Чому CISO потрібно зробити кіберстраховиків своїми партнерами

У поточному ландшафті загроз взаємозв’язок між кібер-страхування постачальників послуг і потенційних (або навіть поточних) страхувальників часто, у кращому випадку, напружена. Організації можуть сприймати тривалий і складний процес у поєднанні зі зростанням премій як страхові компанії, які користуються цим. Однак страхові компанії намагаються збалансувати стрімкі коефіцієнти збитків, які були особливо нестримними пару років тому. 

Незважаючи на те, що це роз’єднання викликає труднощі, не дивно, що ми все ще намагаємося з’ясувати ситуацію. Кіберстрахування порівняно з іншими сегментами страхування є лише зароджується. Перший кіберполіс був написаний AIG ще в 1997 році. На відміну від цього, страхуванню життя та майна вже понад 250 років, а автострахуванню – понад 125 років. Цілком природно, що в процесі, який є відносно новим і розвивається з незбагненною швидкістю в порівнянні з такими сферами, як страхування життя чи майна, є певні труднощі. Хороша новина полягає в тому, що ми не так вже й далекі від пошуку зручного становища як для постачальників, так і для страхувальників. Головне пам’ятати, що ми всі разом. Насправді одна з найбільших помилок, яку можуть зробити спеціалісти з інформаційної безпеки (CISO), полягає в тому, що вони не ставляться до своїх страхових компаній як до партнерів. 

Як ми тут потрапили 

Корисно мати коротке уявлення про те, як розвивалася галузь, щоб ми могли оцінити поточні виклики. На початку премії кіберстрахування майже повністю ґрунтувалися на внутрішньому інстинкті, але це, очевидно, було неприпустимим у довгостроковій перспективі. Таким чином, була розроблена система, керована макропоглядами, де очікувані вимоги ґрунтувалися на загальних ринкових збитках, застосованих до групи страхувальників.

Однак проблема цього підходу полягає в тому, що вимоги швидко почали перевищувати прогнози, і страховики помітили, що ризик збитків був зосереджений серед підмножини страхувальників. Крім того, страховики стали стурбовані систематичним або кореляційним ризиком, коли збиток за одним полісом збільшує ймовірність позовів за іншими полісами. Справи швидко виходили з-під контролю страховиків. 

Наступною подією, яка підводить нас до нашої поточної ситуації, є сам процес андеррайтингу. Щоб пом’якшити збитки, спричинені полісами, заснованими на макро-прогляді, програми страхування стали значно складнішими та вимагають детальних розмов, інтерв’ю та візитів на місце з метою створення індивідуального полісу. Організації часто зобов’язані відповідати певним пороговим умовам, таким як використання багатофакторної автентифікації та можливостей виявлення кінцевих точок і відповіді, а також повинні пройти сканування свого середовища «ззовні всередину», яке виконує нейтральна третя сторона.

Проблема в тому, що ІТ-статки постійно змінюються протягом усього періоду дії політики, що робить отримання справді точної та детальної інформації за допомогою анкети майже неможливим — навіть для організацій, які намагаються надати найточнішу та детальну інформацію. Це створило середовище, в якому існує значна нестабільність у ціноутворенні та полісах, що призводить до значної напруги між страховиками та страхувальниками. 

Куди нам потрібно йти 

Щоб по-справжньому стати партнерами, організаціям і страховикам спочатку потрібно домовитися про спільну мету: зменшення ризиків. Це має бути найлегша частина. Поточний процес андеррайтингу намагається визначити ризик, але він не зміг надійно визначити його для окремих організацій. З боку застрахованих, CISO регулярно обговорюють бюджетні розмови з радою з точки зору ризику, тому існує узгоджена термінологія.

Відсутня частина полягає в тому, щоб створити спосіб вимірювання ризику, яким задовольняються обидві сторони, щоб на цьому базувалося ціноутворення. Єдиний спосіб досягти цього, який я бачу, — це обмінюватися електронними показниками, зібраними всередині брандмауера організації-заявника, яка перевіряє кібер-поставу. На відміну від анкет, заповнених вручну, ці дані можуть забезпечити надійний знімок середовища. Це різниця між очевидцем події та її записом із високою роздільною здатністю — між цими двома справді немає порівняння.

Причина, чому ця тема партнерства постійно з’являється, полягає в тому, що будь-який CISO дуже просить ділитися такою конфіденційною інформацією, особливо якщо вони стурбовані тим, що надану інформацію буде використано проти них для збільшення премій. Від тісної співпраці з великою кількістю страховиків це не є мотивацією для жодного знайомого мені кіберстраховика. Вони, як і професіонали з кібербезпеки в усій галузі, просто намагаються зорієнтуватися в постійно мінливому середовищі, і така радикальна прозорість буде корисною для застрахованих.

Щойно страховики отримають цей знімок, вони зможуть вивчити його та надати детальну інформацію щодо ключових висновків і пріоритетних порад щодо виправлення, що дозволить заявнику внести ці коригування та повторно подати, щоб отримати кращу ціну поліса.

Зрештою, страхові компанії та CISO працюють в одній команді, тому одна з моїх головних порад CISO: ставтеся до своїх оператор кіберстрахування як партнер. Розвиток міцних стосунків і регулярний діалог покращать процес поновлення та подання претензій. Пам’ятайте, ніхто не має більше даних про ризики кібербезпеки та збитки, ніж компанія кіберстрахування.

• Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
• PlatoData.Network Vertical Generative Ai. Додайте собі сили. Доступ тут.
• PlatoAiStream. Web3 Intelligence. Розширення знань. Доступ тут.
• ПлатонЕСГ. вуглець, CleanTech, Енергія, Навколишнє середовище, Сонячна, Поводження з відходами. Доступ тут.
• PlatoHealth. Розвідка про біотехнології та клінічні випробування. Доступ тут.
• джерело: https://www.darkreading.com/cyber-risk/why-cisos-need-to-make-cyber-insurers-their-partners