เหตุใดกรมธรรม์ประกันภัยทางไซเบอร์จึงอาจตกอยู่ในอันตราย [ถาม-ตอบ]

ผู้นำธุรกิจมักจะมองว่าการประกันภัยทางไซเบอร์เป็นหลักประกันทางการเงินที่แม้ว่าแฮ็กเกอร์จะเจาะเข้าไปในเครือข่ายและขโมยข้อมูลของพวกเขา พวกเขายังสามารถหลบหนีได้โดยไม่เสียหายทางการเงิน

ทว่าหลักฐานนี้เพิ่งถูกเขย่าเมื่อไม่นานมานี้ หลังจากที่ Lloyd’s of London ซึ่งเป็นสมาคมประกันภัยที่ใหญ่ที่สุดในโลกได้กำหนดนโยบายใหม่โดยจะไม่ครอบคลุมการโจมตีทางไซเบอร์ในระดับชาติอีกต่อไป ยังมีความท้าทายอื่นๆ ที่ภาคธุรกิจประกันภัยไซเบอร์ต้องเผชิญในปีหน้าด้วย

เราได้พูดคุยกับ Julia O’Toole ซีอีโอของ MyCena Security Solutions ซึ่งนำเสนอโซลูชันการจัดการการแบ่งส่วนการเข้าถึงและการเข้ารหัสที่ใช้งานง่ายสำหรับองค์กรต่างๆ เพื่อปกป้องเครือข่ายของตนจากผู้บุกรุก และ Gerry Kennedy ซีอีโอของ Observatory Strategic Management ซึ่งเป็นที่ปรึกษาด้านการลดความเสี่ยงที่ทำงานร่วมกับลูกค้าเพื่อวิเคราะห์และแก้ไขช่องโหว่

BN: สถานะของการประกันภัยทางไซเบอร์ในปัจจุบันเป็นอย่างไร

GK: ตลาดประกันภัยทางไซเบอร์มีการพัฒนาอย่างต่อเนื่องเนื่องจากผู้ประกันตนเข้าใจมากขึ้นเกี่ยวกับภัยคุกคาม แต่ช่วงเวลาแห่งความสับสนกำลังดำเนินไปสู่ช่วงของการดำเนินการและนโยบายที่เข้มงวดขึ้น

ผู้รับประกันเริ่มตื่นตัว ต่อความแพร่หลายของไซเบอร์ และตอนนี้เข้าใจถึงผลกระทบทางการเคลื่อนไหวที่เกิดจากการโจมตีทางไซเบอร์

เพื่อตอบสนองต่อสิ่งนี้ พวกเขากำลังปรับปรุงนโยบายเพื่อให้ชัดเจนยิ่งขึ้นในสิ่งที่ทำและไม่ได้กำหนดว่าปลอดภัย เร็วๆ นี้ เราจะเริ่มเห็นบริษัทประกันกำหนดมาตรการทางเทคนิคที่บริษัทต้องนำมาใช้เพื่อปกป้องทรัพย์สินของตนอย่างแน่นอน หากไม่ใช้มาตรการเหล่านี้ พวกเขาจะไม่ได้รับประกันภัย

BN: ปัญหาใดที่เป็นปัจจัยเสี่ยงที่ใหญ่ที่สุดสำหรับผู้ประกันตนในโลกไซเบอร์ในปัจจุบัน

GK: หนึ่งในข้อกังวลที่ใหญ่ที่สุดสำหรับผู้ถือกรมธรรม์ในปัจจุบันคือ พวกเขาไม่รู้ว่าจะไว้วางใจบริษัทประกันได้อีกต่อไปหรือไม่ องค์กรต่างๆ ได้รับผลกระทบอย่างหนักจากผลกระทบของโควิด และมีความกังวลที่เพิ่มขึ้นว่าบริษัทประกันจะไม่จ่ายเงินเมื่อมีสิ่งผิดปกติเกิดขึ้น สิ่งนี้มีมากขึ้นจากข้อเท็จจริงที่ว่าที่ปรึกษากำลังบอกลูกค้าของตนว่าอย่าซื้อประกันทางไซเบอร์ในวันนี้ และบอกว่าให้ใช้งบประมาณไปกับเครื่องมือป้องกันแทน

เพื่อตอบสนองต่อความไม่แน่นอนที่เพิ่มขึ้นนี้ ผู้รับประกันภัยจึงต้องมีมากขึ้น นโยบายที่โปร่งใสและอัปเดตเพื่อตอบสนองความต้องการทางไซเบอร์ของธุรกิจในปัจจุบัน สิ่งนี้จะนำความไว้วางใจกลับมาสู่อุตสาหกรรม แต่ยังเป็นการบังคับให้องค์กรต่างๆ ใช้เครื่องมือที่มีประสิทธิภาพมากขึ้นในการปกป้องข้อมูลของตน

BN: การเปลี่ยนแปลงนโยบายใดที่บริษัทประกันทางไซเบอร์จำเป็นต้องทำเพื่อให้ครอบคลุม และช่วยพวกเขาจากการล่มสลายได้หรือไม่

GK: ผู้ประกันตนต้องเข้าใจว่าตอนนี้พวกเขาอยู่ที่ไหน และพวกเขาต้องทำอะไรเพื่อให้พวกเขาไปถึงที่ที่ต้องการ นโยบายการประกันบางส่วนที่มีอยู่ในปัจจุบันได้รับการพัฒนาขึ้นในช่วงกลางศตวรรษที่แล้ว ดังนั้นขั้นตอนแรกคือการปรับปรุงนโยบายเหล่านี้ให้เหมาะกับภูมิทัศน์ทางดิจิทัลในปัจจุบัน

ไซเบอร์เป็นสิ่งที่ประกันได้มากแต่ต้องทำให้ถูกต้อง บริษัทประกันอยู่ในธุรกิจเกี่ยวกับภัยอันตราย และพวกเขาจำเป็นต้องกำหนดอย่างชัดเจนว่าครอบคลุมอะไรบ้าง รวมถึงข้อยกเว้นต่างๆ

ตั้งชื่อภัยและกำหนดว่าการรักษาความปลอดภัยควรมีลักษณะอย่างไร โดยอธิบายโซลูชันและเครื่องมือที่องค์กรต่างๆ จำเป็นต้องใช้ รักษาความปลอดภัยเครือข่ายของพวกเขา บริษัทประกันต้องไม่คลุมเครือ

BN: ภัยคุกคามทางไซเบอร์ใดที่สร้างความเสี่ยงที่ใหญ่ที่สุดให้กับบริษัทประกันทางไซเบอร์

JOT: เบื้องหลังการโจมตีทางไซเบอร์เกือบทุกครั้งในปัจจุบันคือ ข้อมูลประจำตัวของพนักงานที่ถูกบุกรุก ซึ่งหมายความว่าผู้ประกันตนต้องมีการควบคุมความปลอดภัยที่เข้มงวดมากขึ้นเกี่ยวกับวิธีที่องค์กรรักษาความปลอดภัยข้อมูลรับรองการเข้าถึงของตน

องค์กรมักตกเป็นเป้าหมายผ่านพนักงานของตนโดยใช้การหลอกลวงแบบฟิชชิง และเมื่อพนักงานถูกหลอก พวกเขามอบข้อมูลรับรองการเข้าถึงเครือข่ายของตน อาชญากรเข้าสู่เครือข่ายและจากที่นั่น เนื่องจากองค์กรจำนวนมากใช้โซลูชันการลงชื่อเพียงครั้งเดียว ซึ่งหมายความว่าไม่มีอุปสรรคด้านความปลอดภัยเมื่อพวกเขาอยู่ในเครือข่าย จึงเป็นเรื่องง่ายสำหรับพวกเขาที่จะย้ายไปด้านข้าง เพิ่มระดับสิทธิ์ ขโมยข้อมูล และปรับใช้ แรนซัมแวร์

บริษัทประกันจำเป็นต้องจำกัดสาเหตุหลักของการละเมิดนี้และเพิ่มนโยบายของตนที่องค์กรจะต้องควบคุมข้อมูลประจำตัวของพนักงานอย่างละเอียดถี่ถ้วน ไม่ใช่พนักงาน นั่นหมายถึงการเรียกร้องให้เข้ารหัสข้อมูลประจำตัวเพื่อไม่ให้ถูกขโมยโดยผู้ไม่หวังดี และการเข้าถึงเครือข่ายขององค์กรทั้งหมดจะถูกแบ่งส่วนเพื่อให้ประตูดิจิทัลแต่ละบานได้รับการรักษาความปลอดภัยด้วยรหัสผ่านที่สร้างขึ้นแบบสุ่มอย่างเข้มงวดเพื่อป้องกันการเคลื่อนไหวด้านข้าง

BN: ความเสี่ยงทางไซเบอร์ใดบ้างที่ธุรกิจต้องจัดการเพื่อช่วยให้บรรลุการประกันภัยทางไซเบอร์ในอนาคต

JOT: ในขณะที่ธุรกิจจำนวนมากเข้าใจว่าข้อมูลประจำตัวเป็นสาเหตุหลักของการละเมิด พวกเขาไม่รู้วิธีจัดการกับปัญหาด้วยวิธีที่ถูกต้อง เมื่อโลกเริ่มเชื่อมต่อ IT และ OT เข้ากับเครือข่ายอย่างหนาแน่น ทำให้เกิดข้อผิดพลาดสำคัญสองข้อที่เราต้องชดใช้ในวันนี้ ประการแรก เมื่อคุณทำงานในสถานที่จริง คุณจะได้รับกุญแจไปยังไซต์และห้องต่างๆ แต่เมื่อคุณทำงานแบบดิจิทัล จู่ๆ คุณก็สร้างคีย์–รหัสผ่าน–ให้กับระบบและข้อมูลทั้งหมดที่คุณต้องการเข้าถึง ซึ่งหมายความว่าบริษัทไม่สามารถควบคุมหรือมองเห็นการเข้าถึงของตนเองได้อีกต่อไป การสูญเสียการควบคุมรหัสผ่านการเข้าถึงนี้จะต้องเปลี่ยนกลับ

ประการที่สอง เมื่อคุณทำงานในสถานที่จริง คุณมีประตูหลายบานที่จะเปิดเพื่อเดินทางจากที่หนึ่งไปยังอีกที่หนึ่ง ตัวอย่างเช่น หากคุณทำงานในโรงงานนิวเคลียร์ คุณจะไม่สามารถเปิดประตูเพียงบานเดียวเพื่อตรงไปยังเครื่องปฏิกรณ์ได้ คุณต้องปลดล็อกประตูทางเข้าต่างๆ แต่เมื่อคุณทำงานแบบดิจิทัล ทันใดนั้นด้วยการลงชื่อเข้าใช้ครั้งเดียว คุณสามารถเปิดประตูทุกบานได้ในคราวเดียว ซึ่งหมายความว่าบริษัทไม่มีเลเยอร์การเข้าถึง การแบ่งส่วน และความยืดหยุ่นอีกต่อไป เนื่องจากทั้งหมดถูกรวมเข้าไว้ในจุดเชื่อมต่อเดียว สิ่งนี้เกิดขึ้นเมื่อคุณปรับใช้เทคโนโลยีการลงชื่อเพียงครั้งเดียว เช่น การจัดการรหัสผ่านการเข้าถึงครั้งเดียว โซลูชัน Identity Access Management (IAM) หรือ Privileged Access Management (PAM) โซลูชันเหล่านี้ช่วยขจัดความจำเป็นที่พนักงานต้องจำรหัสผ่านหลายชุด แต่ในการทำเช่นนั้น ทำให้อาชญากรค้นหารหัสผ่านเดียวได้ง่ายขึ้น เช่น ผ่านฟิชชิง–เพื่อให้ได้ทุกอย่างในคราวเดียว

ความเสี่ยงยังมีอีกมาก รุนแรงขึ้นเมื่อผู้คนเริ่มใช้ไบโอเมตริกระบุตัวตน เนื่องจากข้อมูลเหล่านี้เป็นข้อมูลส่วนบุคคลที่ไม่เปลี่ยนรูป เมื่อไบโอเมตริกถูกบุกรุก จะไม่สามารถลบหรือเปลี่ยนแปลงได้ ทำให้ผู้คนเสี่ยงต่อการถูกขโมยข้อมูลประจำตัวและการเสียชีวิตทางดิจิทัล

เพื่อให้ครอบคลุมในอนาคต องค์กรต่างๆ จะต้องแก้ไขปัญหาสองข้อนี้

BN: การเปลี่ยนแปลงการประกันภัยทางไซเบอร์อื่นๆ ที่เราคาดหวังได้ในอนาคต

GK: ความคาดหวังของการชดใช้ค่าเสียหายเต็มจำนวนสำหรับการสูญเสียกำลังจะหมดไป เว้นแต่องค์กรต่างๆ จะยกระดับหน้าที่ของพวกเขา ในการดูแลทรัพย์สินของตนให้ปลอดภัย องค์กรต่างๆ จะต้องวางแผนปัญหาทางไซเบอร์ที่ทำให้พวกเขากังวลมากที่สุด จากนั้นจึงแสดงให้บริษัทประกันเห็นว่าพวกเขากำลังทำอะไรเพื่อป้องกันพวกเขา เนื่องจากนี่จะเป็นวิธีเดียวที่จะบรรลุความครอบคลุมในอนาคต เมื่อพูดถึงการแสดงให้เห็นว่าองค์กรปกป้องทรัพย์สินของตนอย่างไร พวกเขาจะต้องแสดงให้เห็นว่าพวกเขาทำงานด้วยกับผู้ขายและบริการที่มีการจัดการใดบ้าง และพวกเขาทำให้องค์กรมีความปลอดภัยมากขึ้นและเจาะได้ยากขึ้นอย่างไร

JOT: มาแล้ว มาเป็นเวลานาน แต่ในที่สุด บริษัท ประกันก็เริ่มตื่นตัวต่อความแพร่หลายและความเสี่ยงทางระบบของไซเบอร์ ภัยคุกคามนี้ไม่สามารถประกันได้ แต่ต้องเพิ่มคำแนะนำใหม่ที่เกี่ยวข้องกับโดเมนดิจิทัลและกายภาพแฝดในปัจจุบันในนโยบาย ส่วนสำคัญของสิ่งนี้จะมุ่งเน้นไปที่การเข้าถึงเครือข่ายของพนักงาน ซึ่งนำไปสู่การรักษาความปลอดภัยด้านไอทีและ OT และความสำคัญขององค์กรที่ใช้การเข้าถึงเครือข่ายที่เข้ารหัสและการแบ่งส่วนการเข้าถึงเครือข่าย

เครดิตรูปภาพ: FuzzBones/ชัตเตอร์