サイバー犯罪者は現代のマフィアになり、ランサムウェア攻撃は新しいシェイクダウンです。

サイバー保険のジレンマ

身代金の要求が急増しただけでなく、ランサムウェアの平均支払い額も43%増加し、 22万ドルに達しました(2020年第4四半期の154,108ドルから)。この規模の身代金は、一部の中小企業を破産の危機に瀕させたり、単に余裕のない業務の停止につながる可能性があります。そのため、多くの企業がサイバー保険に助けを求めています。

サイバー保険は通常、ITシステムが24時間年中無休で機能することに大きく依存している企業を対象としています。今日では、ほぼすべてのビジネス、特にヘルスケア、重要インフラストラクチャ、地方自治体、製造、流通業界をカバーしています。ただし、全額補償プランを購入した企業の中には、保険会社が後で補償することを知っているため、警戒を緩め始め、身代金を支払うだけの場合もあります。

サイバー保険の本来の目的は、ランサムウェア攻撃が成功した場合のビジネスの恐喝損失をカバーすることであり、ビジネスはビジネス継続性に対する身代金要求を支払うか、将来の損失を軽減する以外に選択肢はありません。しかし、一部の被保険会社からの警戒と責任の欠如の高まりは、サイバー保険市場のバランスを傾けており、保険会社は保険料価格を引き上げ、引受基準を調整して自身の損失リスクを下げることを余儀なくされています。

ハウデングループが2021年6月に発表したレポートによると、世界の平均サイバー保険料率は前年比で32%増加しています。さらに、保険会社は現在、サードパーティのIT企業に対して、企業のサイバーセキュリティプロトコルのフィールド調査を実施して、標準に達しているかどうかを確認するように求めています。以前は、チェックプロセスは主に自己評価シートを介して行われていました。現在、会社が基準を満たしていない場合、保険会社が雇うベンダーは申請会社に何を追加する必要があるかを伝え、保険会社はすべてが整うまで契約に署名しません。

小規模企業は現在、ジレンマに直面しています。一方では、悪意のある攻撃が急速に拡大するリスクがあり、他方では、必ずしもすべての損失をカバーできない可能性のある複雑な前提条件と条項を備えた高価なプレミアムパッケージです。この悪循環が続くと、受益者は犯罪者だけになります。

サイバー保険市場の健全なエコシステムを維持することは、保険会社と被保険者の両方に課せられる責任であるはずです。この下向きの軌道を積極的に変えるために、企業は最初の一歩を踏み出す必要があります。

企業が知っておくべきこと

すべての会社の所有者は、サイバー保険に関して彼らが探しているものを知っている必要があります。彼らは常に細字を読み、補償範囲、控除対象、および除外の詳細を理解する必要があります。このセーフティネットは、ポリシーが正しく記述されており、企業がその適用範囲を十分に認識している場合に非常に効果的です。

Woodruff Sawyer(国民保険会社)の副社長であるDan Burkeによると、サイバー保険は通常、潜在的な将来の逸失利益、知的財産の盗難による価値の喪失、および改善(すなわち、 、サイバーイベント後のITアップグレードなど、攻撃後の内部テクノロジーシステムを改善するためのコスト)。とはいえ、最初の身代金以外の損失は保険でカバーされない可能性があります。

今日、ほとんどのランサムウェア攻撃は最初の違反で止まりません。例としてSolarWindsインシデントを取り上げます。攻撃者はSolarWindのITシステムをロックする代わりに、米国エネルギー省、国土安全保障省など、3万人以上の顧客が使用している同社のOrionテクノロジープラットフォームに悪意のあるコードを仕掛けました。国の機関。この場合、ハッカーは大量の身代金を要求することすらしませんでしたが、この攻撃によって引き起こされた損害と潜在的な脆弱性は計り知れないものであり、おそらくカバーすることはできません。

ランサムウェア保険だけでは不十分です。適切に作成されたポリシーは、データ侵害の責任、規制コンプライアンス、およびその他のサイバーリスク関連の脅威もカバーする必要があります。サイバー保険を専門とし、特定の事業や組織に関連するリスクを理解している企業もあります。事業主が自社に最適な保険プランを見つける最も簡単な方法は、現在の事業責任保険プロバイダーから始めて、サイバー保険を扱う特別な専門家がいるかどうかを尋ねることです。

最後に、「パラシュート」がある場合でも、事業主は決して警戒を怠ってはなりません。従業員のサイバーセキュリティトレーニングプログラムを実施し、堅牢なサイバーセキュリティツールを実装することは、根本的なリスクを軽減するのに役立つため、常に優先事項である必要があります。定期的なITチェックとシステム更新を実施して、すべてのパッチが実装されていることを確認し、攻撃者のバックドアを排除します。

結論

サイバー攻撃の状況は絶えず変化しているため、企業は特に注意する必要があります。サイバー保険は賢明な動きですが、企業は他のツールを利用して自分自身を保護することも学ぶ必要があります。

所有者は常に会社の状況に最も適した保険プランを選択し、詳細を読み、サイバーセキュリティの更新についてデューデリジェンスを行い、保険会社と被保険会社の間の健全で前向きなエコシステムを維持する必要があります。保険会社はまた、バランスを保ち、すべての規模の会社に対して実行可能な計画があることを確認する必要があります。増大するサイバー脅威から身を守るには、事業主と保険会社の両方からの共通の努力が必要です。

コメントをどうぞ