Perché i CISO devono fare degli assicuratori informatici i loro partner

Nell'attuale panorama delle minacce, la relazione tra assicurazione informatica fornitori e potenziali (o anche attuali) assicurati è spesso messo a dura prova, nella migliore delle ipotesi. Le organizzazioni potrebbero percepire il processo lungo e complicato, abbinato all’aumento dei premi, come se le compagnie assicurative ne traessero vantaggio. Le compagnie assicurative, tuttavia, stanno lottando per bilanciare l’impennata dei tassi di perdita, particolarmente dilagante un paio di anni fa. 

Sebbene questa disconnessione sia problematica, non sorprende che stiamo ancora cercando di capire le cose. Assicurazione informatica è nascente rispetto ad altri segmenti assicurativi. La prima polizza informatica è stata redatta da AIG nel 1997. Al contrario, l’assicurazione sulla vita e sulla proprietà ha più di 250 anni e l’assicurazione auto più di 125 anni. È naturale che si verifichino alcune difficoltà in un processo relativamente nuovo e che si evolve a un ritmo incomprensibile rispetto a settori come l’assicurazione sulla vita o sulla proprietà. La buona notizia è che non siamo così lontani dal trovare una posizione comoda sia per i fornitori che per gli assicurati. La chiave è ricordare che siamo tutti nella stessa situazione. In effetti, uno degli errori più grandi che i responsabili della sicurezza delle informazioni degli chef (CISO) possono commettere è non trattare i loro fornitori di assicurazioni come partner. 

Come siamo arrivati ​​qui 

È utile avere una breve idea di come si è sviluppato il settore in modo da poter apprezzare le sfide attuali. All’inizio, i premi delle assicurazioni informatiche erano quasi interamente basati sull’istinto, ma ciò era ovviamente insostenibile a lungo termine. Pertanto, è stato sviluppato un sistema guidato da visioni macro, in cui le aspettative sui sinistri erano basate sulle perdite complessive del mercato applicate a un pool di assicurati.

Il problema di questo approccio, tuttavia, è che le richieste di indennizzo hanno iniziato rapidamente a superare le previsioni e gli assicuratori hanno osservato che il rischio di perdita era concentrato in un sottogruppo di assicurati. Inoltre, gli assicuratori si sono preoccupati del rischio sistematico o di correlazione, in cui una perdita su una polizza aumenta la probabilità di sinistri contro altre polizze. La situazione stava rapidamente sfuggendo di mano agli assicuratori. 

Il prossimo sviluppo che ci porta alla nostra situazione attuale è il processo di sottoscrizione stesso. Per mitigare le perdite causate da polizze basate su macro-visioni, le richieste assicurative sono diventate significativamente più complesse e richiedono conversazioni dettagliate, interviste e visite in loco, con l’obiettivo di creare una polizza su misura. Le organizzazioni spesso sono tenute a soddisfare condizioni soglia specifiche, come l'utilizzo dell'autenticazione a più fattori e le funzionalità di rilevamento e risposta degli endpoint, e devono superare una scansione "outside-in" del proprio ambiente, eseguita da una terza parte neutrale.

Il problema è che il patrimonio IT è in un costante stato di cambiamento durante tutto il periodo della politica, il che rende quasi impossibile ottenere informazioni veramente accurate e sfumate tramite un questionario, anche per le organizzazioni che stanno tentando di fornire le informazioni più accurate e dettagliate. Ciò ha creato un ambiente caratterizzato da una sostanziale volatilità dei prezzi e dei termini delle politiche, che ha portato a gran parte della tensione tra assicuratori e assicurati. 

Dove dobbiamo andare 

Per diventare veramente partner, le organizzazioni e gli assicuratori devono prima concordare un obiettivo comune: la riduzione del rischio. Questa dovrebbe essere la parte facile. L’attuale processo di sottoscrizione sta cercando di stabilire il rischio, ma non è stato in grado di definirlo in modo affidabile per le singole organizzazioni. Dal lato degli assicurati, i CISO inquadrano regolarmente le conversazioni sul budget con il consiglio di amministrazione in termini di rischio, quindi esiste una terminologia concordata.

L’elemento mancante è stabilire un modo per misurare il rischio di cui entrambe le parti siano soddisfatte, in modo che il prezzo delle politiche possa basarsi su di esso. L’unico modo che vedo per raggiungere questo obiettivo è attraverso la condivisione di parametri raccolti elettronicamente dall’interno del firewall di un’organizzazione richiedente che esamina la postura informatica. A differenza dei questionari compilati manualmente, questi dati possono fornire un’istantanea affidabile dell’ambiente. È la differenza tra avere un testimone oculare di un evento e una sua registrazione ad alta risoluzione: non c’è davvero paragone tra i due.

Il motivo per cui questo tema di partnership continua a emergere è che è una grande richiesta per qualsiasi CISO condividere questo tipo di informazioni private, soprattutto se teme che le informazioni fornite vengano utilizzate contro di loro per aumentare i premi. Lavorando a stretto contatto con un gran numero di assicuratori, questa non è la motivazione di nessun assicuratore informatico che conosco. Loro, come i professionisti della sicurezza informatica di tutto il settore, stanno semplicemente cercando di orientarsi in un ambiente in costante cambiamento, e questa trasparenza radicale andrà a vantaggio degli assicurati.

Una volta che gli assicuratori avranno questa istantanea, saranno in grado di esaminarla e rispondere con dettagli sui risultati chiave e consigli di riparazione prioritari, consentendo al richiedente di apportare tali modifiche e ripresentarla per ottenere un prezzo migliore della polizza.

In fin dei conti, gli assicuratori e i CISO fanno tutti parte della stessa squadra, quindi uno dei miei più grandi consigli ai CISO: trattate i vostri vettore di assicurazione informatica come partner. Lo sviluppo di un rapporto forte e l’impegno in un dialogo regolare miglioreranno il processo di rinnovo e di richiesta di risarcimento. Ricorda, nessuno ha più dati sui rischi e sulle perdite della sicurezza informatica di una compagnia di assicurazioni informatiche.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/cyber-risk/why-cisos-need-to-make-cyber-insurers-their-partners