211service.com
Ubezpieczyciele starają się ustalić cenę za cyberkatastrofę
Jack Sachs
W 1992 roku huragan Andrew zdewastował południowe wybrzeże Florydy, zabijając dziesiątki ludzi i powodując szkody o wartości ponad 25 miliardów dolarów. Burza ujawniła również krytyczne słabości w sposobie, w jaki ubezpieczyciele majątkowi określali potencjalny koszt takiej naturalnej katastrofy. Wiele firm ubezpieczeniowych poniosło duże straty w miesiącach, które nastąpiły po burzy i kilka nie powiodło się .
Obecnie ubezpieczyciele walczą o zrozumienie ekonomicznego zakresu nowego rodzaju potencjalnej katastrofy, tej wywołanej przez człowieka: niszczycielskiego cyberataku. Niektóre z lekcji z 1992 roku mają zastosowanie, ale pod innymi względami jest to zupełnie inny problem do rozwiązania.
Wielcy ubezpieczyciele, w tym AIG i Chubb, oferowali polityki cybernetyczne od końca lat 90., a dziś sprzedaje je około 80 firm, z których większość koncentruje się na naruszeniach bezpieczeństwa danych. Rynek ubezpieczeń cybernetycznych zaczął ostatnio szybko rosnąć, ponieważ seria głośnych ataków przekonała kadrę kierowniczą, że hakerzy stanowią poważny problem. PricewaterhouseCoopers szacunki firmy będą płacić 7,5 miliarda dolarów za ubezpieczenie cybernetyczne w 2020 roku, w porównaniu z Szacowany 2,75 miliarda dolarów w 2015 roku.
Jednak ubezpieczyciele wciąż walczą o zrozumienie natury cyberryzyka i zrozumienie, jak ustrukturyzować swoje polisy w sposób, który nie narazi ich na katastrofalne straty.
Ludzie zaczynają postrzegać cyberbezpieczeństwo jako ryzyko biznesowe, a nie problem IT, mówi Arvind Parthasarathi, dyrektor generalny Cyence, trzyletniej firmy, która pomaga ubezpieczycielom w modelowaniu zagrożeń cybernetycznych. Oznacza to, że uznanie tego nie jest problemem z jasnym rozwiązaniem, ale ryzykiem, którym można zarządzać, ale nie można go wyeliminować. Teraz, mówi Parthasarathi, dyrektorzy pytają: Jak duże ryzyko czuję się komfortowo?
Ubezpieczyciele zadają to samo pytanie, próbując ustalić, jak wycenić nowe polityki cyberbezpieczeństwa. Współczesne zagrożenie cybernetyczne jest złożone i szybko ewoluuje. Najpilniejszym wyzwaniem jest ilościowe określenie ryzyka katastrofy cybernetycznej, która dotknie wielu ubezpieczających jednocześnie, oszacowanie maksymalnej straty w najgorszym przypadku. Tego nie zrobili ubezpieczyciele przed huraganem Andrew.
Cyberkatastrofa porównywalna w skali z huraganem Andrew jest trudna do modelowania po części dlatego, że jeszcze się nie wydarzyła. W październiku zeszłego roku dostrzegliśmy sposób, w jaki taka katastrofa może się rozwinąć, gdy hakerzy wykorzystali sieć przejętych kamer internetowych, rejestratorów i innych urządzeń Internetu rzeczy do przeprowadzenia masowego ataku typu „odmowa usługi” na Dyn, główny router ruchu internetowego. Atak sprawił, że wiele znanych stron internetowych, w tym Amazon, Netflix i Spotify, stało się niedostępnych dla milionów użytkowników w Stanach Zjednoczonych na wiele godzin (zob. 10 Breakthrough Technologies 2017: Botnets of Things ).
Koszt ataku Dyn nie jest jeszcze jasny, ale niedawna czterogodzinna awaria systemu przechowywania danych w chmurze Amazon S3 (która nie była wynikiem cyberataku) kosztowała firmy S&P 500 co najmniej 150 milionów dolarów, według szacunków Cyence. Nietrudno wyobrazić sobie atak na dużą skalę na usługę w chmurze przynoszący miliardowe straty.
Cyberatak na tradycyjną infrastrukturę fizyczną, taki jak ten, który wyjął znaczną część siatki w Kijowie na Ukrainie, w grudniu, również jest niepokojący. Niektórzy przypisują atak hakerom sponsorowanym przez państwo rosyjskie. Rynek ubezpieczeń Lloyd’s z Londynu niedawno przeanalizował hipotetyczny scenariusz, w którym zaciemnienie w północno-wschodnich Stanach Zjednoczonych pozbawia prądu 93 miliony ludzi. Stwierdzono, że takie wydarzenie może kosztować ubezpieczycieli w granicach od 21 do 71 miliardów dolarów, co pokazuje, jak trudne jest określenie kosztów takiego ryzyka.
Wyzwanie polegające na próbie ilościowego określenia cyberryzyka jest pod pewnymi względami podobne do tego, z którym ubezpieczyciele musieli zmierzyć się w latach 90., ponieważ mają bardzo niewielkie doświadczenie z tego rodzaju ryzykiem. Tom Harvey, menedżer produktu w firmie Risk Management Solutions, która opracowuje modele ryzyka katastroficznego dla ubezpieczycieli, zajęło 15 lat, zanim zbudowano zestawy danych, na których opierają się złożone i szczegółowe modele katastrof naturalnych, na których polegają obecnie ubezpieczyciele. Chociaż sprawy toczą się znacznie szybciej w przypadku cyberprzestrzeni, mówi, dane gromadzone przez firmy są nadal dość niespójne. Utrudnia to agregowanie informacji i badanie trendów w branży.
Istnieją oczywiście ważne różnice między modelowaniem katastrof naturalnych a katastrofami cybernetycznymi, poczynając od faktu, że wykwalifikowani ludzie kierują zdarzeniami cybernetycznymi, a nie prawami fizycznymi. Motywacje, taktyki, techniki i cele hakerów zmieniają się szybko, aby pokonać nowe mechanizmy obronne. Wyzwaniem jest zrozumienie aktywnego przeciwnika, mówi Parthasarathi z Cyence, której firma czerpie z teorii gier i ekonomii behawioralnej, aby modelować zachowanie napastników.
Zrozumienie geografii Internetu ma również kluczowe znaczenie dla oceny ryzyka wielkiego cyberataku. Ubezpieczyciele potrzebują mapy lokalizacji, w których przechowywane są cenne dane, w tym informacji o tym, jak dobrze chronią je właściciele tych aktywów, mówi Stephen Boyer, CTO i współzałożyciel BitSight. Firma Boyera dokonuje tego rodzaju mapowania zasobów przechowywanych w Internecie i mierzy poziom bezpieczeństwa organizacji, które są właścicielami tych zasobów.
Ubezpieczyciele muszą unikać robienia cybernetycznej wersji ubezpieczenia wszystkich na wybrzeżu Florydy przed huraganem Andrew, mówi Boyer, na przykład oferowania zbyt wielu polis firmom, które są zależne od tej samej technologii lub dostawcy usług, takich jak Amazon Web Services. Kiedy dochodzi do awarii, każdy ma prawo do roszczenia, mówi.