Kybervakuutuksenantajat hillitsevät asiakkaidensa itse vahvistamia turvatoimia

Kybervakuutusyhtiön hylätty oikeusjuttu, jossa väitetään, että sen asiakas on johtanut sitä harhaan vakuutushakemuksessaan, voisi mahdollisesti pohjustaa tapaa, jolla vakuutuksenantajat arvioivat vakuutushakemuksiin liittyviä itsetodistusvaatimuksia.

Tapaus — Travelers Property Casualty Company of America v. International Control Services Inc. (ICS) – perustui ICS:ään, joka väitti, että sillä oli monitekijätodennus (MFA) käytössä, kun elektroniikkavalmistaja hakenut vakuutusta. Toukokuussa yritys joutui ransomware-hyökkäykseen. Oikeuslääketieteen tutkijat totesivat, ettei MFA:ta ollut olemassa, joten Travelers väitti, ettei sen pitäisi olla vastuussa vaatimuksesta. 

Asia (nro 22-cv-2145) jätettiin Yhdysvaltain Illinoisin keskuspiirin piirioikeuteen 6. heinäkuuta. Elokuun lopussa asianosaiset suostuivat mitätöimään sopimuksen, mikä lopetti ICS:n pyrkimykset saada vakuutusturva. sen tappiot.

Tämä tapaus oli epätavallinen siinä mielessä, että Travelers piti tuomioistuimessa hakemuksessa vääriä tietoja, jotka "vaikuttivat olennaisesti Travellerin ottaman riskin ja/tai vaaran hyväksymiseen".

Asiakkaan vieminen oikeuteen poikkeaa muista vastaavista tapauksista, joissa vakuutusyhtiö yksinkertaisesti hylkäsi vaatimuksen, mutta se tuskin on ainutlaatuinen, sanoi Scott Godes, Washington D.C:ssä toimivan lakitoimiston Barnes & Thornburg LLP:n kumppani. 

"Olen nähnyt tämän ongelman kuplivan viime vuosina. Minun näkökulmastani vakuutusyhtiöt ovat tehneet tästä kovat markkinat - nostamalla vakuutusmaksuja ja alentamalla rajoja – ja se on rohkaissut heitä valitsemaan ydinvoimavaihtoehdon irtisanomalla kattavuuden, Godes sanoo.

Turvallisuuden tulee olla ennakoivaa ja pysäyttää mahdolliset tietomurrot ennen kuin ne tapahtuvat sen sijaan, että vastattaisiin jokaiseen onnistuneeseen hyökkäykseen, huomauttaa Sean O’Brien, Yale Law Schoolin tietoyhteiskuntaprojektin vieraileva stipendiaatti ja Yale Law Schoolin Privacy Labin perustaja.

"Vakuutusalasta tulee todennäköisesti yhä ovelampi kyberturvallisuusvaatimusten kasvaessa, puolustaen tulostaan ​​ja välttäen korvauksia aina kun mahdollista", O'Brien sanoo. "Tämä on tietysti aina ollut vakuutussäätäjien rooli, ja heidän liiketoimintansa on monella tapaa ristiriidassa organisaatiosi etujen kanssa sen jälkeen, kun kyberhyökkäyksen aiheuttama pöly on laskeutunut."

Eli järjestöjen ei pitäisi odottaa maksua huonojen kyberturvallisuuspolitiikkojen ja -käytäntöjen vuoksi, hän huomauttaa.

Vaikka Travellers-tapaus koski nimenomaan yksittäistä MFA-turvatarkastusta, vakuutusyhtiöt saattavat muuttaa vakuutuksenantajiensa riippuvuutta itseluottamuksesta ilman minkäänlaista kolmannen osapuolen todentamista muihin turvatarkastuksiin jatkossa, toteaa Jess Burn, Forrester Researchin vanhempi analyytikko. .

"Oikeusjutut ja vakuutusturvan peruuttaminen, vakuutettujen ja vakuutuksenottajien huutaminen heidän kertomiinsa pieniin fibsiin tai yksityiskohtien laiminlyönti siitä, kuinka he ovat suojattuja turvallisissa käytännöissään" näyttävät olevan nouseva trendi, Burn sanoo.

Yksi vaihtoehto poistaa kaikki kysymykset siitä, onko yritys turvavalvontatoimenpiteiden toteuttaminen on tarjota vahvistettua tukea, hän lisää. Vaikka läpinäkyvyyttä ei vaadita, kolmannen osapuolen varmistus siitä, että MFA:ta, kolmannen osapuolen riskinhallintaa, päätepisteiden havaitsemista tai mitä tahansa lukuisista suojaustoimenpiteistä on käytössä, pitäisi poistaa kaikki väärinkäsitykset tai huolenaiheet ennen käytännön käyttöönottoa. annettu.

Kehittynyt kybervakuutus

Vaikka teknologia- ja tietoturvatoteutukset muuttuvat ajan myötä, kybervakuutusyhtiöt arvioivat vakuutussuojansa uudelleen vuosittain, toteaa Marc Schein, maailman suurimman vakuutusmeklarin Marsh McLennan Agencyn Cyber ​​Center for Excellence -keskuksen kansallinen puheenjohtaja. Toisin kuin tavallisilla tapaturmavakuutuksilla, joilla on erittäin laaja tilastohistoria vakuutuksenantajien osalta, kybervakuutuksia pidetään edelleen kehittyvänä alana ja vakuutuksenantajat kehittävät edelleen algoritmejaan ja analyysejaan parhaan hintariskin saavuttamiseksi.

Yksi alue, jolla vakuutuksenantajat luottavat voimakkaasti yritysten riskiprofiileihinsa liittyviin itsetodistuksiin, ovat kontrollit: mitä valvontaa heillä on käytössä, kuinka hyvin ne on konfiguroitu ja niiden tehokkuus. Toisinaan, Schein jatkoi, vakuutuksenantaja saattaa vaatia vakuutusmahdollisuutta suorittamaan arviointeja, kuten penetraatiotestin. Jos testi tulee takaisin huomattavasti odotettua poikkeavaan tulokseen – esimerkiksi jos 100 satamaa on auki, jotka prospekti sanoi suljetuiksi – vakuutusyhtiö todennäköisesti keskustelee näistä avoimista satamista ja muista todistuksista selvittääkseen, onko yritys yritti tarkoituksella piilottaa ongelman tai vahingossa tapahtuneen virheen.

CISO:t ovat haluttomia vastaamaan kysymyksiin hakemuksista, jotka saattavat johtaa siihen, että vakuutuksenantaja vaatii merkittäviä investointeja ongelman lievittämiseksi ennen kuin vakuutus hyväksytään, Schein sanoo. Jos yritys ilmoittaa aikovansa panostaa lieventämistoimiin, mutta hankkeen odotetaan valmistuvan vasta vakuutuksen voimaantulopäivän jälkeen, vakuutuksenantaja voi tehdä kompromissin sitomalla hakemuksen mutta rajoittamalla todellisen suojan tiettyyn prosenttiosuuteen vakuutuksen rajoista. – ehkä 10 % vakuutuksen 1 miljoonan dollarin kattavuusrajasta – siihen asti, kunnes korjaustoimenpiteet on suoritettu.

"On huomionarvoista, että vakuutusyhtiöt kieltäytyvät testaamasta, tarkastamasta tai harjoittamasta vahinkojen hallintaa vakuutuksensa yhteydessä", asianajaja Godes huomauttaa. "Ehkä he uskovat, että he voivat vain vetää maton ulos tietämättömien vakuutuksenottajien alta luottaen irtisanomiseen välttääkseen kattamasta riskejä, jotka vakuutuksenantajat olisivat voineet tarkastaa itse."

Godes ei ole myyty sillä ajatuksella, että kybervakuuttajat yksinkertaisesti mukauttavat vakuutusmenettelyjään. "Toimiala tekee yhä haastavammaksi vastata heidän sovelluksiinsa", hän huomauttaa, "ja sovelluksissa on edelleen epäselvyyksiä."

"Kokemukseni mukaan ainoa [verkkovakuutusyhtiöiden suorittama] tutkimus on yritys selvittää, kuinka liikenteenharjoittaja voi peruuttaa vakuutusturvan tai uhata tehdä niin, sen sijaan että selvittää, onko korvausvaatimus katettu ja miten sen pitäisi olla sovittu."