Molti dirigenti hanno l’impressione che le compagnie assicurative stiano abbandonando il mercato della sicurezza informatica, vista la vertiginosa crescita dei risarcimenti a seguito dell’impennata degli attacchi ransomware.
Beh, non è proprio così.
Sebbene alcuni dati aneddotici suggeriscano che alcuni assicuratori di minori dimensioni stiano limitando o eliminando la copertura contro i rischi informatici, la maggior parte degli assicuratori, dei broker e dei riassicuratori intervistati da Endpoint continua a essere fortemente presente in questo settore. Infatti, Fitch Ratings, l’agenzia che assegna i rating creditizi alle compagnie assicurative, afferma che il mercato statunitense dell’ e per le assicurazioni contro i rischi informatici, pari a 4,8 miliardi di dollari, è cresciuto del 74% nel 2021. GlobalData prevede che i premi lordi sottoscritti supereranno i 20 miliardi di dollari di 2025.
«L’assicurazione contro i rischi informatici è diventata il segmento in più rapida crescita del mercato statunitense delle assicurazioni danni, poiché l’evoluzione delle minacce ha fatto aumentare la domanda di copertura», afferma Gerry Glombicki, direttore senior presso
Fitch Ratings.
Nonostante dia l’impressione di essere un mercato florido, tuttavia, il settore delle assicurazioni contro i rischi informatici si trova ora a un bivio. Le compagnie assicurative continuano a realizzare profitti, ma stanno anche rivedendo radicalmente i propri modelli di sottoscrizione per stare al passo con l’evoluzione del profilo di rischio.
La conclusione per i responsabili finanziari e gli altri dirigenti alla ricerca di polizze assicurative è la seguente: l’assicurazione contro i rischi informatici è ancora ampiamente disponibile, ma le organizzazioni dovranno pagare di più e affrontare ulteriori ostacoli per ottenere una copertura notevolmente inferiore.
Cosa copre l'assicurazione contro i rischi informatici?
I dirigenti che si avvicinano per la prima volta a questo settore dovrebbero sapere che l'assicurazione contro i rischi informatici funziona in modo molto simile a qualsiasi altro tipo di assicurazione. Le aziende richiedono la copertura assicurativa tramite broker o compagnie assicurative. I sottoscrittori valutano il livello di sicurezza di ciascun richiedente per assicurarsi che questi adotti le precauzioni di base contro gli attacchi informatici che potrebbero causare tempi di inattività significativi e perdite di reddito.
«. Prevediamo che la maggior parte dei nostri clienti dovrà affrontare un qualche tipo di attacco informatico ogni cinque-sette anni.»David Anderson, responsabile per gli Stati Uniti del settore informatico presso McGill and Partners
Gli assicuratori si avvalgono di modelli in continua evoluzione per stabilire l’entità della copertura che sono disposti a offrire e a quale tariffa. Se tutto risulta in regola, la polizza viene emessa e l’assicuratore, di norma, trasferisce una parte del rischio connesso a tale polizza a una società di riassicurazione . Il mercato della riassicurazione consente agli assicuratori di stipulare un numero ancora maggiore di polizze e di continuare ad espandere la propria attività.
In passato, secondo David Anderson, responsabile per gli Stati Uniti del settore cyber presso il broker di riassicurazione McGill and Partners, la sottoscrizione era un processo rapido e semplice. Ai candidati potrebbe essere chiesto se dispongano di un programma antivirus (AV) e di strumenti per il backup.
«Se lo facessero, l’assicuratore risponderebbe: “Ottimo, ecco il preventivo, buona giornata”», afferma Anderson. «Ora, è: “Mi faccia vedere”.» «Il processo di valutazione del rischio è diventato molto più impegnativo, lungo e approfondito».
Gli attacchi ransomware cambiano tutto
Il flagello del ransomware ha modificato le regole del gioco sia per gli assicuratori che per le organizzazioni da essi tutelate. Si considerino alcune statistiche:
- Gli attacchi ransomware segnalati hanno registrato un’impennata di quasi il 51% lo scorso anno rispetto al 2020.
- Le perdite rettificate hanno raggiunto un totale di oltre 49 milioni di dollari, con un aumento di quasi il 69% rispetto ai 29,2 milioni di dollari del 2020.
- I pagamenti medi per il ransomware hanno raggiunto 812.000 dollari nel 2021, rispetto ai 170.000 dollari del 2020.
- Il ransomware è stato all’origine del 75% di tutte le richieste di risarcimento relative alle assicurazioni contro i rischi informatici nel primo semestre del 2021.
Le compagnie assicurative sono preoccupate per questi sviluppi, nonché per la crescente sofisticazione e l’audacia degli attacchi informatici.
Gli autori degli attacchi descritti nel documento 2021 hanno mostrato una tendenza preoccupante per quanto riguarda l’entità delle loro richieste e gli importi che, secondo quanto riferito, avrebbero ricevuto: Kaseya VSA (70 milioni di dollari richiesti); Acer (50 milioni di dollari richiesti); la compagnia assicurativa CNA Financial (40 milioni di dollari pagati); Kia Motors (20 milioni di dollari richiesti); e Colonial Pipeline (4,4 milioni di dollari pagati).
Per far fronte a questa ondata di attività illecite, il settore assicurativo ha inasprito notevolmente i criteri di sottoscrizione al fine di ridurre il volume dei sinistri, che, secondo Fitch, è aumentato del 100% all’anno negli ultimi tre anni.
Pagare di più per una copertura assicurativa contro i rischi informatici inferiore
Come primo passo, il settore ha aumentato i tassi dei premi sottoscritti direttamente del 74% nel 2021. Secondo il consulente Smith, le aziende statunitensi pagano attualmente in media 1.485 dollari all’anno, ovvero 124 dollari al mese, per una copertura assicurativa contro i rischi informatici. «I prezzi stanno aumentando a un ritmo notevolmente superiore rispetto ad altri settori commerciali», osserva un rapporto di Fitch.
Allo stesso tempo, l’ e di settore ha ridotto i massimali delle assicurazioni contro i rischi informatici — ovvero l’importo massimo che pagheranno per un sinistro — da 10 milioni di dollari a 5 milioni di dollari per molti settori, aumentando al contempo le franchigie, note anche come “ritenute”, secondo quanto riferisce l’Associazione Nazionale dei Commissari Assicurativi (NAIC). Infatti, gli esperti del settore affermano di aver riscontrato casi in cui le franchigie sono passate da circa 25.000 dollari a ben 250.000 dollari nell’ultimo anno o due.
Inoltre, gli assicuratori stanno diventando molto più selettivi riguardo ai settori che sono disposti a coprire. Sta diventando «quasi impossibile» assicurare i settori che sono stati presi di mira in modo sproporzionato, quali governo, istruzione, sanità e servizi pubblici, afferma Kirsten Bay, CEO di Cysurance, società specializzata in assicurazioni contro i rischi informatici per le piccole e medie imprese. Inoltre, se siete un fornitore di servizi gestiti (MSP), potete scordarvi di ottenere una buona copertura.
«Ciò non significa che non ci sia disponibilità», afferma. «Ciò significa che il limite di 5 milioni di dollari di cui avete realmente bisogno sarà molto più difficile da ottenere.» Ad esempio, potrebbero offrire una copertura di 3 milioni di dollari, addebitare un importo molto più elevato per essa e dirLe che gli altri 2 milioni di dollari devono provenire da una polizza di franchigia.”
Alcuni assicuratori stanno addirittura cercando di limitare i risarcimenti ingenti, imponendo restrizioni — talvolta molto severe — alle dimensioni delle aziende che sono disposti ad assicurare, afferma Kurt Suhs, CEO di Cyber Special Ops, un servizio personalizzato che assiste le aziende nella gestione degli attacchi informatici. Egli afferma che gli assicuratori potrebbero esercitare pressioni sui broker affinché stipulino polizze del valore di miliardi di dollari e limitino la copertura alle aziende con un fatturato pari o inferiore a 250 milioni di dollari.
Dimostratelo o lo perderete
Più in generale, i vettori stanno rendendo più rigorosi i propri requisiti di ammissibilità. Proprio come chi richiede un’assicurazione sulla vita potrebbe dover sottoporsi a una visita medica e fornire la propria anamnesi per ottenere determinate tariffe assicurative, gli assicuratori informatici richiedono alle organizzazioni di soddisfare standard di base in materia di igiene informatica cyber hygiene.
«Alcune compagnie assicurative hanno ridotto il volume delle polizze cyber che sono disposte a sottoscrivere o si sono addirittura ritirate completamente dal mercato.»Tom Johansmeyer, responsabile di PCS, una divisione di Verisk
Le buone pratiche comprendono in genere l’adozione di un sistema di autenticazione a più fattori (MFA), la protezione endpoint , un solido antivirus, backup ridondanti e offline sempre aggiornati, nonché programmi di sensibilizzazione e formazione in materia di sicurezza. Anche per gli assicuratori i punteggi relativi al rischio informatico assumono un’importanza sempre maggiore. Se un’organizzazione non è in grado di soddisfare tutti i requisiti necessari, rischia probabilmente di vedersi applicare tariffe più elevate, di subire una riduzione della copertura assicurativa o di vedersi respinta la richiesta.
«Questi sono i tipi di dati che ogni sottoscrittore considera ormai come fattori determinanti per l’approvazione o il rifiuto», afferma Anderson di McGill and Partners. «La mancanza di MFA, ad esempio, è del tutto inaccettabile.» «Se non dispone di tale servizio per l’accesso remoto, non potrà essere assicurato.»
Il numero crescente di requisiti in materia di sicurezza informatica può risultare frustrante per i dirigenti, afferma Bay di Cysurance. Tuttavia, secondo lei, tali vincoli rappresentano anche un’opportunità per i CISO di rivolgersi ai propri dirigenti di alto livello in merito alla necessità di stanziare maggiori fondi per gli aggiornamenti in materia di sicurezza informatica in tutta l’organizzazione.
«I professionisti della sicurezza devono intrattenere un dialogo più approfondito con i propri dirigenti in merito al valore degli investimenti nella sicurezza informatica e all’impatto finanziario che ciò potrebbe avere sull’azienda», afferma. «Ritengo che, tra quanto sta accadendo nel settore delle assicurazioni contro i rischi informatici e l’aumento dei casi di ransomware, sia un argomento di cui parlare oggi più facilmente che mai.»
Oltre ai requisiti di sicurezza, la maggior parte degli assicuratori sta ampliando l’elenco delle situazioni che non saranno coperte, note come “esclusioni”. Ad esempio, avendo tratto insegnamento dall’esperienza del 9/11 e dalla pandemia, sono poche le compagnie assicurative private disposte a condividere le perdite derivanti dalla guerra informatica o da guasti alle infrastrutture.
Il programma federale di assicurazione contro il terrorismo “ Risk ” (TRIP) potrebbe aiutare gli assicuratori a coprire alcune perdite derivanti da attacchi di terrorismo informatico. Tuttavia, le norme che definiscono cosa si intenda per “incidente legato al terrorismo” sono formulate in modo restrittivo e, al momento, non risultano di aiuto alle aziende. Recentemente, la mancanza di copertura assicurativa ha indotto il Government Accountability Office (GAO) degli Stati Uniti a raccomandare al Dipartimento del Tesoro e al Dipartimento per la Sicurezza Interna di valutare la necessità di un sistema federale di sostegno assicurativo — analogamente a quanto avviene, ad esempio, con i sussidi governativi alle assicurazioni agricole — al fine di ovviare alla mancanza di copertura assicurativa, in particolare per le organizzazioni che gestiscono infrastrutture critiche.
Secondo Fitch, la riduzione dell’esposizione ai sinistri legati agli attacchi informatici, ottenuta attraverso premi più elevati ed esclusioni, ha consentito al settore delle assicurazioni contro i rischi informatici di ridurre il proprio indice di sinistralità diretta, ovvero l’importo corrisposto ai richiedenti, dal 72% nel 2020 al 65% dello scorso anno. Recentemente, il *Wall Street Journal* ha descritto come i funzionari della Casa Bianca abbiano accolto con favore l’applicazione di maggiori controlli sugli standard di approvazione nel contesto di un’ondata di attacchi da parte di Stati nazionali, in particolare a partire dall’invasione russa dell’Ucraina.
Tuttavia, l’adozione di linee guida più rigorose ha anche avuto l’effetto di ridurre la disponibilità dei livelli di copertura assicurativa contro i rischi informatici precedentemente offerti, il che costituisce uno dei “motivi principali per cui le persone ritengono che la copertura stia scomparendo”, afferma Anderson.
Stipulare o meno un'assicurazione contro i rischi informatici?
L’impressione che non siano disponibili coperture assicurative è destinata probabilmente a persistere, poiché gli assicuratori continuano a modificare i propri modelli di business per mantenere la redditività, afferma Tom Johansmeyer, responsabile di PCS, una divisione della società di analisi dei dati e valutazione dei rischi Verisk specializzata nel calcolo dei danni catastrofici alle proprietà assicurate. Nonostante sembri che si stia puntando tutto sull’assicurazione contro i rischi informatici, «alcuni assicuratori hanno ridotto il volume delle polizze che sono disposti a sottoscrivere in questo settore o si sono addirittura ritirati completamente dal mercato», afferma.
La conseguenza per le organizzazioni, aggiunge, potrebbe essere un crescente “divario nella copertura assicurativa contro i rischi informatici”. Anche se le aziende o le agenzie soddisfano i requisiti per un determinato livello di copertura, potrebbero non ricevere un importo sufficiente a coprire le potenziali perdite.
Legga anche: Come ridurre al minimo le perdite sin dall’inizio? Unificare l'IT e la sicurezza
La riduzione della copertura assicurativa ha indotto alcune organizzazioni a chiedersi, come riportato su , se sia necessario stipulare un’assicurazione contro i rischi informatici oppure se, in caso di incidente, sia sufficiente coprire le spese di tasca propria. «Abbiamo parlato con un distretto scolastico in cui il premio assicurativo stava aumentando da 1 milione a 2 milioni di dollari all’anno, nonostante non avessero subito perdite né presentato richieste di risarcimento», afferma Suhs di Cyber Special Ops. «Cominciarono a chiedersi: “Vale la pena ricorrere all’autoassicurazione?”» “Credo che oggigiorno siano sempre più numerose le organizzazioni che lo fanno.”
Non tutti raccomandano tuttavia l’approccio dell’autoassicurazione, data l’entità delle perdite che le organizzazioni potrebbero subire in caso di un grave attacco informatico.
«Prevediamo che la maggior parte dei nostri clienti dovrà affrontare un qualche tipo di attacco informatico ogni cinque-sette anni», afferma Anderson. «Anche con i prezzi e i premi attuali, se si parte dal presupposto che si subirà un sinistro e che ciò comporterà dei costi, [stipulare un’assicurazione] è probabilmente un affare piuttosto vantaggioso nel lungo periodo.»
