O seguro cibernético costuma ser visto pelos líderes empresariais como uma garantia monetária de que, mesmo que os hackers invadam suas redes e roubem seus dados, eles ainda podem escapar ilesos financeiramente.
No entanto, essa premissa foi abalada recentemente. depois que o Lloyd’s de Londres, o maior sindicato de seguros do mundo, redefiniu suas apólices para não cobrir mais ataques cibernéticos de estado-nação. Existem outros desafios enfrentados pelo setor de seguros cibernéticos no próximo ano.
Conversamos com Julia O’Toole, CEO da MyCena Security Solutions, que oferece segmentação de acesso fácil de implementar e soluções de gerenciamento de criptografia para organizações protegerem suas redes contra intrusos, e Gerry Kennedy, CEO da Observatory Strategic Management uma consultoria de mitigação de riscos que envolve clientes para analisar e lidar com vulnerabilidades.
BN: Qual é o estado do seguro cibernético hoje?
GK: O mercado de seguros cibernéticos está evoluindo continuamente à medida que as seguradoras entendem mais sobre as ameaças, mas o período de confusão agora está progredindo para um período de ação e endurecimento das apólices.
As seguradoras estão começando a acordar. para a onipresença do ciberespaço e agora entendem o impacto cinético que os ataques cibernéticos podem causar.
Em resposta a isso, eles estão atualizando suas políticas para deixar muito mais claro o que eles fazem e não definem como seguro. Em breve vamos começar a ver as seguradoras estipularem exatamente quais medidas técnicas as empresas devem adotar para proteger seus ativos. Se eles não tomarem essas medidas, não terão seguro.
BN: Quais são os maiores fatores de risco para as seguradoras cibernéticas hoje?
GK: Uma das maiores preocupações dos segurados hoje é que eles não sabem mais se devem confiar nas seguradoras. As organizações foram duramente atingidas na sequência do COVID e há uma preocupação crescente de que as seguradoras não paguem quando as coisas derem errado. Isso é agravado pelo fato de que os consultores agora estão dizendo a seus clientes para não comprarem seguro cibernético hoje e dizendo para gastar seus orçamentos em ferramentas defensivas.
Em resposta a essa crescente incerteza, as seguradoras precisam ser mais políticas transparentes e atualizadas para atender às necessidades cibernéticas das empresas hoje. Isso trará de volta a confiança ao setor, mas também forçará as organizações a adotar ferramentas mais robustas para proteger seus dados.
BN: Quais mudanças de política precisam ser feitas pelas seguradoras cibernéticas para cobrir o indústria e salvá-los do colapso?
GK: As seguradoras precisam entender onde estão agora e o que precisam fazer para chegar onde desejam. Algumas das apólices de seguro que existem hoje foram desenvolvidas em meados do século passado, portanto, o primeiro passo é atualizá-las para se adequarem ao cenário digital atual.
Cyber é muito segurável, mas deve ser feito da maneira certa. As seguradoras estão no negócio de riscos e precisam definir claramente exatamente o que cobrem, bem como as exclusões.
Nomeie os riscos e defina como a segurança deve ser, explicando as soluções e ferramentas que as organizações precisam para proteger suas redes. As seguradoras não podem ser vagas.
BN: Quais ameaças cibernéticas criam os maiores riscos para as seguradoras cibernéticas?
JOT: Por trás de quase todos os ataques cibernéticos hoje há um credencial de funcionário comprometida. Isso significa que as seguradoras devem ter controles de segurança mais rígidos sobre como as organizações protegem suas credenciais de acesso.
As organizações geralmente são atacadas por seus funcionários usando golpes de phishing e, quando um funcionário é enganado, entrega suas credenciais de acesso à rede. Os criminosos entram na rede e, a partir daí, como muitas organizações utilizam soluções de logon único, o que significa que não há barreiras de segurança quando estão dentro da rede, é fácil para eles se moverem lateralmente, escalar privilégios, roubar dados e implantar ransomware.
As seguradoras precisam reprimir essa principal causa de violações e adicionar às suas políticas a necessidade de que as credenciais dos funcionários sejam escrupulosamente controladas pela organização, não pelos funcionários. Isso significa exigir que as credenciais sejam criptografadas para que não possam ser roubadas por adversários e que todo o acesso à rede corporativa seja segmentado para que cada porta digital seja protegida com uma senha forte e independente gerada aleatoriamente para evitar movimento lateral.
BN: Quais riscos cibernéticos as empresas precisam enfrentar para ajudá-los a obter seguro cibernético no futuro?
JOT: Embora muitas empresas entendam que as credenciais são a principal causa de violações, eles não sabem como lidar com o problema da maneira correta. Quando o mundo começou a conectar massivamente sua TI e OT à rede, cometeu dois erros cruciais pelos quais todos nós pagamos o preço hoje. Primeiro, quando você trabalha em um local físico, recebe as chaves de diferentes locais e salas. Mas quando você trabalha digitalmente, de repente você cria as chaves–as senhas–para todos os sistemas e dados que você precisa acessar. Isso significa que a empresa não tem mais controle ou visibilidade sobre seu próprio acesso. Esse controle de perda de senhas de acesso deve ser revertido.
Segundo, quando você trabalha em um local físico, você tem várias portas para abrir para ir de um lugar para outro. Se você trabalha em uma instalação nuclear, por exemplo, não pode simplesmente abrir uma porta para ir direto ao reator. Você tem que desbloquear diferentes portas de acesso. Mas quando você trabalha digitalmente, de repente, com um único login de acesso, você pode abrir todas as portas de uma só vez. Isso significa que a empresa não possui mais camadas de acesso, segmentação e resiliência, pois todas foram mescladas em um único ponto de acesso. Isso acontece quando você implementa tecnologias de Single Sign-on, como soluções de gerenciador de senhas de acesso único, Identity Access Management (IAM) ou Privileged Access Management (PAM). Essas soluções eliminam a necessidade de os funcionários se lembrarem de várias senhas, mas, ao fazê-lo, tornam mais fácil para os criminosos encontrar apenas uma senha, por exemplo, por meio de phishing–para obter tudo de uma vez.
Os riscos são maiores exacerbado quando as pessoas começam a usar a biometria de sua identidade, uma vez que são dados pessoais imutáveis. Quando a biometria é comprometida, ela não pode ser apagada nem alterada, colocando as pessoas em risco de roubo de identidade e morte digital.
Para obter cobertura futura, as organizações precisarão corrigir esses dois problemas.
BN: Que outras mudanças no seguro cibernético podemos esperar no futuro?
GK: A expectativa de indenização total por uma perda vai desaparecer, a menos que as organizações elevem seu dever de cuidado para manter seus bens seguros. As organizações precisarão mapear os problemas cibernéticos que mais os preocupam e, em seguida, demonstrar às seguradoras o que estão fazendo para se proteger contra eles, pois essa será a única maneira de obter cobertura no futuro. Quando se trata de demonstrar como as organizações estão protegendo seus ativos, elas precisarão mostrar com quais fornecedores e serviços gerenciados estão trabalhando e como estão tornando a organização mais segura e mais difícil de violar
JOT: Tem sido muito tempo chegando, mas as seguradoras estão finalmente começando a acordar para a difusão e os riscos sistêmicos do ciberespaço. A ameaça não é insegurável, mas novas orientações relacionadas ao domínio físico-digital de hoje devem ser adicionadas às apólices. Uma parte fundamental disso vai se concentrar no acesso à rede dos funcionários, o que leva à segurança de TI e OT, e à importância das organizações que utilizam acesso criptografado à rede e segmentação de acesso à rede.
Crédito da imagem: FuzzBones/Shutterstock