Dlaczego CISO muszą uczynić cyberubezpieczycieli swoimi partnerami

W obecnym krajobrazie zagrożeń związek pomiędzy cyberubezpieczenie ubezpieczyciele i potencjalni (lub nawet obecni) ubezpieczający są w najlepszym razie często obciążeni. Organizacje mogą postrzegać ten długotrwały i złożony proces w połączeniu z rosnącymi składkami, jako że towarzystwa ubezpieczeniowe go wykorzystują. Firmy ubezpieczeniowe mają jednak trudności z zrównoważeniem gwałtownie rosnących wskaźników szkodowości, które były szczególnie powszechne kilka lat temu. 

Chociaż to rozłączenie jest kłopotliwe, nie jest zaskoczeniem, że wciąż próbujemy rozwiązać tę sytuację. Cyberbezpieczeństwo jest zjawiskiem rodzącym się w porównaniu z innymi segmentami ubezpieczeń. Pierwszą polisę cybernetyczną AIG napisała dopiero w 1997 roku. Dla porównania ubezpieczenia na życie i majątek mają grubo ponad 250 lat, a ubezpieczenia komunikacyjne ponad 125 lat. To naturalne, że w procesie, który jest stosunkowo nowy i ewoluuje w tempie niezrozumiałym w porównaniu z takimi obszarami, jak ubezpieczenia na życie czy ubezpieczenia majątkowe, pojawiają się pewne trudności. Dobra wiadomość jest taka, że ​​nie jesteśmy aż tak daleko od znalezienia wygodnej pozycji zarówno dla ubezpieczycieli, jak i ubezpieczających. Najważniejsze jest, aby pamiętać, że jesteśmy w tym wszyscy razem. Tak naprawdę jednym z największych błędów, jakie mogą popełnić specjaliści ds. bezpieczeństwa informacji szefów kuchni (CISO), jest nietraktowanie swoich ubezpieczycieli jak partnera. 

Jak tu dotarliśmy 

Warto mieć krótkie pojęcie o rozwoju branży, co pozwoli nam docenić obecne wyzwania. Na początku składki na ubezpieczenia cybernetyczne niemal w całości opierały się na intuicji, ale oczywiście było to nie do utrzymania w dłuższej perspektywie. W związku z tym opracowano system oparty na poglądach makro, w którym oczekiwania dotyczące roszczeń opierały się na ogólnych stratach rynkowych zastosowanych w całej puli ubezpieczonych.

Problem z tym podejściem polega jednak na tym, że odszkodowania szybko zaczęły przekraczać prognozy, a ubezpieczyciele zaobserwowali, że ryzyko straty skupiało się w podzbiorze ubezpieczających. Dodatkowo ubezpieczyciele zaniepokoili się ryzykiem systematycznym lub korelacyjnym, gdzie strata na jednej polisie zwiększała prawdopodobieństwo roszczeń z tytułu innych polis. Sprawy szybko wymknęły się spod kontroli ubezpieczycieli. 

Kolejnym wydarzeniem, które prowadzi nas do naszej obecnej sytuacji, jest sam proces underwritingu. Aby ograniczyć straty spowodowane polisami opartymi na makroekonomii, wnioski ubezpieczeniowe stały się znacznie bardziej złożone i wymagają szczegółowych rozmów, wywiadów i wizyt w terenie w celu stworzenia polisy dostosowanej do indywidualnych potrzeb. Organizacje często muszą spełniać określone warunki progowe, takie jak korzystanie z uwierzytelniania wieloczynnikowego oraz możliwości wykrywania i reagowania na punktach końcowych, a także muszą przejść skanowanie swojego środowiska „z zewnątrz do wewnątrz” przeprowadzane przez neutralną stronę trzecią.

Problem polega na tym, że zasoby IT podlegają ciągłym zmianom przez cały okres obowiązywania polisy, co sprawia, że ​​uzyskanie naprawdę dokładnych i szczegółowych informacji za pomocą kwestionariusza jest prawie niemożliwe – nawet w przypadku organizacji, które starają się zapewnić jak najbardziej dokładne i szczegółowe informacje. Stworzyło to środowisko, w którym występuje znaczna zmienność cen i warunków polityki, co prowadzi do dużej części napięć między ubezpieczycielami a ubezpieczającymi. 

Gdzie musimy się udać 

Aby naprawdę stać się partnerami, organizacje i ubezpieczyciele muszą najpierw uzgodnić wspólny cel: redukcję ryzyka. To powinna być ta łatwa część. Obecny proces underwritingu ma na celu ustalenie ryzyka, ale nie jest w stanie wiarygodnie określić go w przypadku poszczególnych organizacji. Jeśli chodzi o stronę ubezpieczoną, CISO regularnie prowadzą rozmowy budżetowe z zarządem pod kątem ryzyka, zatem istnieje uzgodniona terminologia.

Brakującym elementem jest ustalenie sposobu pomiaru ryzyka, z którego obie strony będą zadowolone, aby można było na nim oprzeć wycenę polisy. Jedynym sposobem, aby to osiągnąć, jest udostępnienie elektronicznie zebranych wskaźników z zapory ogniowej organizacji składającej wniosek, która bada stan cybernetyczny. W przeciwieństwie do ręcznie wypełnianych kwestionariuszy, dane te mogą zapewnić wiarygodny obraz środowiska. Jest różnica między byciem naocznym świadkiem wydarzenia a jego nagraniem w wysokiej rozdzielczości — naprawdę nie ma porównania między nimi.

Powodem, dla którego temat partnerstwa stale się pojawia, jest to, że każdy CISO bardzo prosi o udostępnienie tego rodzaju prywatnych informacji, zwłaszcza jeśli obawia się, że dostarczone przez niego informacje zostaną wykorzystane przeciwko niemu w celu podwyższenia składek. Biorąc pod uwagę ścisłą współpracę z dużą liczbą ubezpieczycieli, nie jest to motywacją żadnego znanego mi cyberubezpieczyciela. Podobnie jak specjaliści ds. cyberbezpieczeństwa w całej branży, po prostu próbują odnaleźć się w stale zmieniającym się środowisku, a ta radykalna przejrzystość będzie korzystna dla ubezpieczonych.

Gdy ubezpieczyciele uzyskają tę migawkę, będą mogli ją sprawdzić i przekazać szczegółowe informacje dotyczące kluczowych ustaleń oraz priorytetowych porad dotyczących środków zaradczych, co umożliwi wnioskodawcy wprowadzenie tych korekt i ponowne przesłanie polisy w celu uzyskania lepszej ceny polisy.

W ostatecznym rozrachunku ubezpieczyciele i CISO należą do tego samego zespołu, więc jedna z moich najważniejszych rad dla CISO: traktuj swoje przewoźnik cyberubezpieczeniowy jako partner. Rozwijanie silnych relacji i angażowanie się w regularny dialog usprawni proces odnowienia i roszczeń. Pamiętaj, że nikt nie ma więcej danych na temat zagrożeń i strat w cyberbezpieczeństwie niż przewoźnik cyberubezpieczeniowy.

• Dystrybucja treści i PR oparta na SEO. Uzyskaj wzmocnienie już dziś.
• PlatoData.Network Pionowe generatywne AI. Wzmocnij się. Dostęp tutaj.
• PlatoAiStream. Inteligencja Web3. Wiedza wzmocniona. Dostęp tutaj.
• PlatonESG. Węgiel Czysta technologia, Energia, Środowisko, Słoneczny, Gospodarowanie odpadami. Dostęp tutaj.
• Platon Zdrowie. Inteligencja w zakresie biotechnologii i badań klinicznych. Dostęp tutaj.
• Źródło: https://www.darkreading.com/cyber-risk/why-cisos-need-to-make-cyber-insurers-their-partners