Veeam: kakšna je resnična vrednost kibernetskega zavarovanja?

Grožnja kibernetskih napadov ni nič novega, vendar se je izsiljevalska programska oprema izkazala za veliko bolj učinkovito kot kdaj koli prej pri ustvarjanju dobička.

To je prisililo podjetja, da se zatečejo k zavarovanju, da bi se zaščitila pred velikimi finančnimi posledicami teh napadov.

Ker je povpraševanje naraslo na ravni brez primere, je industrija postala zelo nestanovitna. Premije naraščajo, več je pravil o tem, kaj je zajeto in kaj ni, in uvedeni so bili minimalni standardi za podjetja, ki želijo biti zavarovana. Morda se zdi, da je to slaba novica za podjetja, vendar je na koncu nekaj pozitivnih.

Zavarovanje za digitalni svet

Včasih ljudje mislijo, da je kibernetska varnost temen svet. V resnici sta si fizična in digitalna realnost veliko bolj podobni, kot si mislite. Podjetja, ki so želela zaščititi svoje premoženje, so pred tridesetimi leti razmišljala predvsem o zavarovanju pred požarom in krajo. Danes so tveganja bolj digitalna. Po navedbah Veeamovo poročilo o trendih varstva podatkov za leto 2024, so tri od štirih organizacij v zadnjem letu utrpele vsaj en napad z izsiljevalsko programsko opremo, ena od štirih pa je bila v istem obdobju napadena več kot štirikrat.

Ni čudno, da je kibernetsko zavarovanje postalo vse bolj priljubljena izbira za številne organizacije – pričakovana rast za 24 % do leta 84,62 postati industrija vredna 2030 milijarde USD. Ker pa se je število podjetij, ki kupujejo in potrebujejo zavarovanje, povečalo, so njegovi stroški vztrajno rasli, premije pa naraščajo v zadnjih treh letih. To ni bila edina sprememba zavarovalnic, ki želijo ohraniti dobičkonosnost kibernetske zaščite: bolj smiselna ocena tveganja, uvedba minimalnih varnostnih standardov in zmanjšanje kritja so v zadnjih letih postali običajna praksa.

Plačati ali ne plačati odkupnine?

Kibernetsko zavarovanje je v zadnjem času postalo kontroverzna tema, ki se večinoma osredotoča na milijon dolarjev vredno vprašanje o izsiljevalski programski opremi: plačati ali ne plačati? Čeprav mnogi zavračajo idejo, da so zavarovane družbe bolj verjetno bo plačal odkupnino, En 2023 poročilo o žrtvah je bilo ugotovljeno, da je 77 % odkupnin plačalo zavarovanje. Vendar se številne zavarovalnice trudijo narediti konec tej situaciji. Isto poročilo je pokazalo, da 21 % organizacij zdaj izrecno izključuje izsiljevalsko programsko opremo iz svojih politik. Videli smo tudi druge izrecno izključujejo plačila odkupnine iz njihovih polic: pokrili bodo stroške izpadov in škode, ne pa tudi stroškov izsiljevanja.

Po mojem mnenju je zadnji pristop najboljši. Plačevanje odkupnine ni dobra ideja in ni tisto, za kar bi bilo treba uporabiti zavarovanje. Ne gre le za vprašanje etike in spodbujanja kriminala, temveč za dejstvo, da plačilo odkupnine ne reši takoj težave in pogosto ustvari nove. Prvič, kibernetski kriminalci sledijo, katera podjetja plačajo, da se lahko vrnejo za drugi napad ali delijo te informacije z drugimi organizacijami.

Ena študija je pokazala, da je bilo 80 % podjetij, ki so plačala odkupnino, prizadetih drugič. Toda še preden pridete do te točke, je okrevanje s plačilom odkupnine le redko enostavno. Obnovitev s ključi za dešifriranje, ki jih zagotovijo napadalci, traja dolgo, pogosto namerno, saj nekatere skupine zaračunavajo vsak ključ, da pospešijo postopek, dokler dešifriranje deluje, eno od petih podjetij plača odkupnino in ne uspe obnoviti lastnih podatkov.

Dvigni standarde  

Plačevanje odkupnin prek zavarovanja torej na srečo počasi izginja. Vendar to ni edina stvar, ki se je spremenila. Podjetja, ki potrebujejo kibernetsko zavarovanje, morajo vedno bolj izpolnjevati minimalne standarde varnosti in odpornosti proti izsiljevalski programski opremi. To lahko vključuje uporabo šifriranih, nespremenljivih varnostnih kopij in izvajanje načel najboljše prakse varstva podatkov, kot je najmanj privilegij (omogoča dostop samo tistim, ki ga potrebujejo) ali štiri oči (zahteva, da spremembe ali pomembne zahteve odobrita dve osebi). Nekatere politike prav tako zahtevajo, da imajo podjetja trdne načrte za zagotavljanje razpoložljivosti sistema, vključno s postopki za obnovitev vrtin po katastrofi definited za preprečevanje izpadov zaradi napada izsiljevalske programske opreme. Konec koncev, dlje ko sistem ne deluje, višji so stroški izpadov in s tem stroški zavarovalnine.

Podjetja bi morala še vedno imeti vse te elemente. Če zavarovanje spremljajo površni postopki varovanja in obnovitve podatkov, bodo zavarovalninska izplačila le prikrila pomanjkljivosti. Uvedba minimalnih standardov je dobra novica za podjetja. Ne samo, da bo dolgoročno znižal stroške premij, ampak bodo varnostna načela, ki jih potrebujejo, za podjetja bolj dragocena, kot je bilo zavarovanje na začetku. Kibernetsko zavarovanje ni absolutno jamstvo, vendar je lahko koristen element širše strategije kibernetske odpornosti. Oba sta uporabna, a v primeru, da ste prisiljeni izbrati le enega, bi bila odpornost vedno najboljša izbira. Na srečo se zavarovalnice strinjajo, saj nezaščitena podjetja postajajo preveč nedonosna, da bi jih krili.

Prepričati se

Kibernetsko zavarovanje, zlasti kar se nanaša na izsiljevalsko programsko opremo, se pomika v svet, kjer imajo zavarovana podjetja močno kibernetsko odpornost in dobro uveljavljene načrte za obnovo po nesreči definited in uporabljajo zavarovanje le za ublažitev vpliva napadov in stroškov izpadov, medtem ko obnavljajo prek nespremenljivih varnostnih kopij. To je svet, ki je veliko bolj odporen proti izsiljevalski programski opremi kot tisti, v katerem se podjetja zanašajo samo na zavarovanje.  

BlogInnovazione.it