211service.com
Forsikringsselskaper kjemper for å sette en pris på en cyberkatastrofe
Jack Sachs
I 1992 ødela orkanen Andrew Floridas sørkyst, drepte dusinvis av mennesker og forårsaket mer enn 25 milliarder dollar i skade. Stormen avslørte også kritiske svakheter i måten eiendomsforsikringsselskaper kvantifiserte de potensielle kostnadene ved en slik naturkatastrofe. Mange forsikringsselskaper tok store tap i månedene som fulgte stormen og flere mislyktes .
I dag sliter forsikringsselskapene med å forstå det økonomiske omfanget av en ny type potensiell katastrofe, denne menneskeskapte: et ødeleggende nettangrep. Noen av lærdommene fra 1992 gjelder, men på andre måter er dette en helt annen type problem å løse.
Store forsikringsselskaper inkludert AIG og Chubb har tilbudt cyberpoliser siden slutten av 1990-tallet, og i dag selger omtrent 80 selskaper dem, de fleste fokusert på datainnbrudd. Markedet for cyberforsikring har nylig begynt å vokse raskt ettersom en rekke høyprofilerte angrep har overbevist toppledere om at hackere utgjør en alvorlig bekymring. PricewaterhouseCoopers estimater selskaper vil betale 7,5 milliarder dollar for cyberforsikring i 2020, opp fra en Antatt 2,75 milliarder dollar i 2015.
Likevel sliter forsikringsselskapene fortsatt med å forstå innholdet i cyberrisiko, og med å forstå hvordan de kan strukturere sine forsikringer på måter som ikke vil gjøre dem sårbare for katastrofale tap.
Folk begynner å se på cybersikkerhet som en forretningsrisiko i stedet for et IT-problem, sier Arvind Parthasarathi, administrerende direktør i Cyence, et tre år gammelt firma som hjelper forsikringsselskaper med å modellere cyberrisiko. Det betyr at å erkjenne dette ikke er et problem med en klar løsning, men en risiko som kan håndteres, men ikke elimineres. Nå, sier Parthasarathi, spør ledere: Hvor stor risiko er jeg komfortabel med å beholde?
Forsikringsselskapene stiller det samme spørsmålet når de prøver å finne ut hvordan de skal prise nye nettsikkerhetspolitikker. Den moderne cybertrusselen er kompleks og i rask utvikling. Den mest presserende utfordringen er å kvantifisere risikoen for at en cyberkatastrofe rammer mange forsikringstakere samtidig, og estimere det maksimale tapet i verste fall. Det var det forsikringsselskapene ikke klarte å gjøre før orkanen Andrew.
En cyberkatastrofe som i omfang kan sammenlignes med orkanen Andrew er vanskelig å modellere delvis fordi en ikke har skjedd ennå. I oktober i fjor fikk vi et glimt av en måte en slik katastrofe kan utspille seg på da hackere brukte et nettverk av overordnede webkameraer, DVR-er og andre Internett-enheter for å starte et massivt tjenestenektangrep på Dyn, en stor ruter for Internett-trafikk. Angrepet gjorde mange fremtredende nettsteder inkludert Amazon, Netflix og Spotify utilgjengelige for millioner av brukere i USA i timevis (se 10 Breakthrough Technologies 2017: Botnets of Things ).
Kostnaden for Dyn-angrepet er foreløpig ikke klar, men et nylig fire timer langt brudd på Amazons S3 skylagringssystem (som ikke var et resultat av et nettangrep) kostet S&P 500-selskaper minst 150 millioner dollar, ifølge et estimat fra Cyence. Det er ikke vanskelig å forestille seg et storstilt angrep på en skytjeneste som forårsaker milliarder i tap.
Et nettangrep på tradisjonell fysisk infrastruktur, som den som tok ut en betydelig del av rutenettet i Kiev, Ukraina, i desember, er også en bekymring. Noen har tilskrevet angrepet til russiske statsstøttede hackere. Forsikringsmarkedet Lloyd's fra London analyserte nylig et hypotetisk scenario der et strømbrudd i det nordøstlige USA etterlater 93 millioner mennesker uten strøm. Den konkluderte med at en hendelse som dette kan koste forsikringsselskaper hvor som helst mellom 21 og 71 milliarder dollar, noe som illustrerer hvor utfordrende det er å finne kostnadene ved slike risikoer.
Utfordringen med å prøve å kvantifisere cyberrisikoen ligner på noen måter det forsikringsselskapene sto overfor på 1990-tallet, ved at de har svært liten erfaring med denne typen risiko. Det tok 15 år å bygge datasettene som ligger til grunn for de komplekse og detaljerte naturkatastrofemodellene forsikringsselskapene er avhengige av i dag, sier Tom Harvey, en produktsjef i Risk Management Solutions, som utvikler katastrofale risikomodeller for forsikringsselskaper. Selv om ting går mye raskere for cyber, sier han, er dataene som selskapene samler inn fortsatt ganske inkonsekvente. Det gjør det vanskelig å samle informasjon og studere bransjetrender.
Det er viktige forskjeller mellom å modellere naturkatastrofer og cyberkatastrofer, selvfølgelig, og starter med det faktum at dyktige mennesker driver cyberhendelser, ikke fysiske lover. Hackernes motivasjoner, taktikk, teknikker og mål endres raskt for å overvinne nye forsvar. Utfordringen er å forstå en aktiv motstander, sier Cyences Parthasarathi, hvis selskap bruker spillteori og atferdsøkonomi for å modellere oppførselen til angripere.
Å forstå geografien til Internett er også avgjørende for å vurdere risikoen for et stort nettangrep. Forsikringsselskaper trenger et kart over stedene der verdifulle data er lagret, inkludert informasjon om hvor godt eierne av disse eiendelene beskytter dem, sier Stephen Boyer, CTO og medgründer av BitSight. Boyers selskap gjør denne typen kartlegging av eiendeler lagret på Internett og måler sikkerhetsytelsen til organisasjonene som eier disse eiendelene.
Forsikringsselskaper må unngå å gjøre cyberversjonen for å dekke alle på kysten av Florida før orkanen Andrew, sier Boyer, ting som å tilby for mange forsikringer til selskaper som er avhengige av samme teknologi eller tjenesteleverandør, som Amazon Web Services, som ett eksempel. Når det skjer et strømbrudd der, har alle et krav, sier han.