Почему директора по информационной безопасности должны сделать киберстраховщиков своими партнерами

В нынешнем ландшафте угроз отношения между киберстрахование поставщиков услуг и потенциальных (или даже нынешних) держателей полисов зачастую в лучшем случае испытывает трудности. Организации могут воспринимать этот длительный и сложный процесс в сочетании с ростом премий как страховые компании, которые этим пользуются. Страховые компании, однако, изо всех сил пытаются сбалансировать растущие коэффициенты убытков, которые были особенно угрожающими пару лет назад. 

Хотя это разъединение вызывает проблемы, неудивительно, что мы все еще пытаемся во всем разобраться. Кибер страхование находится в зачаточном состоянии по сравнению с другими сегментами страхования. Первый кибер-полис был написан AIG совсем недавно, в 1997 году. Напротив, страхованию жизни и имущества уже более 250 лет, а автострахованию – более 125 лет. Вполне естественно, что в процессе, который является относительно новым и развивается со скоростью, непостижимой по сравнению с такими областями, как страхование жизни или имущества, возникают некоторые проблемы роста. Хорошая новость заключается в том, что мы не так уж далеки от того, чтобы найти комфортное положение как для поставщиков услуг, так и для страхователей. Главное – помнить, что мы все вместе. Фактически, одна из самых больших ошибок, которые могут совершить руководители информационной безопасности (CISO), — это не относиться к своим страховым компаниям как к партнеру. 

Как мы сюда попали 

Полезно иметь краткое представление о том, как развивалась отрасль, чтобы мы могли оценить текущие проблемы. Вначале премии по киберстрахованию почти полностью основывались на интуиции, но в долгосрочной перспективе это, очевидно, было несостоятельным. Таким образом, была разработана система, основанная на макропредставлениях, в которой ожидания выплат основывались на общих рыночных потерях, понесенных по группе страхователей.

Проблема с этим подходом, однако, заключается в том, что претензии быстро начали превышать прогнозы, и страховщики заметили, что риск убытков был сконцентрирован среди определенной группы держателей полисов. Кроме того, страховщиков обеспокоил систематический или корреляционный риск, когда убыток по одному полису увеличивал вероятность претензий по другим полисам. Ситуация быстро вышла из-под контроля страховщиков. 

Следующее событие, которое подводит нас к нынешней ситуации, — это сам процесс андеррайтинга. Чтобы смягчить потери, вызванные полисами на основе макропредставлений, страховые заявки стали значительно более сложными и требуют подробных бесед, интервью и посещений объектов с целью создания индивидуального полиса. От организаций часто требуется соблюдение определенных пороговых условий, таких как использование многофакторной аутентификации, а также возможностей обнаружения и реагирования конечных точек, и они должны пройти сканирование «снаружи внутрь» своей среды, которое выполняется нейтральной третьей стороной.

Проблема в том, что ИТ-инфраструктура постоянно меняется на протяжении всего периода действия политики, что делает получение по-настоящему точной и подробной информации с помощью анкеты практически невозможным — даже для организаций, которые пытаются предоставить наиболее точную и подробную информацию. Это создало среду, в которой существует значительная волатильность цен и условий полиса, что приводит к значительной напряженности между страховщиками и держателями полисов. 

Куда нам нужно идти 

Чтобы по-настоящему стать партнерами, организациям и страховщикам сначала необходимо договориться об общей цели: снижении рисков. Это должна быть самая легкая часть. Текущий процесс андеррайтинга пытается установить риск, но он не смог надежно определить его для отдельных организаций. Что касается страхователей, директора по информационной безопасности регулярно обсуждают с советом директоров бюджетные вопросы с точки зрения рисков, поэтому существует согласованная терминология.

Недостающим элементом является создание способа измерения риска, который устраивает обе стороны, чтобы на его основе можно было основывать политику ценообразования. Единственный способ добиться этого, как я вижу, — это обмен показателями, собранными в электронном виде изнутри межсетевого экрана организации-заявителя, который исследует кибер-положение. В отличие от анкет, заполненных вручную, эти данные могут дать надежную картину окружающей среды. В этом разница между присутствием очевидца события и записью его в высоком разрешении — между ними нет никакого сравнения.

Причина, по которой эта тема партнерства продолжает подниматься, заключается в том, что любому директору по информационной безопасности очень важно делиться такого рода частной информацией, особенно если они обеспокоены тем, что предоставленная ими информация будет использована против них для увеличения премий. Тесное сотрудничество с большим количеством страховщиков не является мотивацией ни для одной из известных мне киберстраховщиков. Они, как и профессионалы в области кибербезопасности во всей отрасли, просто пытаются сориентироваться в постоянно меняющейся среде, и такая радикальная прозрачность пойдет на пользу страхователям.

Как только страховщики получат этот снимок, они смогут изучить его и ответить подробностями, касающимися ключевых выводов и приоритетных рекомендаций по исправлению ситуации, что позволит заявителю внести эти корректировки и повторно подать заявку, чтобы получить более выгодную цену полиса.

В конце концов, страховые компании и директора по информационной безопасности — все в одной команде, поэтому один из моих главных советов директорам по информационной безопасности: относитесь к своим компания киберстрахования в качестве партнера. Развитие прочных отношений и участие в регулярном диалоге улучшит процесс продления и урегулирования претензий. Помните: ни у кого нет больше данных о рисках и потерях в области кибербезопасности, чем у страховой компании, занимающейся киберстрахованием.

• SEO-контент и PR-распределение. Получите усиление сегодня.
• PlatoData.Network Вертикальный генеративный ИИ. Расширьте возможности себя. Доступ здесь.
• ПлатонАйСтрим. Интеллект Web3. Расширение знаний. Доступ здесь.
• ПлатонЭСГ. Углерод, чистые технологии, Энергия, Окружающая среда, Солнечная, Управление отходами. Доступ здесь.
• ПлатонЗдоровье. Биотехнологии и клинические исследования. Доступ здесь.
• Источник: https://www.darkreading.com/cyber-risk/why-cisos-need-to-make-cyber-insurers-their-partners