La cyber insurance è uno strumento di management e trattamento del rischio per limitare l’impatto economico di un incidente informatico con il fine di mantenere una stabilità finanziaria nel caso di attacco cyber.
La Cybersecurity Insurance è uno strumento emergente importante per proteggere le organizzazioni dalle perdite legate agli attacchi informatici. Ormai considerata una delle strategie per la gestione e trasferimento del rischio più efficaci, nasce dall’esigenza di disporre di un elemento aggiuntivo di tutela dell’organizzazione e della gestione della sicurezza informatica per contrastare i moderni attacchi e gli incidenti di cybersecurity, senza limitarsi esclusivamente alle misure di mitigazione del rischio.
La pandemia di COVID-19 ha costretto la società moderna a diventare sempre più dipendente dall’infrastruttura e dai servizi IT. Nello specifico, la transizione dal lavoro tradizionale allo smart working remoto ha portato a un aumento degli attacchi informatici, diretta conseguenza della maggiore superficie di attacco disponibile per gli hacker. Basti pensare come diverse organizzazioni hanno fatto affidamento su protocolli, come il Microsoft Remote Desktop Protocol (RDP), che sono diventati comodi punti di attacco per i criminali informatici. Di conseguenza, è emersa la necessità di una maggiore protezione dei sistemi IT e della infrastruttura aziendale.
A non bastare, i nuovi scenari geopolitici spingono le organizzazioni a investimenti significativi nel campo della cyber sicurezza al fine di sviluppare contromisure amministrative e tecniche e prevenire incidenti di sicurezza informatica accidentali o dolosi. Supply-chain attack, ransomware, compromissione della posta elettronica aziendale (BEC) e frode nel trasferimento di fondi (funds transfer fraud), sono solo alcune delle minacce informatiche che secondo il Rapporto Enisa Threat Land Escape 2021e l’Hiscox Cyber Readiness Report 2021 spingono le grandi aziende ad affidarsi alle coperture assicurative informatiche: le cybersecurity insurance.
Anche la ISO/IEC 27102:2019 fornisce le linee guida inerenti alla cyber insurance per la gestione della sicurezza delle informazioni, considerando l’assicurazione informatica come un’opzione aggiuntiva di trattamento del rischio per gestire l’impatto di un incidente informatico all’interno del quadro di gestione del rischio di sicurezza delle informazioni delle aziende.
La cyber insurance, secondo il framework ISO, può coprire una varietà di incidenti informatici che possono potenzialmente portare a perdite finanziarie significative dovute all’interruzione dell’attività, ai danni alla rete e a qualsiasi evento che comporti una perdita di sicurezza delle informazioni o un impatto sulle operazioni aziendali. Tra gli incidenti informatici che possono essere coperti dall’assicurazione si annoverano malfunzionamenti del sistema, violazioni dei dati, perdita di integrità o disponibilità, attività dannose ed errori umani.
Alcune soluzioni applicate in ambito assicurazioni cyber si fanno carico dei costi legati al recupero dei dati e alla ripresa e continuità delle attività aziendali, oltre a eventuali spese legali o relative agli esborsi connessi con le operazioni di notifica nei confronti dei clienti i cui dati sono stati violati. Di conseguenza, le cyber insurance possono coprire potenzialmente un’azienda sul piano operativo, strategico, organizzativo, a livello di pianificazione aziendale e di reporting.
Secondo il Ransomware Victims Report di Cloudian, il ransomware è una delle principali minacce informatiche che spinge le organizzazioni a selezionare l’assicurazione come strategia di mitigazione del rischio. Basti pensare che le organizzazioni con una polizza assicurativa attiva e vittime di ransomware hanno ricevuto un risarcimento pari a circa il 59% dell’importo del riscatto pagato riscatto e al 58% delle altre perdite derivanti dall’attacco ransomware.
L’attuale trend dell’outsourcing e del cloud computing aumenta ulteriormente la rilevanza e l’utilizzo della cyber insurance. Quando l’IT non viene gestito internamente risulta difficoltoso controllare i rischi attraverso semplici misure tecniche od organizzative. Strategia ideale è in questo caso, richiedere ai fornitori di servizi IT la stipula di un’assicurazione informatica per mitigare gli errori e omissioni, anche se molti di essi concordano service level agreement per limitare la loro responsabilità.
Per la maggior parte delle aziende che si affidano ai sistemi digitali per gestire parte delle proprie operazioni è fondamentale disporre di un’assicurazione in caso di guasti o danni IT in modo da non incorrere in difficoltà in caso di imprevisti.
La dimensione globale del Cyber Insurance Market è stata valutata 7.209,87 milioni di dollari nel 2022 e, secondo il nuovo Report di Research & Markets raggiungerà i 32,6 miliardi di dollari entro il 2028, con una crescita del mercato del 18,8% CAGR durante il periodo di previsione.
Il vantaggio di una cyber insurance consente pertanto di lavorare e investire nella tecnologia e nel digitale con maggiore tranquillità e minori preoccupazioni rispetto fattori esterni potenzialmente dannosi, tutelando la propria azienda dai danni alla tecnologia, inclusi hardware e software.
