Търсене
Close this search box.

Пренасочване на киберзастраховането към валидиране на сигурността

Нарастването на разходите за нарушаване на сигурността на данните, откупи и други кибератаки води до увеличаване на премиите за киберзастраховане и до по-ограничено покритие на киберзастраховките. Тази ситуация с киберзастраховането увеличава рисковете за организациите, които се борят да намерят покритие или са изправени пред рязко увеличение.

Някои клиенти на адвокатската кантора Akin Gump Strauss Hauer & Feld LLP например съобщават за трикратно увеличение на застрахователните тарифи, а превозвачите правят „огромно отстъпление“ от лимитите на покритие през последните две години. Техният съръководител на практиката по киберсигурност Мишел Рийд добавя: „Намалената сума на покритието вече не може да предпази притежателите на полици от киберзагуби. Полица за 10 млн. долара може да се окаже с лимит от 150 000 долара за кибер измами“.

Ситуацията с киберзастраховането е толкова тревожна, че Министерството на финансите на САЩ наскоро публикува искане за публичен принос към потенциална федерална програма за реакция при киберзастраховане. Това искане е в допълнение към оценката, водена съвместно от Федералната застрахователна служба (FIO) и Агенцията за киберсигурност и инфраструктурна сигурност (CISA) към Министерството на вътрешната сигурност, за да се определи „степента, до която рисковете за критичната инфраструктура от катастрофални киберинциденти и потенциални финансови експозиции изискват федерална застрахователна реакция“.

Това е пряк резултат от еволюцията на естеството на кибератаките, която отразява еволюцията на цифровата среда и ефекта на улесняване на престъпността с криптовалута. От страна на киберпрестъпниците комплектите за зловреден софтуер „Направи си сам“ и платформите „Зловреден софтуер като услуга“ премахнаха бариерата за навлизане в киберпрестъпността и направиха стартирането на сложни атаки достъпно за желаещите престъпници, на които им липсва техническа грамотност.

Киберзастраховките покриваха само прекъсване на дейността, възстановяване на данни и щети по инфраструктурата. Днес се очаква те да покриват и разходите за киберизнудване, рисковете за репутацията, глобите за неспазване на правилата и рисковете за отговорност на трети страни – област, която се разраства, тъй като взаимосвързаността между организациите продължава да се разширява.

Класическите инструменти за оценка на премията на застрахователя по киберзастраховане са оценката на придържането към най-добрите практики и тестовете за проникване. Въпреки това ограниченията, присъщи на тези подходи, са проблематични на няколко нива.

  • Ограничения на оценката, основана на най-добрите практики.
  • Не всички най-добри практики са подходящи за всяка организация.
  • Дори спазването на най-добрите практики осигурява ограничена защита.
  • Някои от най-добрите практики, като например цялостното поправяне, са непостижими. Нереалистично е дори ограничаването на закърпването до уязвимости с оценка по CVSS над 9. От 20184 нови уязвимости, разкрити през 2021г., 1165 са с оценка над 9.
  • Ограничения на тестовете за проникване
  • Валидността на резултатите зависи от способностите и инструментариума на тестващия.
  • При него липсва непрекъснатост. Като точково изпитване то осигурява моментна снимка на организацията в един момент: гъвкавото развитие, нововъзникващите заплахи и взаимосвързаността ограничават актуалността на тестовете за проникване през целия живот.

Непрекъснатите техники за валидиране на сигурността, като симулация на пробив и атака, управление на повърхността на атаката и оценка на излагането на заплахи, които оптимизират програмите за сигурност, минимизират излагането на заплахи и осигуряват количествени ключови показатели за ефективност, които могат да се наблюдават във времето, променят правилата на играта. Преминаването от отбранителна, реактивна перспектива за оценка на излагането на заплахи на застрахованата страна предполага преминаване към оценка на действителните щети, които атаките биха причинили в цялата матрица на MITRE ATT&CK TTPs.

При преговорите със застраховател по киберзастраховане компания, която може да предостави количествени, документирани оценки, извършени с технологии за валидиране на сигурността, може да води дискусията, като демонстрира как:

  • Намалява рисковете отвъд най-добрите практики – цялостните оценки измерват състоянието на сигурността на организацията въз основа на нейната действителна устойчивост на атаки, а не на теоретична прогноза за сигурността, получена чрез спазване на най-добрите практики.
  • Количествена оценка на риска – количествените оценки на риска, основани на процента на имитация на атака, открита и предотвратена от пакета от защитни инструменти, осигуряват незабавна оценка на действителната ефикасност на киберзащитата. Усъвършенстваните технологии за валидиране на сигурността включват оценки на пълната верига на поражение и възможности за странично движение, които осигуряват точна мярка за степента на потенциалните щети, които би постигнал един успешен пробив.
  • Предотвратяване на отклонението в сигурността – тъй като автоматизацията на симулацията на атака позволява непрекъсната повторна оценка на устойчивостта в контекста, пропуските в сигурността, произтичащи от нови внедрявания или възникващи заплахи, се сигнализират незабавно и могат да бъдат отстранени, преди да застрашат позицията на сигурност.
  • Открива нови възможности за подписване на киберзастраховки – непрекъснатият характер на валидирането на сигурността може да се използва за определяне на политиката след фазите на обвързване. Предлагането на непрекъсната или периодична преоценка на състоянието на сигурността, определена от показателя за сигурност, за да се измери развитието на състоянието на сигурността с течение на времето, предоставя валидни амуниции за преговори на застрахованата страна.

Застрахователният договор може да включва елементи като изисквания за коригиране на отклоненията от договорените базови стойности в разумен срок, задължение за редовно споделяне на автоматично генерирани доклади за оценка или връзка между обхвата на покритието и спазването на отклоненията от базовите стойности.

Валидирането на сигурността се превръща в маршрут за постигане на съответствие с нормативните изисквания, като например неотдавнашната актуализация на PCI DSS v4.0. Включването на валидирането на сигурността в процесите на подписване на киберзастраховки би могло да допринесе в голяма степен за справяне с настоящата ситуация в областта на киберзастраховането и да укрепи киберустойчивостта на организациите, които биха имали допълнителен стимул да прилагат такъв проактивен подход в своите среди.

Забележка – Тази статия е написана и предоставена от Андрю Барнет, главен директор по стратегията в Cymulate.

Източник: The Hacker News

Подобни публикации

28 февруари 2024

Китай стартира нов план за киберзащита на индус...

Тази седмица Министерството на промишлеността и информационните тех...
28 февруари 2024

Уязвимостта на плъгина WordPress LiteSpeed изла...

В плъгина LiteSpeed Cache за WordPress е разкрита уязвимост в сигур...
28 февруари 2024

Xeno RAT се превръща в мощна заплаха в GitHub

В GitHub е публикуван „сложно проектиран“ троянски кон ...
28 февруари 2024

Хакването на Optum е свързано с рансъмуера Blac...

Кибератаката срещу дъщерното дружество на UnitedHealth Group Optum,...
28 февруари 2024

Новата версия на IDAT loader използва стеганогр...

Хакерска група, проследена като „UAC-0184“, е забелязан...
28 февруари 2024

DOOM идва в интелигентните косачки Husqvarna

Ако някога сте искали да играете DOOM на косачка за трева, скоро ще...
28 февруари 2024

Белият дом призовава да се премине към езици за...

Службата на националния кибердиректор на Белия дом (ONCD) призова д...
28 февруари 2024

Предимства на включването на услугата MDR в офе...

Кибератаките се развиват и стават все по-усъвършенствани, а организ...
Бъдете социални
Още по темата
28/02/2024

Предимства на включването н...

Кибератаките се развиват и стават все...
23/02/2024

"Secure by Design" нараства...

ISC2 – водещата световна организация с...
19/02/2024

Овладейте многооблачността ...

Постигнете скорост и надеждност на интернет,...
Последно добавени
28/02/2024

Китай стартира нов план за ...

Тази седмица Министерството на промишлеността и...
28/02/2024

Уязвимостта на плъгина Word...

В плъгина LiteSpeed Cache за WordPress...
28/02/2024

Xeno RAT се превръща в мощ...

В GitHub е публикуван „сложно проектиран“...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!