Μια νέα παγκόσμια κυβερνοαπειλή αναδεικνύει ένα κρίσιμο ζήτημα στις ασφαλίσεις cyber: Πότε καλύπτεται η οικονομική ζημιά από την προληπτική διακοπή λειτουργίας μιας επιχείρησης;
Ένα ιδιαίτερα ενδιαφέρον ζήτημα για την παγκόσμια ασφαλιστική αγορά αναδεικνύεται με αφορμή την πρόσφατη ανακάλυψη δύο σοβαρών ευπαθειών ασφαλείας, γνωστών ως PHP2Shell, οι οποίες επηρεάζουν συστήματα που βασίζονται στη διαδεδομένη γλώσσα προγραμματισμού PHP.
Οι ευπάθειες αυτές μπορούν, υπό συγκεκριμένες προϋποθέσεις, να επιτρέψουν σε κυβερνοεγκληματίες να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε διακομιστές, να υποκλέψουν πληροφορίες ή να προχωρήσουν σε περαιτέρω κακόβουλες ενέργειες.
Η αποκάλυψή τους προκάλεσε κινητοποίηση σε επιχειρήσεις και οργανισμούς διεθνώς, με ορισμένους να προχωρούν ακόμη και σε προσωρινή διακοπή λειτουργίας διαδικτυακών υπηρεσιών για προληπτικούς λόγους.
Ωστόσο, πέρα από την τεχνική διάσταση του προβλήματος, προκύπτει ένα ουσιαστικό ασφαλιστικό ερώτημα:
Εάν μια επιχείρηση αποφασίσει να διακόψει προσωρινά τη λειτουργία των πληροφοριακών της συστημάτων για να προστατευθεί από μια πιθανή κυβερνοεπίθεση, μπορεί να διεκδικήσει αποζημίωση από το ασφαλιστήριο cyber insurance;
Η προληπτική διακοπή δεν σημαίνει αυτομάτως ασφαλιστική κάλυψη
Σύμφωνα με ανάλυση που δημοσίευσε στις 27 Οκτωβρίου το διεθνές ασφαλιστικό μέσο The Insurer, η απάντηση εξαρτάται σε μεγάλο βαθμό από τους όρους του ασφαλιστηρίου και από το εάν έχει πραγματοποιηθεί περιστατικό που ενεργοποιεί την ασφαλιστική κάλυψη.
Στην ασφαλιστική αγορά του Λονδίνου, πολλά συμβόλαια cyber προβλέπουν κάλυψη οικονομικών απωλειών από διακοπή εργασιών όταν αυτή συνδέεται με συγκεκριμένο περιστατικό κυβερνοασφάλειας.
Αντίθετα, η απόφαση μιας επιχείρησης να θέσει προληπτικά εκτός λειτουργίας τα συστήματά της, χωρίς να έχει προηγηθεί πραγματική ή πιθανολογούμενη παραβίαση που καλύπτεται από το συμβόλαιο, συνήθως δεν αρκεί από μόνη της για την ενεργοποίηση της αποζημίωσης.
Διαφορετική μπορεί να είναι η αντιμετώπιση όταν η διακοπή πραγματοποιείται για τον περιορισμό μιας ήδη διαπιστωμένης ή εύλογα πιθανολογούμενης κυβερνοεπίθεσης.
Αντίστοιχα, το κόστος εγκατάστασης ενημερώσεων ασφαλείας και αποκατάστασης γνωστών ευπαθειών αντιμετωπίζεται συνήθως ως λειτουργική δαπάνη πληροφορικής και όχι ως ασφαλισμένη ζημιά, αν και ορισμένα προϊόντα προβλέπουν ειδικές, περιορισμένες καλύψεις.
Περισσότεροι από 32.000 ασφαλισμένοι έλαβαν προειδοποίηση
Η σοβαρότητα του ζητήματος αποτυπώνεται και στις ενέργειες της ασφαλιστικής εταιρείας κυβερνοκινδύνων Coalition.
Η εταιρεία γνωστοποίησε ότι ενημέρωσε περισσότερους από 32.000 ασφαλισμένους, σε ένα συνολικό χαρτοφυλάκιο άνω των 110.000 πελατών, σχετικά με πιθανή έκθεσή τους στις συγκεκριμένες ευπάθειες.
Το μέγεθος αυτό αναδεικνύει έναν ακόμη σημαντικό προβληματισμό για τις ασφαλιστικές και αντασφαλιστικές εταιρείες: τον κίνδυνο συσσώρευσης ζημιών από μία κοινή τεχνολογική αδυναμία.
Όταν χιλιάδες επιχειρήσεις χρησιμοποιούν το ίδιο λογισμικό ή εξαρτώνται από κοινές τεχνολογικές υποδομές, μια σοβαρή ευπάθεια μπορεί δυνητικά να οδηγήσει σε πολλαπλές ασφαλιστικές απαιτήσεις.
Παρ’ όλα αυτά, η ευρεία έκθεση σε μια κυβερνοαπειλή δεν συνεπάγεται αναγκαστικά αντίστοιχο αριθμό ασφαλισμένων ζημιών. Καθοριστικό ρόλο διαδραματίζουν η πραγματική εκμετάλλευση της ευπάθειας, η ταχύτητα αντιμετώπισής της και οι συνέπειες για κάθε επιχείρηση.
Ένα νέο πεδίο ευθύνης για τους ασφαλιστικούς διαμεσολαβητές
Η συγκεκριμένη υπόθεση αναδεικνύει και την ανάγκη ουσιαστικότερης ενημέρωσης των επιχειρήσεων σχετικά με τις πραγματικές δυνατότητες και τους περιορισμούς των ασφαλιστηρίων cyber.
Για έναν ασφαλιστικό διαμεσολαβητή, δεν αρκεί πλέον να γνωρίζει εάν ένα συμβόλαιο καλύπτει γενικά τη διακοπή εργασιών λόγω κυβερνοεπίθεσης.
Εξίσου σημαντικό είναι να εξετάζονται οι προϋποθέσεις ενεργοποίησης της κάλυψης, οι περίοδοι αναμονής, η αντιμετώπιση της προληπτικής διακοπής λειτουργίας, αλλά και η ενδεχόμενη εξάρτηση της ασφαλισμένης επιχείρησης από τρίτους παρόχους τεχνολογικών υπηρεσιών.
Παράλληλα, η αξιολόγηση της κυβερνοασφάλειας μιας επιχείρησης αποκτά ολοένα μεγαλύτερη σημασία κατά τη διαδικασία ανάληψης κινδύνων.
Η δυνατότητα άμεσου εντοπισμού ευπαθειών, η ταχύτητα εγκατάστασης διορθωτικών ενημερώσεων και η ύπαρξη σχεδίου επιχειρησιακής συνέχειας αποτελούν κρίσιμους παράγοντες για τον περιορισμό πιθανών ζημιών.
Το συμπέρασμα είναι σαφές: Η ύπαρξη ενός ασφαλιστηρίου cyber δεν σημαίνει ότι κάθε οικονομική απώλεια που σχετίζεται με μια κυβερνοαπειλή είναι αυτομάτως καλυμμένη.
Η υπόθεση PHP2Shell υπενθυμίζει ότι, όσο εξελίσσονται οι κυβερνοκίνδυνοι, τόσο μεγαλύτερη σημασία αποκτούν η σαφής διατύπωση των ασφαλιστικών όρων, η σωστή αξιολόγηση των αναγκών κάθε επιχείρησης και ο συμβουλευτικός ρόλος του ασφαλιστικού διαμεσολαβητή.
