Assicurare il rischio cyber: quanto conviene? I trend 2023 e i possibili sviluppi per le aziende

Secondo quanto riportato dal Financial Times, Zurich, tra le principali compagnie assicurative in Europa, presto cesserà di assicurare i rischi da attacchi informatici. Secondo quanto affermato dall’amministratore delegato, Mario Greco, nell’intervista rilasciata al Financial Times, “Ciò che diventerà non assicurabile è il cyber. Cosa succede se qualcuno prende il controllo di parti vitali della nostra infrastruttura, le conseguenze di ciò? Prima di tutto, ci deve essere la percezione che non si tratti solo di dati… Si tratta di civiltà. Queste persone possono sconvolgere gravemente le nostre vite”.

I recenti attacchi, in particolare, che hanno colpito ospedali, oleodotti e dipartimenti governativi, causandone l’interruzione operativa, hanno alimentato la preoccupazione per questo rischio crescente tra i dirigenti del settore.

Ecco come le assicurazioni gestiscono i danni da cyber crime e cyberwar

Le polizze cyber nel contesto attuale

La decisione di Zurich di rinunciare al mercato delle polizze per gli attacchi informatici non ha mancato di sorprendere, seppure rappresenti una manifestazione (piuttosto decisa) di un trend cui si è avuto modo di assistere nel corso degli ultimi anni e che è diretta conseguenza del costante incremento non soltanto degli attacchi informatici, ma anche dell’impatto economico che gli stessi determinano per le imprese. Circostanza, questa, ulteriormente aggravata dalla nascita di un mercato di c.d. access broker, ossia gruppi criminali che sono specializzati nella rivendita sul Dark Web di accessi a reti già compromesse.

Vi sono altri diversi aspetti fondamentali nello scenario cibernetico del 2022, che contribuiscono alla rimodulazione delle offerte assicurative: in primo luogo, la crescita delle competenze tecniche di diversi attaccanti, soprattutto negli scenari di cyber war. Proprio in questi casi si rileva un aumento dell’utilizzo di vulnerabilità zero-day.

Senza dimenticare le sfide che l’attuale conflitto russo-ucraino potrà comportare: è stata la prima guerra ad avere un rilevante aspetto cyber e ha fatto capire come la comprensione degli scenari geopolitici debba far parte della strategia cyber anche delle aziende private.

Questo si raccorda, purtroppo, alla difficoltà di effettuare attribution degli attacchi e di conseguenza di reagire in modo appropriato, con altre azioni di guerra cinetica o cyber da parte degli stati o di applicare sanzioni economiche.

Nel descritto contesto, dunque, sempre più compagnie assicurative hanno rimodulato le proprie offerte, incrementando il premio richiesto e le franchigie previste, abbassando il massimale assicurato e restringendo le ipotesi di rischio oggetto di copertura assicurativa, inserendo anche una serie di ipotesi di non risarcibilità per il contraente.

Anche la soglia di ingresso per sottoscrivere una polizza a copertura del rischio cyber è in costante aumento. Diverse compagnie, infatti, ritengono non assicurabili i clienti che non abbiano implementato diverse misure di sicurezza, come ad esempio:

1. la presenza di un responsabile della sicurezza delle informazioni (CISO);
2. un sistema di raccolta ed analisi di log e segnalazioni (SIEM);
3. che non abbiano un team specializzato in grado di rilevare e contenere le minacce (Security Operation Center, SOC);
4. un software che tuteli gli endpoint e faccia detection and response (EDR);
5. un processo di vulnerability management (VA/PT & Patch management);
6. la formazione del personale sui temi della cyber security;
7. un piano di continuità operativa e disaster recovery.

Rischio informatico: cambiano le coperture

Come anticipato, nel corso degli ultimi anni il mercato delle assicurazioni – con riferimento ai rischi informatici – sta mutando profondamente, adeguandosi a quelle che sono le necessità e le peculiarità tipiche del settore.

Occorre evidenziare, preliminarmente, come il mercato della cyber risk insurance sia risultato in crescita negli ultimi anni, seppur con qualche resistenza (sebbene oggi quasi tutte le principali compagnie assicurative nazionali ed europee forniscano prodotti appartenenti a detta categoria).

Già nel 2019, l’Osservatorio Cyber Security & Data Protection rilevava come vi fosse una discrepanza tra domanda ed offerta:

1. il 19% delle aziende del campione ha attivato una polizza specifica per il cyber risk;
2. l’11% ha optato per una copertura generalista che copre in parte il rischio cyber;
3. il 37% è in fase di valutazione;
4. il 23% è a conoscenza delle possibilità di copertura ma non è intenzionato ad adottarne una;
5. il 10% confessa di non essere a conoscenza della possibilità di stipulare una polizza per il rischio cyber.

“Gli ostacoli che stanno rallentando la crescita del mercato assicurativo”, si legge nell’analisi dell’Osservatorio, “sono molteplici. Si tratta di una questione culturale ma non solo. Va sicuramente considerata l’oggettiva difficoltà nella misurazione degli impatti finanziari derivanti da un eventuale incidente di sicurezza, insieme all’incapacità di valutare correttamente l’esposizione ai rischi cyber. Ci sono poi limiti tecnologici e organizzativi, ma anche problemi legati alla scarsa trasparenza delle stesse assicurazioni cyber”.

Nel corso degli anni, anche a fronte di dette criticità, il numero delle compagnie assicurative che fornivano prodotti assicurativi per il rischio cyber è comunque andato ad aumentare in modo importante, strutturando soluzioni tarate per diverse tipologie di propensione al rischio, con requisiti di accesso molto diversi fra loro: alcune delle soluzioni assicurative proposte, infatti, consentono all’imprenditore di applicare misure di sicurezza ridotte (come l’adozione di un firewall, un antivirus ecc.) mentre altre, dedicate a fasce di rischio differenti, chiedono all’imprenditore, al fine di poter ottenere la copertura assicurativa, l’adozione di misure di sicurezza più avanzate, in base al livello di rischio che la compagnia assicuratrice intende assumere.

Il tentativo è quello di riuscire a determinare uno standard di sicurezza che si richiede all’imprenditore per consentire l’assicurabilità del rischio (che altrimenti, in assenza di dette misure di sicurezza, diviene praticamente certo).

Molto diverse fra loro, inoltre, sono le coperture previste per le diverse tipologie di attacchi informatici: a titolo esemplificativo, non tutte le polizze assicurative oggi esistenti sul mercato consentono di coprire frodi, che vengono percepite erroneamente come attacchi informatici, come la CEO Fraud (ossia, l’impersonificazione da parte di un soggetto esterno dell’amministratore delegato di una società o di un alto dirigente, volta a dirottare dei pagamenti), così come non tutte le offerte presenti sul mercato consentono di assicurare integralmente il rischio ransomware rispetto a tutti i possibili scenari di attacco e di danno.

Tale diversità nell’offerta contribuisce a creare una situazione di confusione per gli assicurati, che in alcune situazioni si vedono negare il rimborso delle spese sostenute o delle perdite riscontrate a causa di motivazioni di natura formale.

In tale contesto, le compagnie assicurative stanno inoltre provvedendo, in molti casi, a rimodulare le proprie offerte, in ragione dell’aumento, in maniera esponenziale, sia del numero di sinistri, che dell’ammontare di denaro richiesto in pagamento per singolo sinistro. Ne deriva che per chi oggi è chiamato a rinnovare la polizza assicurativa, ci si troverà dinanzi ad un incremento del premio, e ad una contestuale riduzione del massimale garantito (oltre che delle ipotesi di rischio coperte, in alcuni casi).

A ciò si aggiunga che ad oggi non si ha – a livello generalizzato – un corretto concetto di rischio: la copertura assicurativa, infatti, dovrebbe giungere al termine del processo di analisi e valutazione dei rischi cui l’azienda è sottoposta, al fine di capire in modo puntuale da quali tipologie di rischio occorre proteggersi, implementare le correlate misure di sicurezza volte ad evitare che l’evento di rischio accada (che siano ovviamente anche economicamente sostenibili) e stipulare la polizza assicurativa adeguata.

La polizza, infatti, serve a coprire i possibili danni derivanti da eventi straordinari o per i quali gli investimenti a prevenzione siano inaffrontabili per l’assicurato e non come misura a tutela dei normali “incidenti”.

Criticità e possibili soluzioni

Alla luce di quanto sinora esposto, è possibile, dunque, rilevare come il trend per i prossimi anni sarà sempre più orientato ad una riformulazione dell’offerta assicurativa che leghi la copertura all’adozione di una serie di misure di sicurezza più avanzate, o comunque ad una più compiuta analisi delle categorie di rischio che si intende rendere oggetto di copertura.

Detto approccio, seguendo le logiche che regolano il funzionamento del mercato assicurativo, appare condivisibile: al pari di quanto avviene per le polizze antincendio, infatti, anche per il rischio informatico appare opportuno stimolare l’adozione di misure di sicurezza oggi necessarie, che consentano l’assicurabilità non del rischio in sé, ma del rischio residuo cui l’azienda non può far fronte mediante investimenti interni.

Pertanto, è centrale per le imprese adottare un approccio di questo tipo:

1. in primo luogo, come affermato precedentemente, comprendere a quali rischi si è sottoposti, a seguito di una approfondita e compiuta analisi dei medesimi, della probabilità del loro accadimento, e dell’impatto che avrebbero sull’azienda;
2. in secondo luogo, adottare tutte le misure di sicurezza che appaiano idonee a ridurre detto rischio, sia in termini di probabilità che di impatto, sostenendo i relativi investimenti, anche secondo un processo di crescita a step;
3. elaborare delle politiche di gestione dell’attacco informatico che consentano di ridurre l’impatto dell’attacco informatico nel tempo (si pensi, in particolare, alle perdite reputazionali o legate al venir meno dei rapporti di fiducia da parte dei propri clienti/utenti);
4. determinare il rischio residuo che permane in capo all’azienda anche a seguito dell’adozione di dette misure di sicurezza;
5. analizzare il mercato assicurativo al fine di trovare la polizza che maggiormente si allinea alle necessità dell’azienda, privilegiando soluzioni che consentano di coprire gli eventi di rischio a maggior impatto, e che consentano di parametrare l’importo del premio al “merito” dell’assicurato, ossia alle azioni da quest’ultimo compiute per prevenire il rischio.

È dunque in relazione a detto rischio residuo che le coperture assicurative diventano uno strumento veramente utile, potendo essere paragonate ad un “paracadute di emergenza” volto a ridurre l’impatto economico immediato, e non ad una vera e propria misura di sicurezza di lungo termine.

Sempre meno assicurabili, infatti, saranno i rischi ad alta probabilità di accadimento, con rimodulazione delle offerte al fine di garantire la copertura di eventi di rischio a maggior impatto ma con minor probabilità di accadimento, al pari, come detto, di quanto avviene in altri settori assicurativi.