Quando le truppe russe hanno invaso l’Ucraina il 24 febbraio, gli esperti militari occidentali hanno concentrato la loro attenzione sull’effettivo delle truppe e sull’armamento. I politici si sono riuniti per discutere delle ripercussioni per l’Europa. E i broker assicurativi specializzati in rischi informatici — con polizze che prevedono clausole di “esclusione in caso di guerra” — si sono chiesti come definire tale incursione.
I media, dall’ABC alla BBC, lo definivano un «conflitto», un’«invasione» o, secondo il termine preferito dalla Russia, un’«operazione militare speciale». Non si tratta di una vera e propria guerra. Alla fine, la confusione verbale si è diradata. Il mondo occidentale ha iniziato a pronunciare la parola “guerra”, definendo l’attacco per quello che è. Per le compagnie di assicurazione contro i rischi informatici, ciò sembrava risolvere la questione a loro favore, lasciando invece a bocca asciutta gli assicurati, preoccupati per gli attacchi informatici russi.
Negli ultimi anni si è registrato un aumento della domanda di assicurazioni contro i rischi informatici , trainata dal drastico aumento delle violazioni informatiche e dalla preoccupazione delle aziende in materia di prevenzione. Secondo una recente analisi dell’Ufficio di Contabilità del Governo ( ) , la percentuale di clienti assicurativi che hanno optato per una copertura contro i rischi informatici è passata dal 26% nel 2016 al 47% nel 2020.
La maggior parte delle polizze esclude la copertura per gli atti di guerra. Tuttavia, tali clausole relative alla “guerra” possono risultare complesse da Enforce. Ad esempio, gli Stati nazionali ostili raramente, se non mai, rivendicano la responsabilità degli attacchi informatici contro governi e imprese stranieri. Inoltre, paesi come la Russia e la Corea del Nord offrono rifugio a organizzazioni criminali informatiche e ad hacktivisti, i cui attacchi, pur essendo in linea con gli interessi della madrepatria, non sono considerati atti di guerra.
Le compagnie assicurative non vogliono correre alcun rischio. Molti stanno redigendo nuove clausole, con l’intento di proteggersi dai rischi ampliando il numero delle esclusioni dalla copertura. «Chubb ha reso pubblica la propria strategia volta a limitare la copertura per eventi di ampia portata», e un altro operatore di mercato sta valutando la stessa strategia, ha recentemente
dichiarato a Endpoint Monica Tigleanu, senior cyber underwriter presso il colosso tedesco della riassicurazione Munich Re.
«Nel mercato assicurativo vi è una grande sensibilità nei confronti del rischio sistemico», spiega, «e le esclusioni rappresentano un ulteriore strumento per gestire tale rischio».
Ciò dovrebbe mettere in allerta gli assicurati, così come dovrebbe farlo l’avvertimento lanciato lunedì dal presidente Biden: «Più Putin si trova con le spalle al muro, maggiore sarà la gravità delle tattiche che potrebbe adottare…». «Uno degli strumenti che, a mio avviso, a nostro avviso, è più probabile che utilizzi è quello degli attacchi informatici». Nel caso in cui vi fossero dubbi, egli ha aggiunto: «La portata delle capacità informatiche della Russia è piuttosto rilevante, e si sta concretizzando».
Ciò significa che la pressione sui leader del mondo degli affari, della tecnologia e della sicurezza informatica non è mai stata così forte. Devono individuare e mitigare i rischi digitali, sensibilizzare i propri dipendenti sull’importanza di una corretta igiene informatica, valutando al contempo con precisione quali spese saranno coperte e quali no dalle loro compagnie assicurative nel caso in cui si verifichi un’inevitabile violazione.
Che ci sia o meno una guerra, devono essere preparati.
Perché è che tratta l’esclusione relativa alla guerra nella vostra polizza di assicurazione informatica?
Le clausole di esclusione relative alla guerra fecero la loro prima comparsa nei contratti assicurativi nel 1930s , in risposta alla guerra civile spagnola. Ad alcuni potrebbero sembrare una scappatoia, semplicemente un altro modo in cui le compagnie assicurative cercano di evitare di risarcire i propri clienti. Ma il vero scopo di tali esclusioni è quello di tutelare gli assicuratori da eventi talmente catastrofici da poterli portare al fallimento nel tentativo di liquidare tutti i sinistri. Questo tutela anche tutti noi. Non ha senso stipulare un’assicurazione se la Sua compagnia assicurativa rischia di rimanere senza fondi.
Tuttavia, le compagnie assicurative redassero le clausole di guerra originarie nel corso di un vero e proprio conflitto, quando i danni alle persone e ai beni erano di natura fisica. La guerra cibernetica è più difficile da individuare.
«Il mercato assicurativo è molto sensibile al rischio sistemico e le esclusioni rappresentano un ulteriore strumento per gestirlo.»Monica Tigleanu, responsabile senior della sottoscrizione di polizze contro i rischi informatici, Munich Re
È anche più difficile da definire. Nel 2013, l’ex direttore della CIA Michael Hayden ha definito una serie di attacchi informatici sponsorizzati dallo Stato e provenienti dalla Cina come un evento paragonabile a quello di Hiroshima. Un anno dopo, il senatore John McCain, repubblicano dell’Arizona, ha affermato che l’attacco informatico sferrato dalla Corea del Nord contro la Sony Pictures Entertainment era “
«, una nuova forma di guerra»”. Non è così, ha affermato il presidente Obama, il quale ha definito l’attacco informatico ai danni di Sony, descritto come “
”, “cybervandalismo” e “non un atto di guerra”.
Tre anni dopo, anche l’attacco informatico NotPetya, che ha colpito aziende in tutto il mondo e causato danni per un importo compreso tra 2 e 10 miliardi di dollari, è stato considerato un atto di vandalismo, sebbene sia il governo degli Stati Uniti che quello del Regno Unito abbiano attribuito l’attacco alle forze armate russe.
NotPetya aveva preso di mira il settore finanziario ucraino. Ma è diventato virale e si è diffuso a livello globale grazie alle reti informatiche interconnesse di tutto il mondo. Il colosso farmaceutico Merck & Co. ha dichiarato di aver subito perdite pari a 1,4 miliardi di dollari a seguito dell’attacco. Tuttavia, le sue quasi tre dozzine di compagnie assicurative hanno respinto la richiesta di risarcimento, invocando la clausola di esclusione relativa alla guerra.
Merck ha citato in giudizio i propri assicuratori nel settore della sicurezza informatica e ha ottenuto ragione
Lo scorso dicembre, un giudice del New Jersey si è pronunciato a favore del colosso farmaceutico. Il giudice dell’ e ha stabilito che la clausola di esclusione relativa alla guerra si riferisse al conflitto armato. Il giudice ha inoltre osservato che, se gli assicuratori avessero voluto evitare di pagare per tali attacchi informatici, avrebbero dovuto modificare la formulazione per definire tali eventi.
La polizza di Merck era quella che viene definita una polizza “tutti i rischi”. Come ha scritto Michael Bahar, socio dello studio legale Eversheds Sutherland specializzato in contenzioso ed ex consigliere giuridico aggiunto del Consiglio di Sicurezza Nazionale, in un recente rapporto pubblicato su * *: «Le polizze “All-Risks” sono concepite per fornire copertura contro i danni materiali ai beni; tuttavia, molte polizze stipulate prima del 2018 non escludono né esplicitamente né implicitamente il rischio informatico e, pertanto, potrebbero fornire una copertura denominata “silent cyber” dal settore assicurativo».
Di conseguenza, Bahar ha raccomandato che, alla luce del caso Merck e in considerazione della nuova instabilità geopolitica e dell’accresciuto rischio di attacchi informatici, le aziende dovrebbero esaminare attentamente le proprie polizze assicurative «per garantire una copertura adeguata».
Oggigiorno, le aziende ricorrono spesso a polizze assicurative specifiche per i rischi informatici. Infatti, alle aziende che disponevano di tali polizze non sono state respinte le richieste di risarcimento relative a NotPetya.
[Leggi anche: L’ex capo della difesa sulla sicurezza informatica: «Siamo i nostri peggiori nemici»]
Ma le compagnie assicurative sono preoccupate. Gli attacchi ransomware di tipo “ ” continuano a crescere vertiginosamente. I premi assicurativi sono in aumento (del 130% negli Stati Uniti e del 92% nel Regno Unito nel quarto trimestre del 2021, secondo Marsh, una delle principali compagnie assicurative). «Se la criminalità informatica continuerà a dilagare senza controllo, [l’assicurazione] diventerà insostenibile dal punto di vista economico», ha osservato Adrian Cox, responsabile del settore “ CEO ” della compagnia assicurativa londinese Beazley, in un articolo pubblicato il mese scorso sul Financial Times nell’ambito della rubrica “ ”.
Rafforzate la vostra protezione adottando le misure di base per la sicurezza informatica
Sebbene nessun esperto di sicurezza possa garantire un futuro esente da attacchi informatici (o dalle controversie legali che potrebbero derivarne), esistono alcune pratiche fondamentali di “igiene informatica” che i dirigenti aziendali e i responsabili tecnologici possono adottare per ridurre i propri rischi.
- Legga attentamente le clausole scritte in piccolo. In primo luogo, dovrebbe esaminare attentamente le Sue polizze assicurative per verificare se offrono la copertura informatica più adatta alle Sue esigenze. «E laddove sussistano dubbi», osserva l’avvocato Bahar, «si dovrebbe cercare di garantire maggiore chiarezza».
La Lloyd’s Market Association, un’associazione di categoria del settore assicurativo che rappresenta il mercato Lloyd’s di Londra, ha redatto a novembre quattro nuove clausole che potrebbero sostituire o integrare la clausola standard di esclusione dei rischi di guerra nelle future polizze contro i rischi informatici. Al momento non è chiaro se qualcuno dei suoi 350 broker abbia adottato la nuova formulazione.
- Adottino le buone pratiche di sicurezza informatica. Questo non è solo un consiglio entusiasta da ignorare, come quelle esortazioni del vostro istruttore di Peloton. Le compagnie di assicurazione contro i rischi informatici stanno ora richiedendo «requisiti più rigorosi in materia di sicurezza informatica per gli assicurati, quali l’autenticazione a più fattori», afferma Fitch Ratings in un articolo pubblicato su Fitch Wire all’inizio di questo mese.
- Valutate il vostro rischio informatico. Un punteggio relativo ai rischi informatici fornito da può segnalare a un’azienda le vulnerabilità presenti nella propria strategia di sicurezza informatica ed evidenziare errori evitabili, quali la mancata installazione degli aggiornamenti software o la mancata gestione delle configurazioni . Risk Il punteggio mette inoltre in evidenza i Suoi punti di forza. Proprio come un biglietto da visita o uno strumento di marketing, rappresenta un modo per presentare le caratteristiche informatiche della vostra organizzazione agli assicuratori, ai consigli di amministrazione e ai partner della catena di fornitura. Anche un punteggio di rischio basso risulta utile, in quanto fornisce ai responsabili della sicurezza i dati precisi e necessari per definire nuove priorità e aumentare i budget destinati all’IT.
- Automatizzate ogni processo possibile. Non lo si ripeterà mai abbastanza. I reparti IT sono a corto di personale; i lavoratori sono esausti. Gli strumenti di automazione riducono il rischio di errore umano; rafforzano il vostro team di sicurezza, sostituendo le operazioni manuali con script e file di configurazione gestiti dai sistemi. Sono in grado di gestire una vasta gamma di attività di basso livello, dal ripristino delle password alla gestione delle patch , fino all’identificazione e alla mitigazione delle minacce. Essi possono migliorare la risposta agli incidenti consolidando le informazioni sulle minacce provenienti da più fonti, e il fatto che anche gli hacker stiano utilizzando questi strumenti (si pensi a NotPetya) la dice lunga.
Gli strumenti di automazione comunicano inoltre con i sottoscrittori assicurativi, dimostrando che, nonostante un organico ridotto o un budget limitato, i Suoi sistemi di sicurezza effettuano configurazioni, applicano patch e reimpostano le password in modo rapido e regolare.
[Legga anche: Perché abbiamo ancora bisogno della Giornata mondiale della password]
- Entrate in confidenza con il vostro sottoscrittore della polizza assicurativa contro i rischi informatici. Le compagnie assicurative stanno richiedendo maggiori impegni ai propri clienti. In senso letterale, i questionari utilizzati per stabilire le tariffe stanno diventando sempre più lunghi e dettagliati. Non lo prenda nel modo sbagliato. «Se avete l’impressione di essere messi sotto torchio… è perché abbiamo bisogno di comprendere [la vostra attività] nel modo più approfondito possibile», ha affermato Paul Gooch, sottoscrittore di polizze contro i rischi informatici presso Tokio Marine Kiln, nel podcast “ : Unsolicited Response” di Dale Peterson. «Cercate di non considerarla una situazione conflittuale.»
Quest’ultimo consiglio vale sia in tempo di guerra che in tempo di pace. Per quanto sia facile immaginare i sottoscrittori come dei Mr. Burns che si sfregano le mani , decisi a estorcere ai clienti quanto più denaro possibile, la realtà è meno pittoresca. Se gli assicuratori rifiutassero tutti i clienti e respingessero tutte le richieste di risarcimento, il mercato non esisterebbe.
Monica Tigleanu, responsabile della sottoscrizione dei rischi informatici presso Munich Re, si è detta d’accordo. «È importante che l’ Community i i sottoscrittori [in merito] alle ragioni che li hanno portati a prendere determinate decisioni», ha affermato. «Dobbiamo semplicemente comprendere quali siano i meccanismi di controllo in atto che consentiranno a tali proprietari di beni di dimostrare resilienza».
