Asigurătorii cibernetici restrâng auto-atestarea controalelor de securitate de către clienți

Un proces anulat al unui transportator de asigurări cibernetice care susține că clientul său l-a indus în eroare cu privire la cererea sa de asigurare ar putea deschide calea pentru a schimba modul în care subscriitorii evaluează cererile de auto-atestare privind cererile de asigurare.

Cazul — Travelers Property Casualty Company of America v. International Control Services Inc. (ICS) — s-a bazat pe ICS care susținea că avea autentificare multifactor (MFA) în vigoare atunci când producătorul de electronice aplicat pentru o politică. În mai, compania a suferit un atac ransomware. Anchetatorii criminalistici au stabilit că nu există un MFA, așa că Travelers a afirmat că nu ar trebui să fie răspunzător pentru reclamație. 

Cazul (nr. 22-cv-2145) a fost depus la Tribunalul Districtual din SUA pentru Districtul Central din Illinois pe 6 iulie. La sfârșitul lunii august, justițiabilii au convenit să anuleze contractul, punând capăt eforturilor ICS de a-și asigura asiguratorul. pierderile acestuia.

Acest caz a fost neobișnuit în sensul că Travelers a susținut că denaturarea „a afectat în mod semnificativ acceptarea riscului și/sau a pericolului asumat de călători” în dosarul instanței.

Aducerea unui client în instanță este o abatere de la alte cazuri similare în care o companie de asigurări pur și simplu a respins cererea, dar nu este unic, a spus Scott Godes, partener la Barnes & Thornburg LLP, o firmă de avocatură cu sediul în Washington, DC. 

„Am văzut această problemă explodând în ultimii ani. Din perspectiva mea, transportatorii de asigurări au făcut din aceasta o piață dificilă - creșterea primelor și scăderea limitelor - și asta i-a încurajat să aleagă opțiunea nucleară prin anularea acoperirii”, spune Godes.

Securitatea ar trebui să fie proactivă, oprind posibilele încălcări înainte ca acestea să apară, mai degrabă decât să răspundă pur și simplu la fiecare atac de succes, notează Sean O'Brien, coleg vizitator la Proiectul pentru Societatea Informațională de la Yale Law School și fondatorul Privacy Lab de la Yale Law School.

„Este probabil ca industria asigurărilor să devină din ce în ce mai persnic pe măsură ce cererile de securitate cibernetică cresc, apărându-și rezultatul final și evitând rambursarea ori de câte ori este posibil”, spune O'Brien. „Acesta a fost întotdeauna rolul ajustatorilor de asigurări, desigur, iar afacerea lor este în multe privințe adversare intereselor organizației dumneavoastră după ce praful se așează de la un atac cibernetic.”

Acestea fiind spuse, organizațiile nu ar trebui așteptați o plată pentru politicile și practicile slabe de securitate cibernetică, notează el.

În timp ce cazul Travelers se referea în mod special la controlul de securitate unic al AMF, companiile de asigurări ar putea modifica încrederea subscriitorilor lor pe auto-atestare fără un anumit tip de verificare de la terți cu privire la alte controale de securitate în viitor, notează Jess Burn, analist senior la Forrester Research. .

„Procesele și anularea acoperirii, chemarea asiguraților și a deținătorilor de polițe pentru micile mentiune pe care le-au spus sau omiterea detaliilor despre modul în care sunt protejați în practicile lor sigure” par a fi o tendință emergentă, spune Burn.

O opțiune pentru a elimina orice întrebare despre dacă o companie este implementarea controalelor de securitate este de a oferi suport verificat, adaugă ea. Chiar dacă transparența nu este necesară, asigurarea verificării de la terți că există controale pentru MFA, managementul riscului de la terți, detectarea punctelor finale sau oricare dintre numeroasele controale de securitate ar trebui să elimine orice neînțelegere sau îngrijorări înainte de a fi adoptată politica. emis.

Asigurări cibernetice în evoluție

În timp ce implementările tehnologice și de securitate se schimbă în timp, companiile de asigurări cibernetice își reevaluează anual controalele de subscriere, notează Marc Schein, copreședinte național la Centrul Cyber ​​pentru Excelență al Agenției Marsh McLennan, cel mai mare broker de asigurări din lume. Spre deosebire de polițele obișnuite de asigurare pentru accidente, care au o istorie statistică foarte extinsă pentru subscriitori, asigurarea cibernetică este încă considerată un domeniu în curs de dezvoltare, iar subscriitorii încă își perfecționează algoritmii și analizele la cel mai bun risc de preț.

Un domeniu în care asiguratorii se bazează foarte mult pe autoatestarea din partea companiilor cu privire la profilul lor de risc este controalele: ce controale au în vigoare, cât de bine au fost configurate și eficiența lor. Uneori, a continuat Schein, un asigurator ar putea cere unei perspective de asigurare pentru a fi supus unor evaluări, cum ar fi un test de penetrare. În cazul în care testul revine cu un rezultat semnificativ diferit de cel anticipat - de exemplu, dacă sunt deschise 100 de porturi despre care perspectiva a spus că au fost închise - compania de asigurări ar avea probabil o discuție despre acele porturi deschise, precum și despre alte atestări, pentru a determina dacă compania a încercat în mod deliberat să ascundă o problemă sau dacă a existat o eroare accidentală.

CISO sunt reticenți în a răspunde la întrebările privind aplicațiile care ar putea determina asiguratorul să solicite investiții semnificative pentru a atenua problema înainte de aprobarea asigurării, spune Schein. Dacă o companie indică că intenționează să investească în eforturile de atenuare, dar proiectul nu este de așteptat să fie finalizat decât după data la care asigurarea devine efectivă, asigurătorul poate face compromisuri prin obligarea cererii, dar limitând acoperirea reală la un procent din limitele poliței. — poate 10% din limita de acoperire de 1 milion USD a unei polițe — până când eforturile de remediere sunt finalizate.

„Este remarcabil că transportatorii de asigurări refuză să testeze, să inspecteze sau să se angajeze în controlul pierderilor atunci când subscriu”, notează avocatul Godes. „Poate că ei cred că pot scoate pur și simplu covorașul de dedesubt asigurații care nu sunt conștienți, bazându-se pe reziliere pentru a evita acoperirea riscurilor pe care asigurătorii le-ar fi putut inspecta singuri.”

Godes nu este vândut pe ideea că asigurătorii cibernetici își reajustează pur și simplu procedurile de subscriere. „Industria face din ce în ce mai dificil să răspundă la aplicațiile lor”, observă el, „și continuă să existe capriciile în aplicații.”

„Din experiența mea”, spune el, „singura investigație [de către asigurătorii cibernetici] este un efort de a afla cum transportatorul poate anula acoperirea sau amenința că va face acest lucru, mai degrabă decât să-și dea seama dacă reclamația este acoperită și cum ar trebui să facă acest lucru. fi soluționat.”