Por que os CISOs precisam tornar as seguradoras cibernéticas suas parceiras

No atual cenário de ameaças, a relação entre seguro cibernético fornecedores e potenciais (ou mesmo actuais) segurados é muitas vezes tenso, na melhor das hipóteses. As organizações podem perceber o processo demorado e complicado, aliado ao aumento dos prémios, como se as companhias de seguros se aproveitassem deles. As companhias de seguros, no entanto, estão a lutar para equilibrar os crescentes índices de sinistralidade que eram particularmente galopantes há alguns anos. 

Embora esta desconexão seja problemática, não é surpresa que ainda estejamos tentando descobrir as coisas. Seguro cibernético é incipiente em comparação com outros segmentos de seguros. A primeira apólice cibernética foi redigida pela AIG em 1997. Em contraste, o seguro de vida e de propriedade tem mais de 250 anos e o seguro automóvel tem mais de 125 anos. É natural que haja algumas dificuldades crescentes num processo que é relativamente novo e evolui a um ritmo incompreensível em comparação com áreas como seguros de vida ou de propriedade. A boa notícia é que não estamos muito longe de encontrar uma posição confortável tanto para os prestadores como para os segurados. A chave é lembrar que estamos todos juntos nisso. Na verdade, um dos maiores erros que os chefes de segurança da informação (CISOs) podem cometer é não tratar suas seguradoras como parceiras. 

Como Chegamos Aqui 

É útil ter uma breve ideia de como a indústria se desenvolveu para que possamos avaliar os desafios atuais. No início, os prémios de seguro cibernético baseavam-se quase inteiramente no instinto, mas isso era obviamente insustentável a longo prazo. Assim, foi desenvolvido um sistema orientado por visões macro, onde as expectativas de sinistros se baseavam nas perdas globais do mercado aplicadas a um conjunto de segurados.

O problema com esta abordagem, contudo, é que os sinistros rapidamente começaram a exceder as projecções e as seguradoras observaram que o risco de perda estava concentrado num subconjunto de segurados. Além disso, as seguradoras ficaram preocupadas com o risco sistemático ou de correlação, onde uma perda numa apólice aumentava a probabilidade de reclamações contra outras apólices. As coisas estavam rapidamente ficando fora de controle para as seguradoras. 

O próximo desenvolvimento que nos leva à situação atual é o próprio processo de subscrição. Para mitigar as perdas provocadas por apólices baseadas em visão macro, as aplicações de seguros tornaram-se significativamente mais complexas e exigem conversas detalhadas, entrevistas e visitas ao local, com o objetivo de criar uma apólice personalizada. Muitas vezes, as organizações são obrigadas a atender a condições de limite específicas, como a utilização de autenticação multifatorial e recursos de detecção e resposta de endpoint, e devem passar por uma verificação “de fora para dentro” de seu ambiente, que é feita por um terceiro neutro.

O problema é que as áreas de TI estão em constante estado de fluxo ao longo do período da política, o que torna quase impossível obter informações verdadeiramente precisas e diferenciadas por meio de um questionário – mesmo para organizações que estão tentando fornecer as informações mais precisas e detalhadas. Isto criou um ambiente onde existe uma volatilidade substancial nos preços e nos termos das políticas, levando a grande parte da tensão entre seguradoras e tomadores de seguros. 

Para onde precisamos ir 

Para se tornarem verdadeiramente parceiros, as organizações e as seguradoras precisam primeiro de chegar a acordo sobre um objectivo comum: a redução de riscos. Esta deve ser a parte fácil. O atual processo de subscrição está tentando estabelecer o risco, mas não tem sido capaz de identificá-lo de forma confiável para organizações individuais. Do lado segurado, os CISOs enquadram regularmente as conversas orçamentais para o conselho em termos de risco, para que haja uma terminologia acordada.

A peça que falta é estabelecer uma forma de medir o risco com a qual ambas as partes estejam satisfeitas, para que a fixação de preços das políticas possa basear-se nela. A única maneira que vejo de conseguir isso é através do compartilhamento de métricas coletadas eletronicamente de dentro do firewall de uma organização candidata que examina a postura cibernética. Ao contrário dos questionários preenchidos manualmente, estes dados podem fornecer um instantâneo confiável do ambiente. É a diferença entre ter uma testemunha ocular de um evento e uma gravação em alta resolução do mesmo – realmente não há comparação entre os dois.

A razão pela qual este tema de parceria continua a surgir é que é um grande pedido para qualquer CISO partilhar este tipo de informação privada, especialmente se estiver preocupado com a possibilidade de a informação que fornece ser usada contra ele para aumentar os prémios. Por trabalhar em estreita colaboração com um grande número de seguradoras, essa não é a motivação de nenhuma seguradora cibernética que conheço. Eles, tal como os profissionais de cibersegurança de toda a indústria, estão simplesmente a tentar orientar-se num ambiente em constante mudança, e esta transparência radical será benéfica para os segurados.

Assim que as seguradoras tiverem esse instantâneo, poderão examiná-lo e responder com detalhes sobre as principais conclusões e conselhos de remediação priorizados, permitindo ao requerente fazer esses ajustes e reenviá-lo para obter um melhor preço da apólice.

No final das contas, as seguradoras e os CISOs estão todos na mesma equipe, então um dos meus maiores conselhos aos CISOs: trate seus operadora de seguros cibernéticos como parceiro. O desenvolvimento de um relacionamento forte e o envolvimento num diálogo regular melhorarão o processo de renovação e de reivindicações. Lembre-se de que ninguém possui mais dados sobre riscos e perdas de segurança cibernética do que uma seguradora cibernética.

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
• Fonte: https://www.darkreading.com/cyber-risk/why-cisos-need-to-make-cyber-insurers-their-partners