Le polizze assicurative contro i rischi informatici spesso respingono categoricamente le richieste di risarcimento relative a guerra e terrorismo. Questo perché il rimborso alle aziende per le devastazioni su vasta scala causate da una guerra informatica porterebbe molte compagnie assicurative al fallimento. Tuttavia, alcune forme comuni di rischio catastrofico che attualmente vengono escluse in quanto non correlate alla guerra potrebbero presto diventare di competenza del governo in termini di mitigazione.
Nel mese di luglio, l’Ufficio per la responsabilità amministrativa del governo degli Stati Uniti ( , GAO) ha raccomandato ai Dipartimenti della Sicurezza Interna e del Tesoro di valutare se sia necessario un “meccanismo di sostegno” federale — analogamente a quanto avviene con l’assicurazione governativa che copre il mancato raccolto — per le polizze assicurative contro i rischi informatici volte a proteggere le infrastrutture critiche dagli attacchi. Le compagnie assicurative private hanno cercato sempre più spesso di compensare le perdite causate dal ransomware e da altri attacchi informatici classificandole come atti di guerra.
Per gli assicuratori, gli attacchi informatici contro le infrastrutture critiche assumono le sembianze di una forma di guerra quando sono gli Stati nazionali a finanziare e dirigere tali azioni di distruzione.
«Le compagnie assicurative non sono in grado di fornire copertura per atti di guerra», afferma Sridhar Manyem, direttore della ricerca e dell’analisi di settore presso AM Best, un’agenzia di rating globale specializzata nel settore assicurativo. «Ecco perché le clausole di esclusione relative agli atti di guerra sono ormai una prassi consolidata da oltre 100 anni.» Le esclusioni relative ai conflitti armati dalla copertura assicurativa furono introdotte nel 1930s in risposta alla guerra civile spagnola.
Ad esempio, le compagnie assicurative hanno sempre più spesso respinto le richieste di risarcimento relative ad attacchi informatici provenienti dall’Ucraina e dalla Russia, poiché i due Paesi sono coinvolti in un conflitto armato. Gli avvocati delle organizzazioni statunitensi che gestiscono infrastrutture critiche sottolineano tuttavia che, tecnicamente, gli Stati Uniti non sono in guerra con alcuna nazione, almeno non nel senso tradizionale del termine. Pertanto, sostengono, gli attacchi provenienti dalla Russia dovrebbero essere considerati alla stregua di qualsiasi altra fonte di minaccia.
Le controversie legali determinano le esclusioni
Insurers already depend on reimbursement from the federal Terrorism Risk Insurance Program (TRIP), which was established after 9/11 to underwrite acts of terrorism and cyberattacks that are “violent or coercive in nature.” Il problema del programma TRIP: la maggior parte degli attacchi informatici non rientra nella definizione di atti di guerra o di terrorismo ai sensi del programma, anche qualora comportino perdite catastrofiche.
«Gli assicuratori non sono in grado di fornire copertura per atti di guerra.»Sridhar Manyem, direttore della ricerca e dell’analisi di settore presso AM Best
Nel 2017 , una grave controversia sull’interpretazione dei limiti di copertura è approdata in tribunale quando il colosso farmaceutico Merck ha citato in giudizio alcune compagnie assicurative in merito alla copertura di 1,4 miliardi di dollari di perdite legate all’attacco informatico NotPetya , un malware di tipo “ ”, attribuito ad hacker militari russi. Nel caso “ gennaio 2022”, , la Merck ha avuto la meglio in una causa in cui un tribunale del New Jersey ha stabilito che l’esclusione relativa alla guerra si applicasse solo alla guerra armata, e non a quella informatica. Merck aveva richiesto il rimborso dei costi sostenuti a seguito di un attacco informatico tramite una polizza assicurativa sulla proprietà “all-risk”, anziché tramite una polizza specifica per i rischi informatici.
È improbabile che questa sentenza rappresenti l’ultima parola in merito. Con l’aumento dei casi di ransomware , e , nonché di attacchi di tipo “business email compromise” (BEC) , le compagnie assicurative hanno registrato perdite più elevate sia nelle polizze cyber autonome sia in quelle abbinate ad altre tipologie di assicurazione. Per ogni dollaro di copertura offerta, le compagnie assicurative subiscono attualmente una perdita di circa 65 centesimi per le polizze cyber autonome e quelle incluse in pacchetti assicurativi.
Si tratta di un valore più che doppio rispetto ai cosiddetti “indici di sinistralità” registrati nel 2017, che si attestavano a 27,5 centesimi per le polizze combinate e a 35,4 centesimi per quelle autonome, secondo una ricerca di AM Best intitolata “ ” ( ). I tassi di sinistralità pari a 65 centesimi per ogni dollaro superano di gran lunga la soglia di tolleranza della maggior parte degli assicuratori.
«Il settore assicurativo, così come è attualmente gestito, è solitamente un gioco in cui si vince sia in caso di successo che in caso di insuccesso», afferma Eric Gyasi, esperto di sicurezza informatica e avvocato che, per conto di Stroz Friedberg, una società del gruppo Aon, conduce indagini di risposta agli incidenti per conto di aziende vittime di attacchi informatici e intrusioni su larga scala. «Il mondo cibernetico ha stravolto non poco quel modello.»
Il rischio connesso all’assicurazione contro i rischi informatici presenta lo svantaggio di non essere facilmente diversificabile quanto quello di altre tipologie di copertura. Vi invitiamo a prendere in considerazione un'assicurazione contro le inondazioni. Qualora un grave evento alluvionale dovesse colpire uno Stato, i ricavi generati negli Stati non colpiti da gravi alluvioni contribuiscono a compensare le perdite subite dall’assicuratore.
Tuttavia, gli attacchi informatici raramente si limitano a un unico luogo. Quando attacchi su larga scala come NotPetya colpiscono le infrastrutture critiche, qualsiasi organizzazione dotata di hardware o software vulnerabili può esserne colpita. Le compagnie assicurative non possono diversificare il proprio portafoglio per sfuggire a quel tipo di rischio.
Le compagnie di assicurazione contro i rischi informatici scaricano il peso della situazione
A seguito del drastico aumento dei reati informatici, alcune compagnie assicurative hanno aumentato i premi e le franchigie, inasprendo al contempo le esclusioni e riducendo le tipologie di attività che sono disposte a coprire. Alcune compagnie assicurative, tra cui Lloyd’s of London, hanno annunciato che non copriranno più alcun attacco informatico attribuibile a Stati-nazione. Secondo quanto riferito, anche Lloyd’s avrebbe iniziato quest’anno a scoraggiare i circa 100 membri dei propri sindacati dal sottoscrivere polizze nel settore cyber. Analogamente, Chubb ha reso pubblica la propria strategia volta a limitare la copertura assicurativa per eventi di sicurezza informatica su larga scala.
«L’assicurazione, così come viene attualmente praticata, è solitamente un gioco in cui, che esca testa o croce, vincono comunque loro. Il mondo cibernetico ha stravolto notevolmente quel modello.”Eric Gyasi, vicepresidente responsabile della gestione dei rapporti con i clienti presso Stroz Friedberg
Gyasi sostiene che è per questo motivo che ritiene che le controversie relative alle esclusioni relative alla guerra e al terrorismo siano destinate a peggiorare prima di migliorare. L’assicurazione contro i rischi informatici è una forma di copertura ancora agli albori e, in un certo senso, gli assicuratori stanno procedendo alla cieca. I modelli attuariali utilizzati dagli assicuratori per prevedere il rischio sono in continua evoluzione. Inoltre, si trovano ad affrontare una carenza di dati, poiché molte, se non la maggior parte, delle aziende vittime di attacchi informatici evitano di segnalare gli incidenti. Nel frattempo, le norme e i requisiti a carico degli assicurati continuano a evolversi.
Allo stesso tempo, secondo il GAO, i tentativi di attacco informatico contro le infrastrutture critiche sono diventati più sofisticati e frequenti. Ciò è risultato dolorosamente evidente quando un attacco ransomware contro la Colonial Pipeline ha interrotto il flusso di petrolio verso la costa orientale nel 2021.
[Leggi anche: Il ransomware sta mettendo a dura prova il settore delle assicurazioni informatiche]
Osservatori come Gyasi di Stroz Friedberg sostengono che episodi così sconvolgenti spiegano perché il governo federale debba elaborare un sistema, analogamente a quanto fa la FDIC con l’assicurazione sui depositi bancari, per garantire che l’assicurazione contro i rischi informatici copra gli attacchi alle infrastrutture critiche, indipendentemente dal fatto che siano considerati legati alla guerra.
«Se ho ragione, il governo federale dovrà prevedere una misura di salvaguardia per alcune di queste questioni», afferma. «L’impatto ampio e profondo di un guasto alle infrastrutture critiche richiede una forma di responsabilità condivisa tra il governo e gli operatori.»
A tal fine, la Fed dovrà stabilire come definire le infrastrutture critiche nazionali: «Il vero problema è che questo settore sta cambiando molto rapidamente», afferma Gyasi. «È come cercare di piantare un palo nel terreno e scoprire che si tratta di sabbie mobili.»
