Veeam: Apa Nilai Sebenarnya dari Asuransi Cyber?

Ancaman serangan siber bukanlah hal baru, namun ransomware terbukti jauh lebih efektif dalam menghasilkan keuntungan.

Hal ini mendorong dunia usaha untuk beralih ke asuransi untuk melindungi diri mereka dari dampak finansial yang besar akibat serangan ini.

Ketika permintaan meningkat ke tingkat yang belum pernah terjadi sebelumnya, industri ini menjadi sangat fluktuatif. Premi meningkat, terdapat lebih banyak peraturan mengenai apa yang ditanggung dan tidak, dan standar minimum telah diperkenalkan untuk bisnis yang ingin diasuransikan. Ini mungkin tampak seperti berita buruk bagi bisnis, namun pada akhirnya ada beberapa hal positif.

Asuransi untuk dunia digital

Terkadang orang berpikir bahwa keamanan siber adalah dunia yang gelap. Kenyataannya, realitas fisik dan digital jauh lebih mirip dari yang Anda bayangkan. Tiga puluh tahun yang lalu, perusahaan yang ingin melindungi asetnya memikirkan asuransi terhadap kebakaran dan pencurian. Saat ini risikonya lebih bersifat digital. Berdasarkan Laporan Tren Perlindungan Data Veeam 2024, tiga dari empat organisasi telah mengalami setidaknya satu serangan ransomware dalam satu tahun terakhir, dan satu dari empat organisasi telah diserang lebih dari empat kali dalam periode yang sama.

Tidak mengherankan jika asuransi siber menjadi pilihan yang semakin populer bagi banyak organisasi – diperkirakan akan tumbuh sebesar 24% menjadi industri senilai $84,62 miliar pada tahun 2030. Namun, seiring dengan meningkatnya jumlah bisnis yang membeli dan membutuhkan asuransi, biayanya juga terus meningkat, dengan premi yang meningkat dalam tiga tahun terakhir. Hal ini bukanlah satu-satunya perubahan yang dilakukan perusahaan asuransi untuk menjaga agar perlindungan siber tetap menguntungkan: penilaian risiko yang lebih bermakna, penerapan standar keamanan minimum, dan pengurangan cakupan asuransi telah menjadi praktik umum dalam beberapa tahun terakhir.

Membayar atau tidak membayar uang tebusan?

Asuransi dunia maya telah menjadi topik kontroversial baru-baru ini, yang sebagian besar bermuara pada pertanyaan jutaan dolar tentang ransomware: membayar atau tidak? Meskipun banyak yang menolak gagasan bahwa perusahaan diasuransikan lebih mungkin untuk membayar uang tebusansebuah laporan tahun 2023 pada korban menemukan bahwa 77% uang tebusan dibayar oleh asuransi. Namun, banyak perusahaan asuransi yang mencoba mengakhiri situasi ini. Laporan yang sama menemukan bahwa 21% organisasi kini secara eksplisit mengecualikan ransomware dari kebijakan mereka. Kami juga melihat yang lain secara eksplisit mengecualikan pembayaran uang tebusan dari kebijakan mereka: mereka akan menanggung biaya downtime dan kerusakan, namun bukan biaya pemerasan.

Menurut pendapat saya, pendekatan terakhir adalah yang terbaik. Membayar uang tebusan bukanlah ide yang baik dan bukan tujuan asuransi. Ini bukan hanya soal etika dan memicu kejahatan, namun fakta bahwa membayar uang tebusan tidak serta merta menyelesaikan masalah dan sering kali menimbulkan masalah baru. Pertama, penjahat dunia maya melacak perusahaan mana yang membayar sehingga mereka dapat melakukan serangan kedua atau membagikan informasi ini dengan organisasi lain.

Sebuah studi menemukan bahwa 80% perusahaan yang membayar uang tebusan terkena serangan untuk kedua kalinya. Namun bahkan sebelum mencapai titik ini, pemulihan melalui pembayaran uang tebusan bukanlah hal yang mudah. Pemulihan dengan kunci dekripsi yang disediakan oleh penyerang membutuhkan waktu lama, seringkali dengan sengaja, karena beberapa kelompok mengenakan biaya untuk setiap kunci untuk mempercepat proses. Selama dekripsi berhasil, satu dari lima perusahaan membayar uang tebusan dan gagal memulihkan datanya sendiri.

Naikkan standar  

Jadi, pembayaran uang tebusan melalui asuransi, untungnya, perlahan-lahan mulai menghilang. Tapi itu bukan satu-satunya hal yang berubah. Perusahaan yang membutuhkan asuransi siber semakin dituntut untuk memenuhi standar minimum keamanan dan ketahanan terhadap ransomware. Hal ini dapat mencakup penggunaan cadangan yang terenkripsi dan tidak dapat diubah serta penerapan prinsip-prinsip perlindungan data praktik terbaik, seperti hak istimewa paling rendah (memberikan akses hanya kepada mereka yang memerlukannya) atau four-eyes (yang mengharuskan perubahan atau permintaan signifikan disetujui oleh dua orang). Beberapa kebijakan juga mengharuskan perusahaan memiliki rencana yang solid untuk memastikan ketersediaan sistem, termasuk proses pemulihan bencana yang baik definited untuk mencegah downtime karena serangan ransomware. Lagi pula, semakin lama suatu sistem mati, semakin tinggi biaya downtime dan, seiring dengan itu, biaya klaim asuransi.

Perusahaan harus tetap memiliki semua elemen ini. Jika asuransi disertai dengan proses perlindungan dan pemulihan data yang ceroboh, pembayaran asuransi hanya akan menutupi kekurangannya. Penerapan standar minimum merupakan kabar baik bagi perusahaan. Hal ini tidak hanya akan menurunkan biaya premi dalam jangka panjang, namun prinsip-prinsip keamanan yang dibutuhkan akan lebih berharga bagi bisnis dibandingkan dengan asuransi pada awalnya. Asuransi siber bukanlah jaminan mutlak, namun dapat menjadi elemen bermanfaat dalam strategi ketahanan siber yang lebih luas. Keduanya berguna, namun jika Anda terpaksa memilih salah satu saja, ketahanan akan selalu menjadi pilihan terbaik. Untungnya, perusahaan asuransi setuju, karena bisnis yang tidak terlindungi menjadi terlalu tidak menguntungkan untuk ditanggung.

Untuk memastikan

Asuransi dunia maya, khususnya yang berkaitan dengan ransomware, bergerak menuju dunia di mana perusahaan yang diasuransikan memiliki ketahanan dunia maya yang kuat, rencana pemulihan bencana yang mapan definited dan gunakan asuransi hanya untuk memitigasi dampak serangan dan biaya downtime saat mereka melakukan pemulihan melalui cadangan yang tidak dapat diubah. Dunia ini lebih tahan terhadap ransomware dibandingkan dunia yang bisnisnya hanya mengandalkan asuransi.  

BlogInnovazione.it