Chris Hallenbeck é o Chefe de Segurança da Informação para as Américas na Tanium.
De acordo com o antigo diretor do FBI, Robert Mueller: “Todas as empresas estão sujeitas ao risco de serem invadidas por hackers; nenhuma está imune a esse perigo”.
Ao longo dos últimos anos, o aumento da consciência popular e de ataques frequentes, tudo junto com a indubitável verdade, resultou numa crescente procura por seguros cibernéticos. De acordo com a Informação do Escritório de Contabilidade do Governo dos Estados Unidos (GAO), os segurados que optaram por cobertura cibernética aumentaram de 26% em 2016 para 47% em 2020.
Devido ao confronto existente na Ucrânia, as companhias de seguros encontram-se sob maior pressão, com receios de que um aumento nos ataques cause um aumento nas reivindicações. Apesar de não poder ser negado que as forças de Estado-nação aumentaram seus esforços para aproveitar o desordem devido à Ucrânia-Rússia, o seguro cibernético não é a solução para a ameaça crescente.
Rever a segurança cibernética
Desde que o seguro cibernético se tornou parte do cenário na última década dos anos 90, as restrições são mais rigorosas e a cobertura, menos generosa. Uma tendência forte em todos os setores tem sido a de abordar problemas de maneira diferente quando a palavra “cibernético” é usada. Considerar “cibernético” como algo distinto e em alguns casos separado completamente da fraude tradicional não reflete a essência do assunto.
No início, a indústria de seguros caiu em uma armadilha. Porém, nota-se agora uma mudança para o modo de medição de risco tradicional. Os subscritores estão se aproximando do seguro cibernético da mesma maneira que se aproximam de seguros físicos – examinando onde os maiores riscos se situam e determinando quais devem ser excluídos da cobertura, além de estabelecer um limite para definir o que é cuidado razoável. Ao mesmo tempo, os prêmios de seguros cibernéticos estão aumentando. Segundo o GAO, no final de 2020, mais da metade dos detentores deste tipo de seguros viram o preço de sua cobertura subir entre 20% e 30%.
Embora o conflito atual na Ucrânia provavelmente leve a um aumento nas compras de seguro cibernético, a realidade dura é que a maior parte da cobertura não protegerá as empresas de ataques de Estado-nação ou até mesmo ransomware. Na verdade, a maioria das políticas de seguro cibernético já inclui cláusulas para excluir atos de guerra, e no resquício da luta atual, provavelmente veremos mais refinamento da linguagem e uma expansão no número de exclusões de cobertura, enquanto as seguradoras olham para proteger seus riscos. Com companhias de seguros apertando suas bolsas e atacantes duplicando seus esforços, qual é a resposta para organizações que procuram mitigar o risco?
Corrija: Reduza os Riscos, Não as Ameaças.
A conclusão é que, antes de adquirir um seguro cibernético apenas no caso de sofrer um ciberataque, você deve se certificar de que as medidas de segurança são adequadas e que há um plano de recuperação de desastres em vigor. A primeira etapa deve ser a realização de uma análise de risco.
Não se pode calcular se o seguro compensa o custo sem calcular o efeito de um ataque cibernético – e para isso é preciso ter dados numéricos, o que significa que o risco tem que ser medido com precisão. É provável que a análise se torne o padrão, com as seguradoras a completar estudos para decidir se aprovam a subscrição da apólice.
Quando é que o seguro é uma boa escolha?
Assim, a segurança é essencial para a gestão de riscos. Quando um perigo pode ter um grande impacto, mas baixa chance de ocorrer, o seguro é uma escolha apropriada. Avaliando o custo de redução de risco em comparação com a probabilidade de ele acontecer, descobrimos que o custo de mitigação da ameaça seria alto para uma baixa probabilidade, tornando o seguro uma decisão racional.
Muitas organizações devem seguir etapas básicas para garantir sua segurança – o padrão obrigatório de cuidado. Se uma análise de risco mostrar vulnerabilidades na segurança, é hora de voltar às bases de segurança cibernética. Como muitos departamentos de TI são subfinanciados e subdimensionados, é importante automatizar o monitoramento de riscos para detectar e corrigir ameaças de maneira contínua e em tempo real.
Ao implementar mais soluções de segurança em toda a organização, é importante que você possa monitorar e controlar essa tecnologia sempre e a partir de qualquer lugar. Ao consolidar suas ferramentas de segurança, você aumenta a visibilidade da propriedade de TI. Após realizar uma análise de risco completa, aperfeiçoar a base de segurança e realizar uma análise de custo-benefício que necessite de comunicação aberta entre o CISO e o CFO, e até mesmo com o conselho, você deve considerar investir em seguro cibernético.
Seguro cibernético – Fine Print
À medida que a luta entre a Rússia e a Ucrânia se intensifica e outros países e delinquentes nacionais aproveitam a desordem, é provável que vejamos o interesse na segurança cibernética aumentar, mas eu arriscaria dizer que aquelas empresas que se inscreverem para cobertura serão aquelas que não conseguem ver os termos e condições.
Conforme testemunhamos uma maior clareza das políticas de seguro cibernético consequentes a NotPetya, o futuro trará mais avaliação e alteração das cláusulas de exclusão. Uma vez que as seguradoras não são prováveis de reembolsar as empresas nos casos de ataques de ransomware em tempos de guerra, as organizações devem se concentrar em higiene cibernética preventiva.
Como você normalmente pode prevenir um acidente de carro ao manter o seu veículo e guiar com cuidado – tendo uma visão clara de seu risco e tomando medidas para enfrentá-lo, também pode-se limitar a chance de um ataque cibernético destrutivo. De fato, o melhor meio de proteção contra um ciberataque não é uma política, mas sim uma estrutura sólida de segurança.
Chris Hallenbeck, colaborador do Infosec Insiders, é o CISO das Américas da Tanium. Com sua liderança em segurança e experiência adquirida ao longo de duas décadas em serviços públicos e privados, ele fornece uma visão operacional única.
Explore mais insights da comunidade Infosec Insiders da Threatpost visitando nosso microsite.
Registre-se agora para esta oportunidade on-line: junte-se a Threatpost e Tom Garrison da Intel Security em uma mesa redonda da Threatpost, discutindo inovação, permitindo que as partes interessadas estejam à frente de um ambiente de ameaças em constante mudança. Além disso, saiba o que a Intel Security descobriu com sua pesquisa mais recente em parceria com o Ponemon Institute. Inscreva-se!
Por favor, dê uma olhada neste artigo e compartilhe-o.
- O Insider de Segurança da Informação é um sítio web dedicado a fornecer informações sobre os mais recentes desenvolvimentos e atualidades no setor.
