Ottenere e mantenere una copertura assicurativa contro i rischi informatici rappresenta già di per sé una sfida non da poco in questi tempi caratterizzati da continui attacchi ransomware. Ora, a quanto pare, le aziende devono temere che le compagnie assicurative le citino in giudizio per rescindere le loro polizze, come se queste non fossero mai esistite.
Alla fine di agosto, la Travelers Property Casualty Company of America e la International Control Services (ICS) hanno raggiunto un accordo dinanzi a un tribunale federale dell’Illinois per ottenere l’approvazione della risoluzione della polizza assicurativa di ICS e di qualsiasi richiesta di risarcimento a seguito di un recente attacco ransomware . Nella propria causa, Travelers aveva sostenuto che, al momento di compilare la richiesta di assicurazione contro i rischi informatici, ICS avesse fornito informazioni inesatte riguardo all’esistenza di un sistema di autenticazione a più fattori (MFA) di tipo “”, requisito attualmente previsto dalla maggior parte delle polizze di questo tipo. (Travelers e ICS non hanno risposto alle richieste di commento.)
Il fatto che un’importante compagnia assicurativa abbia cercato di evitare di pagare un risarcimento non è sorprendente. Le compagnie assicurative lo fanno continuamente. Tuttavia, contestare la validità di una polizza già stipulata è un fatto estremamente insolito per qualsiasi tipo di copertura assicurativa e dovrebbe costituire un monito per le aziende che intendono stipulare un’assicurazione contro i rischi informatici affinché procedano con cautela.
Perché cercare lo scontro?
Sebbene gli assicurati non debbano aspettarsi che tali azioni legali diventino all’ordine del giorno, è probabile che il loro numero aumenti, secondo quanto affermato da Scott Godes, socio e copresidente del dipartimento di recupero sinistri e consulenza assicurativa presso Barnes & Thornburg, uno studio legale nazionale che rappresenta le aziende in cause relative al recupero sinistri.
«Da qualche tempo le compagnie assicurative minacciano, in modo discreto, di ricorrere alla rescissione delle polizze come “opzione nucleare”.»Scott Godes, socio e copresidente del dipartimento di recupero sinistri e consulenza assicurativa dello studio legale Barnes & Thornburg
«Da tempo ormai le compagnie assicurative minacciano, in modo discreto, di ricorrere alla rescissione delle polizze come “opzione nucleare”», afferma. «È davvero deludente vederlo. A mio avviso, si tratta di un modello che attribuisce la colpa all’assicurato, anziché puntare su una gestione più accurata del rischio. Si tratta di una strategia che consiste nell’utilizzare domande ambigue e formulate in modo ingegnoso nei moduli di richiesta a danno degli assicurati.”
Godes si riferisce alla prassi di attribuire alle aziende l’onere di attestare regolarmente le misure adottate per rafforzare la sicurezza informatica , anziché collaborare strettamente con gli assicurati per garantire che questi ultimi soddisfino le aspettative in materia di sicurezza. A seguito di un attacco, le compagnie assicurative sottopongono a un’attenta valutazione il livello di preparazione in materia di sicurezza informatica dell’assicurato. Spesso viene incaricato un investigatore forense di verificare l’accuratezza delle misure di sicurezza informatica che un’azienda ha dichiarato nella propria richiesta di assicurazione.
Secondo Godes, gli assicuratori dovrebbero collaborare più strettamente con gli assicurati per prevenire gli attacchi informatici ed evitare qualsiasi malinteso che possa sfociare in controversie. Alcune compagnie assicurative lo fanno già per altre forme di assicurazione. Ad esempio, alcune compagnie assicurative pubblicizzano la possibilità di offrire tariffe scontate agli automobilisti disposti a installare un dispositivo nelle proprie auto per monitorare le proprie abitudini di guida. Gli assicuratori potrebbero adottare una strategia simile di “controllo dei sinistri” nella stipula delle polizze contro i rischi informatici, anziché utilizzare le risposte fornite nelle richieste di adesione come “scappatoie”, sostiene Godes.
[Leggi anche: Il ransomware sta mettendo a dura prova il settore delle assicurazioni informatiche]
Tuttavia, molte aziende sono riluttanti a condividere informazioni dettagliate sulle proprie pratiche in materia di sicurezza informatica. Temono che le compagnie assicurative si intromettano in questioni che non le riguardano o che la divulgazione delle pratiche di sicurezza possa comportare potenziali implicazioni legali.
Affrontare le pratiche burocratiche noiose
Alla luce di tali difficoltà e della crescente ondata di attacchi ransomware di tipo “ ” e di altri attacchi informatici, molte compagnie di assicurazione informatica richiedono ai richiedenti di compilare questionari lunghi e complessi per poter beneficiare della copertura, afferma Josephine Wolff, professore associato di politica della sicurezza informatica presso la Fletcher School della Tufts University e autrice di * * e *Cyberinsurance Policy: Rethinking Risk in an Age of Ransomware, Computer Fraud, Data Breaches, and Cyberattacks*.
«Poiché le persone forniscono informazioni errate nelle loro polizze, intenzionalmente o meno, le compagnie assicurative reagiranno.»Gerry Glombicki, direttore senior, Fitch Ratings
«Queste domande sono diventate ormai così lunghe che alcune aziende riuniscono gruppi di tre o più persone in una stanza e dicono loro: “Rispondere a questo questionario sarà il vostro compito per il prossimo mese”».
Naturalmente, dedicare così tanto tempo a questa attività va a discapito di altre attività lavorative. È prassi più comune che sia un collaboratore dell’ufficio del CISO, del CIO, del CFO o del tesoriere a compilare i documenti assicurativi.
Il problema: è improbabile che una sola persona disponga delle competenze o del tempo necessari per rispondere in modo accurato ed esaustivo a ogni domanda di natura tecnica. Di conseguenza, si verificano errori, omissioni e dichiarazioni fuorvianti che inducono gli assicuratori a respingere le richieste di risarcimento o, come ha dimostrato Travelers con il suo caso che ha fatto giurisprudenza, a rescindere la copertura.
[Leggi anche: Il governo federale garantirà le assicurazioni contro i rischi informatici?]
«Ritengo che l’aspetto più rilevante che si osserverà sia che, quando le persone forniscono informazioni errate nelle proprie polizze, intenzionalmente o meno, le compagnie assicurative reagiranno», afferma Gerry Glombicki, direttore senior presso Fitch Ratings, una delle principali agenzie di rating del credito.
Scegliere le proprie battaglie
Tuttavia, anche se altre aziende dovessero seguire l’esempio di Travelers, gli osservatori del settore ritengono che probabilmente lo faranno con moderazione. Dal punto di vista dell’immagine pubblica, citare in giudizio gli assicurati di polizze contro i rischi informatici non è una mossa molto positiva.
«Non è affatto vantaggioso per le compagnie assicurative ritrovarsi coinvolte in una serie di contenziosi in cui cercano di invalidare la copertura sulla base di cavilli», afferma David Anderson, responsabile per gli Stati Uniti del settore cyber presso il broker di riassicurazione McGill and Partners.
«Tutto ciò che si scrive alle compagnie assicurative costituisce una dichiarazione, indipendentemente dal fatto che vi sia apposta la propria firma o meno.»David Anderson, responsabile per gli Stati Uniti del settore informatico presso McGill and Partners
«Mi sorprende che si verifichino del tutto contenziosi di questo tipo», concorda Sean O’Brien, ricercatore ospite presso l’Information Society Project della Yale Law School. «È una strategia terribile perché finirà per far sì che nessuno abbia più fiducia in questi prodotti.» «Hanno già abbastanza difficoltà a vendere assicurazioni contro i rischi informatici.»
«È un terreno scivoloso», aggiunge Gerry Kennedy, direttore della Charles River Insurance. «Voi affermate di garantire una copertura agli assicurati nel momento in cui ne hanno bisogno.» Ma poi, quando arriva il momento, gli toglie il terreno da sotto i piedi [rescindendo i contratti]? La maggior parte delle persone direbbe: «Sarebbe stato bello sapere che esisteva quella possibilità prima che lei respingesse la mia richiesta».
Come evitare i rischi legali
Per evitare spiacevoli sorprese, gli osservatori del settore raccomandano di adottare le seguenti precauzioni.
- Prenda sul serio il questionario. Per quanto queste domande siano diventate complesse, costituiscono dichiarazioni di fatto giuridicamente vincolanti. Una controversia può insorgere ogni volta che sussiste un’ambiguità. Prima di compilare una domanda, Anderson della McGill and Partners raccomanda di costituire un team interfunzionale di gestione dei rischi incaricato di raccogliere tutti i dettagli operativi e tecnici necessari per fornire risposte il più possibile complete e accurate.
- Si rivolga a un avvocato. Anderson suggerisce inoltre di rivolgersi a un avvocato sin dalle prime fasi, affinché possa fornire assistenza nel processo e verificare le risposte al questionario. «Tutto ciò che si invia per iscritto alle compagnie assicurative costituisce una dichiarazione, indipendentemente dal fatto che vi sia apposta la propria firma o meno», afferma. «Assumere un avvocato è un’operazione costosa e non sono molte le aziende, soprattutto quelle a conduzione familiare, che possono permetterselo.» «Ma, se ne avete la possibilità, è consigliabile.»
- Map la Sua esposizione. Durante il processo di richiesta, è importante tenere presente che i criminali informatici spesso prendono di mira soggetti terzi. Potrebbe diventare un problema in futuro se un’azienda dichiari di disporre dell’autenticazione a più fattori (MFA), ma non si assicuri che anche i propri partner e fornitori affiliati la utilizzino, osserva Kennedy di Charles River. Egli suggerisce di rivolgersi all’assicuratore per verificare se una gestione dei rischi di terze parti rientri tra le sue aspettative e, in tal caso, di chiarirne i requisiti.
- Si assicuri di sapere cosa sta attestando. La responsabilità ricade su chiunque apponga la propria firma sulla linea tratteggiata di una richiesta di assicurazione contro i rischi informatici. Se in seguito dovesse verificarsi un problema, sarà quella persona a trovarsi nel mirino di eventuali procedimenti legali. Per questo motivo, Glombicki di Fitch sottolinea che il firmatario, che idealmente dovrebbe essere un dirigente di alto livello, dovrebbe essere consapevole di ciò che sta attestando, a tutela sia propria che dell’organizzazione.
- Siate sinceri. Wolff della Tufts sottolinea che la cosa peggiore che un’azienda possa fare è sorvolare sulla verità. Sebbene non sia necessario entrare eccessivamente nei dettagli, i dirigenti dovrebbero mostrarsi il più trasparenti possibile per evitare accuse di false dichiarazioni. Ad esempio, se un’azienda ha implementato l’autenticazione a più fattori (MFA) in alcune sedi ma non in altre, i dirigenti dovrebbero individuare dove è presente e dove invece non lo è.
- Comprendete il contenuto della polizza. Quando stipulate un'assicurazione contro i rischi informatici, non date per scontato che la vostra polizza vi protegga da ogni scenario immaginabile. L’assicurazione non funziona in questo modo. È quindi estremamente importante comprendere il contenuto di una polizza e prestare particolare attenzione alle esclusioni espressamente indicate , avverte Eric Gyasi, avvocato e vicepresidente di Stroz Friedberg, una società del gruppo Aon.
«Potrebbe sembrare un po’ banale, ma le organizzazioni tendono a impostare le cose una volta per tutte e poi non occuparsene più», afferma. «In effetti, una polizza potrebbe non coprire ciò che pensava fosse coperto.»
Le compagnie assicurative non si stanno ancora affrettando a rescindere le polizze che hanno stipulato. Tuttavia, gli osservatori ritengono che quasi certamente seguiranno altre cause simili a quella “Travelers contro ICS”, poiché il settore cerca di perfezionare i propri modelli di rischio e le proprie regole.
Come avverte Godes dello studio Barnes & Thornburg: «Le aziende dovrebbero tenere presente che gli operatori stanno adottando un approccio più aggressivo e rigorosamente letteralista nei confronti delle loro richieste — e reagire di conseguenza».
