di sottoscrizione
Fu così che ebbe inizio lo sviluppo dell’attuale processo di sottoscrizione. Le domande sono diventate più lunghe e complesse, rendendo necessari ulteriori questionari e allegati. Sono seguite poi conversazioni approfondite, colloqui e sopralluoghi. Oltre a tali cambiamenti, i vettori hanno iniziato a ricorrere ad analisi “outside-in” del contesto in cui opera il candidato, spesso fornite da soggetti terzi esterni. Ben presto, alle organizzazioni è stato richiesto di soddisfare specifici requisiti minimi – quali l’implementazione dell’autenticazione a più fattori (MFA) e le funzionalità di rilevamento e risposta agli attacchi informatici ( endpoint ) EDR – prima che un assicuratore potesse approvare una polizza.
Sebbene questi miglioramenti nella procedura di sottoscrizione abbiano introdotto un certo grado di valutazione personalizzata del rischio, permangono tuttavia diverse carenze evidenti. Sebbene le infrastrutture IT siano soggette a continui cambiamenti durante l’intero periodo di validità della polizza, la valutazione assicurativa viene effettuata in un unico momento. E anche con le migliori intenzioni, chi risponde alle domande e compila i moduli potrebbe non disporre sempre di informazioni complete per fornire risposte accurate. A ciò si aggiunge il fatto che le domande sono strutturate in modo da consentire un’agevole aggregazione e analisi, ma ciò può impedire o rendere poco chiare le risposte più sfumate. E sebbene una risposta possa essere corretta per la maggior parte di un patrimonio, di solito è proprio l’anello più debole a consentire che si verifichi una violazione.
Allo stesso tempo, mentre le compagnie assicurative raccoglievano una maggiore quantità di dati e affinavano le proprie analisi sui rischi informatici, hanno adeguato i termini contrattuali. Ciò ha comportato l’ovvio aumento dei premi assicurativi, al fine di riflettere l’aumento dei tassi di sinistralità e la maggiore volatilità dei sinistri. Inoltre, è stata sottoposta a un’ulteriore analisi la questione delle esclusioni previste dalle polizze, in particolare per quanto riguarda le clausole relative agli “atti di guerra”.
Tuttavia, in alcuni casi, la propensione al rischio complessiva è diminuita, determinando una riduzione dei massimali delle singole polizze e, in alcuni casi, il mancato rinnovo delle stesse. Quest’ultimo cambiamento ha stimolato la ricerca di fonti alternative di assorbimento del rischio, quali mercati di riassicurazione più sviluppati o i mercati dei capitali, ricorrendo agli Insurance Linked Securities (ILS), talvolta denominati “catastrophe bonds”.
Oggi, la valutazione del rischio è un processo lungo, basato su operazioni manuali e dispendioso in termini di tempo, che comporta la raccolta di dati e l’esecuzione di verifiche di due diligence. Tuttavia, a causa della recente volatilità dei prezzi, delle condizioni e dei limiti delle polizze, ci troviamo in una situazione in cui i rapporti tra assicuratori e assicurati possono talvolta risultare tesi. Durante il processo di sottoscrizione, ciascuna delle parti potrebbe guardare all’altra con un certo grado di diffidenza.
La direzione che intendiamo seguire: l’evoluzione auspicata
A nostro avviso, il primo (e più importante) cambiamento che deve avvenire su ampia scala nel mercato e nel processo di sottoscrizione è una visione condivisa di collaborazione tra gli assicuratori e i loro clienti. Ciascuna delle parti deve riconoscere che la riduzione del rischio è nell’interesse reciproco; l’esito auspicato è, infatti, un’analisi approfondita del rischio che porti a prezzi e condizioni equi. È nell’interesse di tutti gli operatori di mercato che questa forma di trasferimento del rischio sia a disposizione di coloro che scelgono di avvalersene. Ciò richiede sia rendimenti accettabili per coloro che si assumono il rischio (gli assicuratori) sia condizioni accettabili per coloro che trasferiscono il proprio rischio (gli assicurati).
Se si riuscirà a sviluppare questo spirito di collaborazione, riteniamo che il prossimo passo significativo per migliorare il processo di sottoscrizione consista nella condivisione dei dati raccolti elettronicamente all’interno del firewall e relativi alla sicurezza informatica dell’ente assicurato. A differenza dei questionari compilati manualmente, i dati raccolti elettronicamente possono fornire un quadro più accurato dell’ambiente e ridurre notevolmente il tempo e lo sforzo necessari per ottenere una visione chiara dello stesso. Gli indicatori individuati devono essere adeguati all’analisi dei rischi dell’assicuratore ed essere forniti a un livello di astrazione appropriato (ovvero, percentuali di un ambiente che presentano una determinata caratteristica, piuttosto che dati relativi a singoli dispositivi o host).
Idealmente, una volta ricevuti i dati dal richiedente, l’assicuratore dovrebbe fornire una risposta contenente i dettagli relativi ai risultati principali e consigli correttivi ordinati per priorità. Una volta apportate le correzioni, il richiedente potrà presentare nuovamente i dati per la determinazione definitiva dei termini della polizza. E grazie a un processo semplificato che elimina molte delle fasi più complesse e dispendiose in termini di tempo, possiamo immaginare un futuro in cui il monitoraggio dei dati e le misure correttive vengano attuati con maggiore regolarità rispetto a un ritmo annuale, contribuendo così a ridurre ulteriormente i rischi, i sinistri e i costi.
Le sfide che dobbiamo affrontare insieme
Le difficoltà iniziali incontrate dagli assicuratori nelle prime fasi di sviluppo del mercato hanno portato ad alcuni esiti spiacevoli. Con l’impennata dei tassi di sinistralità a seguito dell’aumento dell’incidenza degli attacchi – in particolare, sebbene non esclusivamente, legati al ransomware – la redditività ne ha risentito. Di conseguenza, i vettori hanno ridotto i rischi e aumentato le tariffe. La conseguente volatilità dei costi e della disponibilità delle assicurazioni contro i rischi informatici ha generato sfiducia tra gli acquirenti sul mercato.
Nell’attuale contesto, una strategia volta a migliorare la raccolta dei dati dagli assicurati potrebbe rivelarsi complessa. Inoltre, con la stabilizzazione del mercato e un certo allentamento dei limiti di rischio, la concorrenza tra gli assicuratori si fa più accesa. Ciò significa che un determinato assicuratore che tenti di migliorare il proprio metodo di raccolta dei dati rischia di perdere quote di mercato a favore di altri assicuratori che non impongono tali requisiti.
Si tratta di un classico dilemma del tipo “l’uovo o la gallina”, aggravato dallo scetticismo che caratterizza il mercato degli acquirenti. Di fronte a questa situazione, le compagnie assicurative devono promuovere un messaggio di collaborazione con i propri clienti. Il tema di una migliore condivisione dei dati deve essere integrato in un messaggio incentrato sulla riduzione complessiva del rischio, sulla condivisione delle competenze (sia in materia di prevenzione che di risposta agli incidenti) e sull’efficienza complessiva del processo di sottoscrizione. Ciò è in parte dovuto all’idea che la condivisione elettronica dei dati non miri a raccogliere informazioni nuove e diverse rispetto a quelle attualmente raccolte tramite procedure cartacee. Si tratta piuttosto di un metodo più efficiente, più accurato e più tempestivo per raccogliere dati.
Certamente, l’obiettivo generale è quello di favorire una migliore comprensione del rischio di perdita e di adeguare di conseguenza le condizioni delle polizze. Tuttavia, i richiedenti devono essere convinti che tale processo porterà a risultati migliori – e non a sanzioni per le carenze emerse. Se si riuscisse a convincerli che gli assicuratori intendono collaborare con loro per porre rimedio alla situazione e ridurre i rischi, forse ne deriverebbe una maggiore disponibilità a partecipare. Un ulteriore aspetto da considerare in questo segmento di mercato altamente regolamentato è il ruolo che possono svolgere le autorità di regolamentazione, le associazioni di categoria ed eventualmente gli intermediari. Tale allineamento favorirebbe il raggiungimento di un risultato comune che migliorerebbe il mercato per tutti i partecipanti.
Per saperne di più sull’assicurazione contro i rischi informatici e sulle strategie volte a garantire che la Sua polizza eroghi il risarcimento quando necessario, consulti questo eBook: Tanium per l’assicurazione contro i rischi informatici.
