Miks peavad CISOd tegema küberkindlustusandjatest oma partnerid?

Praegusel ohumaastikul on suhe vahel küberkindlustus pakkujad ja potentsiaalsed (või isegi praegused) kindlustusvõtjad on parimal juhul sageli pinges. Organisatsioonid võivad tajuda pikka ja kaasahaaravat protsessi koos kasvavate kindlustusmaksetega kindlustusseltsidena, kes neid ära kasutavad. Kindlustusseltsid püüavad aga tasakaalustada hüppeliselt kasvanud kahjusuhteid, mis olid paar aastat tagasi eriti lokkav. 

Kuigi see lahtiühendamine on tülikas, pole üllatav, et püüame ikka veel asju välja mõelda. Küberkindlustus on tekkimas võrreldes teiste kindlustussegmentidega. Esimese küberpoliisi kirjutas AIG alles 1997. aastal. Seevastu elu- ja varakindlustus on tublisti üle 250 aasta vana ning autokindlustus üle 125 aasta vana. On loomulik, et protsessis, mis on suhteliselt uus ja mis areneb arusaamatu kiirusega võrreldes selliste valdkondadega nagu elu- või varakindlustus, esineb kasvuvalusid. Hea uudis on see, et me ei ole nii teenusepakkujate kui ka kindlustusvõtjate jaoks mugava positsiooni leidmisest nii kaugel. Peamine on meeles pidada, et me oleme kõik selles koos. Tegelikult on üks suurimaid vigu, mida infoturbeametnikud (CISO) teha võivad, see, et nad ei kohtle oma kindlustuspakkujaid partnerina. 

Kuidas me siia sattusime 

Kasulik on omada lühikest ülevaadet tööstuse arengust, et mõistaksime praeguseid väljakutseid. Alguses põhinesid küberkindlustusmaksed peaaegu täielikult sisetundel, kuid see oli ilmselt pikas perspektiivis vastuvõetamatu. Seega töötati välja makrovaadetest lähtuv süsteem, kus nõuete ootused põhinesid kindlustatute kogumile rakendatud üldistel turukahjudel.

Selle lähenemisviisi probleem seisneb aga selles, et kahjunõuded hakkasid kiiresti ületama prognoose ja kindlustusandjad täheldasid, et kahjurisk oli koondunud teatud kindlustusvõtjate hulka. Lisaks hakkasid kindlustusandjad muretsema süstemaatilise või korrelatsiooniriski pärast, kus ühe poliisi kahjum suurenes nõuete esitamise tõenäosus teiste poliiside vastu. Kindlustusandjate jaoks hakkasid asjad kiiresti käest minema. 

Järgmine areng, mis viib meid praeguse olukorrani, on kindlustusprotsess ise. Makrovaatepõhistest poliisidest tingitud kahjude leevendamiseks on kindlustusrakendused muutunud oluliselt keerukamaks ja nõuavad üksikasjalikke vestlusi, intervjuusid ja kohapealseid külastusi eesmärgiga luua kohandatud poliitika. Organisatsioonid peavad sageli vastama teatud lävitingimustele, nagu mitmefaktorilise autentimise ning lõpp-punkti tuvastamise ja reageerimise võimaluste kasutamine, ning peavad läbima oma keskkonna "väljastpoolt sisse" kontrolli, mille teeb neutraalne kolmas osapool.

Probleem on selles, et IT-ettevõtted on kogu poliitikaperioodi jooksul pidevas muutumises, mis muudab küsimustiku kaudu tõeliselt täpse ja nüansirikka teabe hankimise peaaegu võimatuks – isegi organisatsioonide jaoks, kes püüavad pakkuda kõige täpsemat ja üksikasjalikumat teavet. See on loonud keskkonna, kus hinnakujunduses ja poliitikatingimustes on märkimisväärne kõikumine, mis toob kaasa suure osa pingetest kindlustusandjate ja kindlustusvõtjate vahel. 

Kuhu me peame minema 

Et tõeliselt partneriteks saada, peavad organisatsioonid ja kindlustusandjad kõigepealt kokku leppima ühises eesmärgis: riskide vähendamises. See peaks olema lihtsam osa. Praegune kindlustusprotsess püüab riski tuvastada, kuid see ei ole suutnud seda üksikute organisatsioonide jaoks usaldusväärselt määrata. Kindlustatud poolel korraldavad CISOd regulaarselt eelarvealast vestlust juhatusega riskide osas, seega on terminoloogias kokku lepitud.

Puuduv osa loob viisi, kuidas mõõta riski, millega mõlemad pooled on rahul, et poliitika hinnakujundus saaks sellel põhineda. Ainus viis, kuidas ma näen selle saavutamiseks, on elektrooniliselt kogutud mõõdikute jagamine taotleja organisatsiooni tulemüürist, mis uurib küberasendit. Erinevalt käsitsi täidetud küsimustikest võivad need andmed anda usaldusväärse ülevaate keskkonnast. See on erinevus sündmuse pealtnägija ja selle kõrge eraldusvõimega salvestuse vahel – neid kahte ei saa tõesti võrrelda.

Põhjus, miks see partnerluse teema pidevalt esile kerkib, on see, et CISO-l on suur palve jagada sellist privaatset teavet, eriti kui nad on mures, et nende esitatud teavet kasutatakse nende vastu preemiate suurendamiseks. Tihe koostöö paljude kindlustusandjatega ei ole minu tuttavate küberkindlustusandjate motivatsioon. Nad, nagu küberjulgeoleku spetsialistid kogu tööstuse, püüavad lihtsalt pidevalt muutuvas keskkonnas orienteeruda ja see radikaalne läbipaistvus on kindlustatutele kasulik.

Kui kindlustusandjad saavad selle ülevaate, saavad nad seda uurida ja vastata peamiste leidude ja prioriteetsete heastamisnõuannete üksikasjadega, mis võimaldab taotlejal teha need kohandused ja esitada need uuesti, et saada paremat poliisi hinda.

Päeva lõpuks on kindlustuspakkujad ja CISOd kõik samas meeskonnas, seega üks minu suurimaid nõuandeid CISO-dele: ravige oma küberkindlustuse vedaja partnerina. Tugeva suhte arendamine ja regulaarne dialoog parandab uuendamise ja nõuete esitamise protsessi. Pidage meeles, et kellelgi pole küberturvalisuse riskide ja kahjude kohta rohkem andmeid kui küberkindlustusandjal.

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• PlatoData.Network Vertikaalne generatiivne Ai. Jõustage ennast. Juurdepääs siia.
• PlatoAiStream. Web3 luure. Täiustatud teadmised. Juurdepääs siia.
• PlatoESG. Süsinik, CleanTech, Energia, Keskkond päikeseenergia, Jäätmekäitluse. Juurdepääs siia.
• PlatoTervis. Biotehnoloogia ja kliiniliste uuringute luureandmed. Juurdepääs siia.
• Allikas: https://www.darkreading.com/cyber-risk/why-cisos-need-to-make-cyber-insurers-their-partners