Cyber sigurnost odavno se ne svodi samo na vatrozide, zakrpe i edukaciju zaposlenika.
Sve više tvrtki počinje uzimati policu cyber osiguranja.
Na papiru, ideja je jednostavna. ako obrana ipak zakaže, osiguranje pokriva štetu. U praksi, stvari su znatno kompliciranije.
Globalno tržište cyber osiguranja 2024. godine doseglo je oko 16 milijardi dolara premija, police su postale raširene, ali isplate su sve manje predvidljive.
Analiza pokazuje da između onoga što tvrtke misle da su osigurale i onoga što će osiguravatelj stvarno platiti često zjapi ozbiljna rupa.Ta se rupa otkriva u najgorem mogućem trenutku: nakon incidenta.
U ovom članku donosimo pregled ključnih nalaza i objašnjavamo što oni znače za tvrtke u Hrvatskoj, posebno one srednje veličine koje policu cyber osiguranja često potpisuju bez vlastitog CISO-a ili pravnika specijaliziranog za kibernetičke rizike.
Jaz od 900 milijardi dolara
Krenimo od brojke koja najbolje opisuje razmjere problema.
Globalna federacija udruženja osiguravatelja (GFIA), koja okuplja osiguravatelje s gotovo 90 posto svjetskih premija, još je 2023. procijenila takozvani jaz kibernetičke zaštite (cyber protection gap) na oko 900 milijardi dolara.
Drugim riječima, godišnji gospodarski gubici od kibernetičkih incidenata višestruko premašuju ono što je osigurano.
Zajednička analiza Marsh McLennana i Zurich Insurance Groupa iz 2024. došla je do sličnog zaključka: osigurani gubici pokrivaju tek mali dio ukupnih globalnih šteta od cyber napada.
Paradoks je u tome što se tržište istovremeno po prvi put u povijesti smanjilo po volumenu premija, nakon jedanaest uzastopnih kvartala pada cijena.
Višak kapaciteta spustio je cijene polica čak i dok prijavljeni gubici rastu.
Kupcima možda ta vijest zvuči primamljivo. Ipak su police pristupačnije nego ikad. Ali jeftinija polica ne znači i sigurniju isplatu.
Upitnik koji postaje pravni dokument
Prvi trenutak u kojem tvrtke same sebi kopaju rupu jest ispunjavanje upitnika za osiguranje.
Ti upitnici danas znaju imati više od pedeset stavki. Ubrajaju se višefaktorska autentifikacija (MFA), praksa sigurnosnih kopija, EDR rješenja, ritam zakrpavanja, testiranje planova odgovora na incidente i tako dalje.
Odgovori u tom upitniku postaju pravne izjave.
Ako kontrola koja je u trenutku potpisivanja postojala kasnije prestane funkcionirati, ili ako je djelomično uvedena mjera u upitniku opisana kao potpuno implementirana, kasniji odštetni zahtjev vrlo lako završava u sporu.
Problem je što te upitnike potpisuju osobe bez dubokog tehničkog razumijevanja onoga što potvrđuju (uglavnom direktor, voditelj financija ili ureda) i takvi slučajevi čine značajan dio odbijenih zahtjeva.
Brojke nisu baš nešto
Stopa odbijanja odštetnih zahtjeva iz cyber polica kreće između 40 i 44 posto.
Gotovo svaki drugi zahtjev, dakle, ne završi isplatom kakvu je tvrtka očekivala.
Najčešći razlozi su pogrešno prikazivanje stanja sigurnosti, prestanak funkcioniranja obveznih kontrola nakon sklapanja police i odgovori u upitniku koje je potpisao netko tko nije razumio njihov tehnički sadržaj.
Dr. Chase Cunningham, bivši analitičar NSA-e, za Help Net Security sažeo je bit problema. Naime, cyber osiguranje ima legitimnu ulogu, ali nije sigurnosna kontrola ni strategija otpornosti.
Ono je, kako kaže, “a residual-risk financing tool”, alat za financiranje preostalog rizika. Prevedeno na svakodnevni jezik. dakle polica pokriva ono što ostane nakon što ste napravili sve ostalo, a ne umjesto svega ostalog.
Isključenja: društveni inženjering
Druga velika kategorija razočaranja skriva se u isključenjima.
Najpoznatiji primjer je slučaj farmaceutskog diva Mercka nakon napada NotPetya, u kojem je tvrtka štetu procijenila na oko 1,4 milijarde dolara.
Osiguravatelji su isplatu osporavali pozivajući se na ratno isključenje u polici, a spor je, nakon godina suđenja i žalbene presude, u korist Mercka iz svibnja 2023. završio povjerljivom nagodbom početkom 2024.
Tržište je iz toga izvuklo pouku, ali ne onu kojoj bi se kupci polica nadali.
Lloyd’s of London već je 2022. tržišnim biltenom propisao da samostalne cyber police od 31. ožujka 2023. moraju izričito isključiti napade koje podupiru države, uz četiri modela klauzula s različitim razinama restriktivnosti.
Budući da iza sve većeg broja ozbiljnih napada stoje državno sponzorirani akteri, ovo isključenje pogađa upravo najskuplje incidente.
Sličan problem postoji i kod društvenog inženjeringa, konkretnije phishinga, BEC prijevara i sličnih napada koji su statistički među najčešćim uzrocima šteta.
Standardne police te događaje u potpunosti isključuju ili isplatu ograničavaju na 250.000 dolara, što je iznos osjetno ispod prosječne štete za tu vrstu napada.
Tvrtka koja je uvjerena da ima “cyber policu od milijun eura” može otkriti da za najvjerojatniji scenarij napada vrijedi tek četvrtina toga ili ne vrijedi ništa.
Račun veći od tržišta
Koliko je razmjer mogućih šteta nadrastao sustav za osiguranje, najbolje pokazuje Lloyd’sovo modeliranje scenarija velikog napada na globalne platne sustave financijske industrije.
Takav događaj mogao bi svjetsko gospodarstvo stajati oko 3,5 bilijuna dolara.
Naime, brojka višestruko premašuje ukupne premije koje cijelo svjetsko tržište cyber osiguranja prikupi u godini dana.
Jednostavno, za istinski katastrofalan sistemski događaj, tržište osiguranja nema odgovor.
Zato se sve ozbiljnije raspravlja o državnim mehanizmima potpore, po uzoru na američki zakon o osiguranju od terorizma (TRIA).
Cunningham takav “federalni cyber backstop” smatra vrijednim razmatranja, ali samo uz stroge uvjete. Odnosno, kao krajnji mehanizam otpornosti za katastrofalne sistemske događaje, a ne kao subvenciju za slabu sigurnost.
Predlaže da uvjet za pristup budu minimalne sigurnosne kontrole vezane uz NIST-ov Cybersecurity Framework i CISA-ine ciljeve sigurnosne učinkovitosti, uz dokaze o njihovoj stvarnoj primjeni.
Uz to da i osiguravatelji i osiguranici zadrže dio izloženosti, kako porezni obveznici ne bi plaćali propuste koji su se mogli spriječiti.
Za europske i hrvatske čitatelje ta rasprava nije apstraktna.
Dakle, regulatorni okvir kod nas već postoji kroz NIS2 direktivu i Zakon o kibernetičkoj sigurnosti, a logika je ista. Naime, osiguranje i regulativa mogu podijeliti rizik, ali ne mogu zamijeniti stvarnu sigurnosnu higijenu.
Upute za srednje velike tvrtke?
Najranjivije su, očekivano, tvrtke srednje veličine. Dovoljno velike da budu meta i da im incident nanese ozbiljnu štetu, a premale da imaju vlastitog CISO-a i pravni tim specijaliziran za kibernetičko pravo.
One se pri kupnji police najčešće oslanjaju isključivo na brokera, a to, upozorava Cunningham, nije dovoljno.
Njegova preporuka je izgraditi mali “savjetnički trokut” oko procesa osiguranja, koji čine tri strane.
- Prvo, broker specijaliziran za cyber rizike, a ne generalist koji cyber policu prodaje usput.
- Drugo, neovisni tehnički savjetnik ili vanjski (fractional) CISO koji može realno procijeniti stanje kontrola prije nego što ih netko potvrdi u upitniku.
- Treće, odvjetnik koji razumije cyber pokriće i postupanje nakon incidenta, jer će on čitati sitna slova police prije potpisa, a ne nakon štete.
Kao početnu osnovicu za procjenu vlastite zrelosti Cunningham preporučuje CISA-ine Cybersecurity Performance Goals i NIST-ove materijale za male tvrtke.
Kod odabira brokera korisni su signali formalne kvalifikacije poput PLUS edukacija za cyber odgovornost, RPLU, CPLP, oznake Associate in Cyber Risk Management, CPCU, ARM, CRM ili CIC.
Važno je imati i isksutva s odštetnim zahtjevima vrijedi barem koliko i svaka od njih.
Za hrvatske tvrtke taj savjet vrijedi dvostruko.
Domaće tržište cyber osiguranja još je mlado, ponuda specijaliziranih brokera ograničena, a police se nerijetko sklapaju kao dodatak postojećim poslovnim osiguranjima, bez dubinske tehničke provjere.
Zato neovisna tehnička procjena prije potpisivanja upitnika može biti najisplativija stavka u cijelom procesu.
Jeftinija je od jednog dana zastoja proizvodnje, a može presuditi hoće li zahtjev za milijunsku štetu uopće biti isplaćen.
Postoji, kaže, i jedno pitanje koje najbrže razdvaja površnog savjetnika od ozbiljnog: koliko ste cyber odštetnih zahtjeva pomogli voditi?
Površan savjetnik pitat će vas za limite, prihode i imate li MFA. Ozbiljan će kopati dublje. Pitat će se gdje je točno MFA nametnuta, tko ima privilegirani pristup, kako su zaštićene sigurnosne kopije.
Pitanja prije potpisa
Iz svega navedenog izdvajamo pitanja koja bi svaka tvrtka trebala raščistiti prije nego što potpiše ili obnovi cyber policu.
Tko je tehnički provjerio točnost svakog odgovora u upitniku i postoji li interni dokaz (izvještaj, snimka konfiguracije) za svaku potvrđenu kontrolu?
Što se događa ako neka kontrola privremeno prestane funkcionirati tijekom trajanja police, postoji li obveza obavještavanja osiguravatelja?
Koja točno isključenja vrijede za državno sponzorirane napade i kako polica definira “rat” i “državnog aktera”?
Koji podlimiti i rokovi čekanja vrijede za društveni inženjering, prekid poslovanja i troškove oporavka?
Tko odlučuje o izboru forenzičara i pravnog tima nakon incidenta, vi ili osiguravatelj?
I na kraju, kada je vaš broker zadnji put stvarno vodio klijenta kroz odštetni zahtjev, i kako je to završilo?
Polica slijedi sigurnosni program
Poruka analize je jasna i vrijedi je ponoviti.
Dakle, odluke o pokriću dobivaju pravnu težinu onog dana kada je upitnik potpisan.
Kada šteta nastane, osiguravatelj ne gleda vaš marketing ni dobre namjere, nego odgovore koje ste dali prije incidenta.
Razlika između reklamiranih limita i stvarno isplativih iznosa najčešće se krije u podlimitima, rokovima čekanja, isključenjima i izjavama o kontrolama.
Kibernetička sigurnost zato mora doći prije police, a ne umjesto nje.
Osiguranje može financirati ostatak rizika koji ni najbolji sigurnosni program ne može ukloniti, ali ne može nadomjestiti MFA koja nije svugdje uključena, sigurnosne kopije koje nitko nije testirao ili plan odgovora na incident koji postoji samo na papiru.
Tvrtke koje to shvate prije incidenta pregovarat će o boljim uvjetima, potpisivati točnije upitnike i, ako do najgoreg ipak dođe, naplatiti štetu bez višegodišnjeg spora.
One koje to shvate poslije postat će još jedna brojka u statistici od 40 posto odbijenih zahtjeva.
