211service.com
Draudikai stengiasi įkainoti kibernetinę katastrofą
Džekas Sachsas
1992 metais uraganas Andrew nusiaubė Floridos pietinę pakrantę, žuvo dešimtys žmonių ir padarė daugiau nei 25 mlrd. Audra taip pat atskleidė kritinius trūkumus, kaip turto draudikai kiekybiškai įvertino galimas tokios stichinės katastrofos išlaidas. Daugelis draudimo kompanijų per kelis mėnesius po audros patyrė didelių nuostolių kelios nepavyko .
Šiandien draudikai stengiasi suprasti naujos rūšies galimos katastrofos, šios žmogaus sukeltos: niokojančios kibernetinės atakos, ekonominę mastą. Kai kurios 1992 m. pamokos galioja, bet kitais atžvilgiais tai yra labai skirtingos problemos, kurias reikia išspręsti.
Didieji draudikai, įskaitant AIG ir Chubb, kibernetines draudimo sutartis siūlė nuo 1990-ųjų pabaigos, o šiandien jas parduoda apie 80 įmonių, daugiausia dėmesio skirdamos duomenų pažeidimams. Kibernetinio draudimo rinka pastaruoju metu pradėjo sparčiai augti, nes daugybė didelio atgarsio sulaukusių atakų įtikino aukščiausius vadovus, kad įsilaužėliai kelia rimtą susirūpinimą. „PricewaterhouseCoopers“. sąmatos 2020 m. įmonės už kibernetinį draudimą sumokės 7,5 mlrd įvertintas 2,75 mlrd. USD 2015 m.
Tačiau draudikai vis dar stengiasi suvokti kibernetinės rizikos pobūdį ir suprasti, kaip sudaryti savo politiką taip, kad jie nebūtų pažeidžiami katastrofiškų nuostolių.
Žmonės kibernetinį saugumą pradeda vertinti kaip verslo riziką, o ne IT problemą, sako Arvindas Parthasarathi, „Cyence“, trejus metus gyvuojančios įmonės, padedančios draudikams modeliuoti kibernetines rizikas, generalinis direktorius. Tai reiškia, kad pripažinimas, kad tai nėra problema, kai reikia aiškaus sprendimo, o rizika, kurią galima valdyti, nors ir nepašalinti. Dabar, sako Parthasarathi, vadovai klausia: kiek rizikuoju rizikuoti?
Draudikai užduoda tą patį klausimą, bandydami nustatyti, kaip įkainoti naują kibernetinio saugumo politiką. Šiuolaikinė kibernetinė grėsmė yra sudėtinga ir sparčiai besivystanti. Svarbiausias iššūkis – įvertinti kibernetinės katastrofos riziką, kuri vienu metu ištiks daug draudėjų, ir įvertinti didžiausius nuostolius blogiausiu atveju. To draudikai nesugebėjo padaryti prieš uraganą Andrew.
Kibernetinę nelaimę, panašią į uraganą Andrew, iš dalies sunku modeliuoti, nes jos dar neįvyko. Praėjusį spalį supratome, kaip gali kilti tokia nelaimė, kai įsilaužėliai pasinaudojo valdomų internetinių kamerų, DVR ir kitų daiktų interneto įrenginių tinklu, kad pradėtų didžiulę paslaugų atsisakymo ataką prieš Dyn, pagrindinį interneto srauto maršrutizatorių. Dėl atakos daugybė žinomų svetainių, įskaitant „Amazon“, „Netflix“ ir „Spotify“, valandų valandas tapo nepasiekiamos milijonams vartotojų Jungtinėse Valstijose (žr. „10 Breakthrough Technologies 2017: Botnets of Things“).
„Dyn“ atakos kaina dar nėra aiški, tačiau neseniai keturias valandas trukęs „Amazon“ debesų saugyklos S3 sistemos gedimas (kuris nebuvo kibernetinės atakos rezultatas) „S&P 500“ kompanijoms kainavo mažiausiai 150 mln. Nesunku įsivaizduoti didelio masto debesų tarnybos ataką, sukeliančią milijardus nuostolių.
Kibernetinė ataka prieš tradicinę fizinę infrastruktūrą, pavyzdžiui, tą išėmė didelę tinklelio dalį gruodį Kijeve, Ukrainoje, taip pat kelia susirūpinimą. Kai kurie išpuolį priskyrė Rusijos valstybės remiamiems programišiams. Draudimo rinka Lloyd's iš Londono neseniai išanalizavo hipotetinį scenarijų, pagal kurį JAV šiaurės rytuose elektros energijos tiekimo nutraukimas palieka 93 mln. Buvo padaryta išvada, kad toks įvykis draudikams gali kainuoti nuo 21 iki 71 milijardo JAV dolerių, o tai rodo, kaip sudėtinga tiksliai nustatyti tokios rizikos kainą.
Iššūkis, bandantis kiekybiškai įvertinti kibernetinę riziką, tam tikrais atžvilgiais panašus į tai, su kuo draudikai susidūrė 1990-aisiais, nes jie turi labai mažai patirties su tokio tipo rizika. Prireikė 15 metų sukurti duomenų rinkinius, kuriais grindžiami sudėtingi ir išsamūs stichinių nelaimių modeliai, kuriais šiandien remiasi draudikai, sako Tomas Harvey, rizikos valdymo sprendimų, kuriančios draudikams katastrofiškos rizikos modelius, produktų vadovas. Nors kibernetinės erdvės reikalai vyksta daug greičiau, anot jo, įmonių renkami duomenys vis dar yra gana nenuoseklūs. Dėl to sunku kaupti informaciją ir ištirti pramonės tendencijas.
Žinoma, yra svarbių skirtumų tarp stichinių ir kibernetinių katastrofų modeliavimo, pradedant tuo, kad kvalifikuoti žmonės vadovauja kibernetiniams įvykiams, o ne fiziniams dėsniams. Įsilaužėlių motyvacija, taktika, metodai ir tikslai greitai keičiasi, kad įveiktų naujas gynybas. Iššūkis yra suprasti aktyvų priešininką, sako Cyence's Parthasarathi, kurio įmonė remiasi žaidimų teorija ir elgesio ekonomika, kad modeliuotų užpuolikų elgesį.
Norint įvertinti didelės kibernetinės atakos riziką, labai svarbu suprasti interneto geografiją. Draudikams reikalingas vietovių, kuriose saugomi vertingi duomenys, žemėlapis, įskaitant informaciją apie tai, kaip to turto savininkai juos saugo, sako Stephenas Boyeris, BitSight CTO ir vienas iš įkūrėjų. Boyerio įmonė atlieka tokį internete saugomo turto atvaizdavimą ir įvertina organizacijų, kurioms priklauso tas turtas, saugumo efektyvumą.
Draudikai turi vengti naudoti kibernetinę versiją, apimančią visus Floridos pakrantėje prieš uraganą Andrew, sako Boyeris, pavyzdžiui, siūlyti per daug polisų įmonėms, kurios priklauso nuo tos pačios technologijos ar paslaugų teikėjo, pavyzdžiui, Amazon Web Services. Kai ten įvyksta gedimas, visi turi pretenzijų, sako jis.