Нарастването на разходите за нарушаване на сигурността на данните, откупи и други кибератаки води до увеличаване на премиите за киберзастраховане и до по-ограничено покритие на киберзастраховките. Тази ситуация с киберзастраховането увеличава рисковете за организациите, които се борят да намерят покритие или са изправени пред рязко увеличение.

Някои клиенти на адвокатската кантора Akin Gump Strauss Hauer & Feld LLP например съобщават за трикратно увеличение на застрахователните тарифи, а превозвачите правят „огромно отстъпление“ от лимитите на покритие през последните две години. Техният съръководител на практиката по киберсигурност Мишел Рийд добавя: „Намалената сума на покритието вече не може да предпази притежателите на полици от киберзагуби. Полица за 10 млн. долара може да се окаже с лимит от 150 000 долара за кибер измами“.

Ситуацията с киберзастраховането е толкова тревожна, че Министерството на финансите на САЩ наскоро публикува искане за публичен принос към потенциална федерална програма за реакция при киберзастраховане. Това искане е в допълнение към оценката, водена съвместно от Федералната застрахователна служба (FIO) и Агенцията за киберсигурност и инфраструктурна сигурност (CISA) към Министерството на вътрешната сигурност, за да се определи „степента, до която рисковете за критичната инфраструктура от катастрофални киберинциденти и потенциални финансови експозиции изискват федерална застрахователна реакция“.

Това е пряк резултат от еволюцията на естеството на кибератаките, която отразява еволюцията на цифровата среда и ефекта на улесняване на престъпността с криптовалута. От страна на киберпрестъпниците комплектите за зловреден софтуер „Направи си сам“ и платформите „Зловреден софтуер като услуга“ премахнаха бариерата за навлизане в киберпрестъпността и направиха стартирането на сложни атаки достъпно за желаещите престъпници, на които им липсва техническа грамотност.

Киберзастраховките покриваха само прекъсване на дейността, възстановяване на данни и щети по инфраструктурата. Днес се очаква те да покриват и разходите за киберизнудване, рисковете за репутацията, глобите за неспазване на правилата и рисковете за отговорност на трети страни – област, която се разраства, тъй като взаимосвързаността между организациите продължава да се разширява.

Класическите инструменти за оценка на премията на застрахователя по киберзастраховане са оценката на придържането към най-добрите практики и тестовете за проникване. Въпреки това ограниченията, присъщи на тези подходи, са проблематични на няколко нива.

• Ограничения на оценката, основана на най-добрите практики.
• Не всички най-добри практики са подходящи за всяка организация.
• Дори спазването на най-добрите практики осигурява ограничена защита.
• Някои от най-добрите практики, като например цялостното поправяне, са непостижими. Нереалистично е дори ограничаването на закърпването до уязвимости с оценка по CVSS над 9. От 20184 нови уязвимости, разкрити през 2021г., 1165 са с оценка над 9.
• Ограничения на тестовете за проникване
• Валидността на резултатите зависи от способностите и инструментариума на тестващия.
• При него липсва непрекъснатост. Като точково изпитване то осигурява моментна снимка на организацията в един момент: гъвкавото развитие, нововъзникващите заплахи и взаимосвързаността ограничават актуалността на тестовете за проникване през целия живот.

Непрекъснатите техники за валидиране на сигурността, като симулация на пробив и атака, управление на повърхността на атаката и оценка на излагането на заплахи, които оптимизират програмите за сигурност, минимизират излагането на заплахи и осигуряват количествени ключови показатели за ефективност, които могат да се наблюдават във времето, променят правилата на играта. Преминаването от отбранителна, реактивна перспектива за оценка на излагането на заплахи на застрахованата страна предполага преминаване към оценка на действителните щети, които атаките биха причинили в цялата матрица на MITRE ATT&CK TTPs.

При преговорите със застраховател по киберзастраховане компания, която може да предостави количествени, документирани оценки, извършени с технологии за валидиране на сигурността, може да води дискусията, като демонстрира как:

• Намалява рисковете отвъд най-добрите практики – цялостните оценки измерват състоянието на сигурността на организацията въз основа на нейната действителна устойчивост на атаки, а не на теоретична прогноза за сигурността, получена чрез спазване на най-добрите практики.
• Количествена оценка на риска – количествените оценки на риска, основани на процента на имитация на атака, открита и предотвратена от пакета от защитни инструменти, осигуряват незабавна оценка на действителната ефикасност на киберзащитата. Усъвършенстваните технологии за валидиране на сигурността включват оценки на пълната верига на поражение и възможности за странично движение, които осигуряват точна мярка за степента на потенциалните щети, които би постигнал един успешен пробив.
• Предотвратяване на отклонението в сигурността – тъй като автоматизацията на симулацията на атака позволява непрекъсната повторна оценка на устойчивостта в контекста, пропуските в сигурността, произтичащи от нови внедрявания или възникващи заплахи, се сигнализират незабавно и могат да бъдат отстранени, преди да застрашат позицията на сигурност.
• Открива нови възможности за подписване на киберзастраховки – непрекъснатият характер на валидирането на сигурността може да се използва за определяне на политиката след фазите на обвързване. Предлагането на непрекъсната или периодична преоценка на състоянието на сигурността, определена от показателя за сигурност, за да се измери развитието на състоянието на сигурността с течение на времето, предоставя валидни амуниции за преговори на застрахованата страна.

Застрахователният договор може да включва елементи като изисквания за коригиране на отклоненията от договорените базови стойности в разумен срок, задължение за редовно споделяне на автоматично генерирани доклади за оценка или връзка между обхвата на покритието и спазването на отклоненията от базовите стойности.

Валидирането на сигурността се превръща в маршрут за постигане на съответствие с нормативните изисквания, като например неотдавнашната актуализация на PCI DSS v4.0. Включването на валидирането на сигурността в процесите на подписване на киберзастраховки би могло да допринесе в голяма степен за справяне с настоящата ситуация в областта на киберзастраховането и да укрепи киберустойчивостта на организациите, които биха имали допълнителен стимул да прилагат такъв проактивен подход в своите среди.

Забележка – Тази статия е написана и предоставена от Андрю Барнет, главен директор по стратегията в Cymulate.