211service.com
Gli assicuratori si affrettano a dare un prezzo a una catastrofe informatica
Jack Sachs
Nel 1992, l'uragano Andrew ha devastato la costa meridionale della Florida, uccidendo dozzine di persone e provocando danni per oltre 25 miliardi di dollari. La tempesta ha anche messo in luce punti deboli critici nel modo in cui gli assicuratori immobiliari hanno quantificato il costo potenziale di una tale catastrofe naturale. Molte compagnie assicurative hanno subito grosse perdite nei mesi che hanno seguito la tempesta e molti falliti .
Oggi, gli assicuratori stanno lottando per comprendere la portata economica di un nuovo tipo di potenziale catastrofe, questa creata dall'uomo: un attacco informatico devastante. Alcune delle lezioni del 1992 si applicano, ma per altri versi si tratta di un tipo di problema molto diverso da risolvere.
I grandi assicuratori, tra cui AIG e Chubb, hanno offerto polizze informatiche dalla fine degli anni '90 e oggi circa 80 aziende le vendono, la maggior parte focalizzata sulle violazioni dei dati. Il mercato delle assicurazioni informatiche ha recentemente iniziato a crescere rapidamente poiché una serie di attacchi di alto profilo ha convinto i massimi dirigenti che gli hacker rappresentano una seria preoccupazione. PricewaterhouseCoopers stime le aziende pagheranno $ 7,5 miliardi per l'assicurazione informatica nel 2020, rispetto a un stimato $ 2,75 miliardi nel 2015.
Tuttavia, gli assicuratori stanno ancora lottando per comprendere la natura del rischio informatico e per capire come strutturare le loro polizze in modo da non lasciarli vulnerabili a perdite catastrofiche.
Le persone stanno iniziando a considerare la sicurezza informatica come un rischio aziendale anziché un problema IT, afferma Arvind Parthasarathi, CEO di Cyence, un'azienda di tre anni che aiuta gli assicuratori a modellare i rischi informatici. Ciò significa riconoscere che questo non è un problema con una soluzione chiara, ma un rischio che può essere gestito, anche se non eliminato. Ora, dice Parthasarathi, i dirigenti si chiedono, quanti rischi mi sento a mio agio nel mantenere?
Gli assicuratori si pongono la stessa domanda mentre cercano di determinare come valutare le nuove politiche di sicurezza informatica. La moderna minaccia informatica è complessa e in rapida evoluzione. La sfida più urgente è quantificare il rischio che una catastrofe informatica colpisca più assicurati contemporaneamente, stimando la perdita massima nello scenario peggiore. Questo è ciò che gli assicuratori non sono riusciti a fare prima dell'uragano Andrew.
È difficile modellare un disastro informatico di dimensioni paragonabili all'uragano Andrew, in parte perché non si è ancora verificato. Lo scorso ottobre, abbiamo intravisto un modo in cui una tale calamità potrebbe verificarsi quando gli hacker hanno utilizzato una rete di webcam, DVR e altri dispositivi Internet of Things sequestrati per lanciare un massiccio attacco denial of service su Dyn, uno dei principali router del traffico Internet. L'attacco ha reso per ore molti importanti siti web tra cui Amazon, Netflix e Spotify non disponibili per milioni di utenti negli Stati Uniti (vedi 10 Breakthrough Technologies 2017: Botnets of Things ).
Il costo dell'attacco Dyn non è ancora chiaro, ma una recente interruzione di quattro ore del sistema di archiviazione cloud S3 di Amazon (che non è stata il risultato di un attacco informatico) è costata alle aziende dell'S&P 500 almeno $ 150 milioni, secondo una stima di Cyence. Non è difficile immaginare un attacco su larga scala a un servizio cloud che causa miliardi di perdite.
Un attacco informatico all'infrastruttura fisica tradizionale, come quello ha tolto una parte sostanziale della griglia anche a Kiev, in Ucraina, a dicembre, è una preoccupazione. Alcuni hanno attribuito l'attacco a hacker sponsorizzati dallo stato russo. Il mercato assicurativo Lloyd di Londra ha recentemente analizzato un ipotetico scenario in cui un blackout nel nord-est degli Stati Uniti lascia 93 milioni di persone senza elettricità. Ha concluso che un evento del genere potrebbe costare agli assicuratori tra $ 21 miliardi e $ 71 miliardi, illustrando quanto sia difficile individuare il costo di tali rischi.
La sfida di cercare di quantificare il rischio informatico è in qualche modo simile a quella che gli assicuratori hanno dovuto affrontare negli anni '90, in quanto hanno pochissima esperienza con questo tipo di rischio. Ci sono voluti 15 anni per costruire i set di dati che sono alla base dei modelli complessi e dettagliati di catastrofe naturale su cui gli assicuratori fanno affidamento oggi, afferma Tom Harvey, product manager di Risk Management Solutions, che sviluppa modelli di rischio catastrofico per gli assicuratori. Mentre le cose si stanno muovendo molto più velocemente per il cyber, dice, i dati che le aziende raccolgono sono ancora piuttosto incoerenti. Ciò rende difficile aggregare informazioni e studiare le tendenze del settore.
Ci sono differenze importanti tra la modellazione delle catastrofi naturali e delle catastrofi informatiche, ovviamente, a partire dal fatto che gli esseri umani esperti guidano gli eventi informatici, non le leggi fisiche. Le motivazioni, le tattiche, le tecniche e gli obiettivi degli hacker cambiano rapidamente per superare nuove difese. La sfida è capire un avversario attivo, afferma Parthasarathi di Cyence, la cui azienda si basa sulla teoria dei giochi e sull'economia comportamentale per modellare il comportamento degli aggressori.
Comprendere la geografia di Internet è fondamentale anche per valutare il rischio di un grande attacco informatico. Gli assicuratori hanno bisogno di una mappa delle posizioni in cui sono archiviati i dati preziosi, comprese le informazioni su come i proprietari di tali risorse li proteggono, afferma Stephen Boyer, CTO e cofondatore di BitSight. La società di Boyer esegue questo tipo di mappatura delle risorse archiviate su Internet e misura le prestazioni di sicurezza delle organizzazioni che possiedono tali risorse.
Gli assicuratori devono evitare di fare la versione cibernetica di coprire tutti sulla costa della Florida prima dell'uragano Andrew, dice Boyer, cose come offrire troppe polizze alle aziende che dipendono dalla stessa tecnologia o fornitore di servizi, come Amazon Web Services, ad esempio. Quando si verifica un'interruzione lì, tutti hanno un reclamo, dice.