Предприятията в регулираните индустрии често сключват полици за киберзастраховане, тъй като договорите го изискват или бордовете на директорите настояват за документиран трансфер на риска. Глобалният пазар за тези полици достигна около 16 милиарда долара премии през 2024 г. Покритието стана широко разпространено, но изплащането на обезщетения стана по-малко предвидимо.

Пропастта между излагането на риск и покритието

Глобалната федерация на застрахователните асоциации, която представлява застрахователи, отговарящи за близо 90 процента от премиите в световен мащаб, количествено определи пропастта в киберзащитата на около 900 милиарда долара в доклад от 2023 г., като годишните икономически загуби от киберинциденти надхвърлят тази цифра. Бяла книга от 2024 г. на Marsh McLennan и Zurich Insurance Group затвърди тези констатации и призова за публично-частни действия за преодоляване на тази пропаст. Глобалната федерация на застрахователните асоциации достигна до подобни заключения независимо, описвайки застрахованите загуби като покриващи само малка част от годишните глобални загуби от кибератаки.

Пазарът на киберзастраховане в САЩ се сви по обем на премиите за първи път в историята, подтикнат от единадесет поредни тримесечия на спад на тарифите. Излишният капацитет понижи цените, въпреки че докладваните загуби нараснаха.

Заявленията за киберпокритие стават все по-дълги. Някои въпросници вече включват повече от петдесет елемента, обхващащи многофакторна автентификация, практики за архивиране, откриване на крайни точки, честота на отстраняване на уязвимости и тестване на реагирането при инциденти. Отговорите се превръщат в правни декларации. Контрол, който отпадне след подписването, или частично внедряване, описано като универсално, може да превърне по-късен иск в предмет на спор.

„Киберзастраховането има легитимна роля, но то не е инструмент за контрол, модел на доверие или стратегия за устойчивост. То е инструмент за финансиране на остатъчния риск“, сподели пред Help Net Security д-р Чейс Кънингам, бивш анализатор на NSA, който публикува анализи под името DrZeroTrust.

Отказите се групират около повтарящи се теми. Независими анализи сочат, че процентът на отказите по искове за кибератаки е между 40 и 44 процента. Делата се основават на невярно представяне на факти, пропуски в изискваните мерки за контрол и отговори в заявленията, разписани от служители без дълбоко техническо разбиране на удостоверенията.

Изключения, изключени от катастрофите

Съдебният спор на Merck относно щетите от NotPetya, които компанията оцени на приблизително 1,4 милиарда долара, тества изключението за война в полиците за имущество срещу „всички рискове“ и доведе до решение на апелативния съд в Ню Джърси в полза на фармацевтичната компания през май 2023 г. Дело приключи с поверително споразумение през януари 2024 г. Lloyd’s of London вече се беше насочил в същата посока, издавайки пазарен бюлетин през август 2022 г., който изисква самостоятелните киберполици изрично да изключват подкрепяни от държавата атаки от 31 март 2023 г. нататък, с четири моделни клаузи, предлагащи различни нива на ограничение.

Социалното инженерство попада в подобна зона. Стандартните полици често изключват изцяло тези събития или ограничават изплащанията до 250 000 долара – сума, която е далеч под средната загуба за този тип атака.

Системен риск и публична политика

Моделирането на сценарии от страна на Lloyd’s изчислява, че една голяма атака срещу глобалните платежни системи за финансови услуги може да струва на световната икономика приблизително 3,5 трилиона долара. Тази цифра е далеч над общите премии, които целият пазар на киберзастраховане събира всяка година.

Кънингам вижда място за федерална подкрепа при кибератаки по подобие на Закона за застраховане на риска от тероризъм, но при определени условия. „Мисля, че федералната подкрепа си струва да се проучи за наистина катастрофални системни киберсъбития, но само ако е проектирана като механизъм за устойчивост от последна инстанция, а не като субсидия за слаба сигурност“, каза той. Той аргументира, че правото на участие трябва да изисква минимални контроли, свързани с NIST CSF и целите за киберсигурност на CISA (Cybersecurity Performance Goals), с доказателства, базирани на факти, и че както застрахователите, така и притежателите на полици трябва да запазят сериозен дял от риска, за да не се налага данъкоплатците да покриват предотвратима небрежност.

Средните компании без специализиран CISO или вътрешен юрист често разчитат на брокери за тълкуване на киберриска. Кънингам препоръчва по-широк кръг от съветници. „Бих им казал да изградят малък консултативен триъгълник около застрахователния процес: брокер, специализиран в киберсигурността, независим технически съветник или временен CISO, и външен юрист, който разбира киберпокритието и реагирането при пробиви в сигурността“, каза той.

Той посочва целите за киберсигурност на CISA и материалите на NIST за киберсигурност за малкия бизнес като начални базови линии. Що се отнася до квалификацията на брокерите, той изброява PLUS обучение по киберотговорност, RPLU, CPLP, Associate in Cyber Risk Management на The Institutes, CPCU, ARM, CRM и CIC като полезни сигнали при подбора. Опитът с искове има толкова голямо значение, колкото и всяка квалификация.

Един въпрос, казва той, обикновено разкрива разликата: „Колко иска за кибератаки сте помогнали да бъдат управлявани?“ Повърхностният съветник пита за лимити, приходи и многофакторна автентификация. Сериозният съветник проучва къде се прилага многофакторната автентификация, кой притежава привилегирован достъп, как са защитени резервните копия, кога е извършено последното възстановяване и какви подлимити се прилагат за социално инженерство и прекъсване на бизнеса.

Решенията за покритие носят правна тежест в деня, в който се попълва въпросникът.