A vállalatok kiberbiztosítása túlhűtött – annak ellenére, hogy szükség lehet rá



Azok számára, akik az információbiztonsági területet követik, úgy érezhető, mintha az elmúlt év csak egy sor olyan bejelentés, amely egy másik vállalati biztonsági megsértéssel járt. Megsértések Equifax, Marriottés még sokan beléptek az általános tudatosságba, miután a több százmillió ügyfél személyes adatai a hackerek kezébe kerültek.

A következő céltól való félelem sok vállalatot vállalt arra, hogy olyan garanciákat keressen, amelyek megszegik a veszteségeiket, ha azok megsértik, ami új piacot eredményez a kiberbiztosítások számára. Tekintettel a hackek fenyegetésére, ami több mint egy kevés marketing alapú FUD-t táplálja, érthető, hogy sokan olyan megoldásokat keresnének, amelyek megvédhetik őket.

Kiberbiztosítás: Mire jó?

A számítógépes biztosításnak segítenie kell a vállalatokat a jogsértés utóhatásainak kezelésében, és remélhetőleg jobban védik a jövőt.

A gyakorlatban ez azt jelenti, hogy segítünk a költségek fedezésében válasz a támadásra, mindent a biztonsági szakértők csapatától a károk minimalizálásához és a törvényszéki szakértőkhöz, a közkapcsolatok amely arra törekszik, hogy tartsa a céget a sajtóban.

Aztán vannak olyan költségek, amelyek gyorsan meggyorsulhatnak a felhasználói adatok lopásából eredő károkból, vagy a használhatatlanná vált gépekből eredő veszteségekből, és a bevételek a leállásokból fakadnak.

Végtére is, a hack nagyon drága lehet a tisztítás után. Csak kérdezze meg a Maersk-t ​​és a FedEx-et NotPetya rosszindulatú támadások 2017-ben, de ennél sokkal később.

Ön fedezi?

Sajnos úgy tűnik, hogy a kiberbiztosítás nem lehet olyan egyszerű és átfogó megoldás, amelyet a vállalatok úgy vélnek, hogy léteznek, és vannak olyan jelentős kihívások, amelyeket figyelembe kell venni a politika aláírása előtt.

Kezdőknek, őszintén szólva, még nincs elég adat az adatvesztéssel kapcsolatos valós költségekről, hogy segítse az aktuáriusokat a termékeik megfelelő árában. Ez nem csak a biztosítók számára jelent problémát, akik olyan támadások esetén találják magukat, amelyek több nagyvállalatot találnak, és olyan károkat okoznak, mint amikor a NotPetya globális hálózatokon futott.

A biztosítókat a biztosítói támogatják politikáikért, akik maguk nem tudják, hogyan írjanak fel olyan politikákat, amelyeket fenntarthatnak. Vannak becslések, hogy a NotPetya felemelkedett 10 milliárd dollár kártérítés, és nem valószínű, hogy a biztosítási ágazat valóban felkészült volna egy szélesebb körű támadás valódi költségeinek kifizetésére. A valódi előkészítés megköveteli, hogy megfelelően megvizsgálják a költségeket és az ügyfelek reális költségeit terheljék, még akkor is, ha jelentősen magasabbak.

A következő akadály az, hogy más kockázati formákkal ellentétben, amelyeknél a vállalatok standard gyakorlatokat alkalmazhatnak a kockázat mérséklésére, így remélhetőleg csökkentve a díjakat, az információbiztonsági bevált gyakorlatok még mindig nem egyformák az egész világon. Ez egy fontos kérdés, mivel egy multinacionális vállalat egyes hátsó ágaiban egy elavult végponton egy jogsértés következhet be, majd gyorsan eljuthat a New York-i székhelyhez, és az egész entitást offline állapotba hozza.

Az évekig tartó figyelmeztetések ellenére az irodai személyzet továbbra is lehetővé teszi a makrók használatát a Word dokumentumokban, így az adathalász támadások folyamatosan fenyegetnek, ami a hackerek számára egyszerű hozzáférési pontot jelenthet a hálózatra. Talán, ha a számítógépes biztosítók olyan ösztönzőket kínálnak olyan szervezeteknek, amelyek oktatási csapataikat a jobb biztonsági higiénia és a rendszeres piros csapatok megtartása érdekében tartják, hogy lássa a személyzetet a lábujjaikban, akkor még a vállalatok szélesebb körén belüli felkészültség javulását láthatjuk.

Ez az, ahogyan a cookie elromlik?

A legutóbbi példa a várakozástól elzárt számítógépes biztosításra a Mondelez, az élelmiszer-forgalmazás óriási története volt januárban jelentették be hogy a zürichi biztosítócsoportot 100 millió dollárral használja fel a NotPetya-ban fennálló károkért. Azt állítják, hogy 1700 szerver és több mint 24.000 laptop tartósan károsodott, amikor a ransomware kártékony programja elérte a hálózatukat. A ruha azután következik, hogy Zürich elutasította kártérítési igényét, hivatkozva a háborús cselekmények kizáró záradékára.

Bár azt állították, hogy a Mondelez Zürich-szel kapcsolatos politikája nem kifejezetten a kiberbiztosításra irányult, máris jelentett az elektronikus adatok, programok vagy szoftverek „fizikai vesztesége vagy károsodása”, valamint „a gépkód vagy az utasítás rosszindulatú bevezetése” tárgyát képezték.

Mint ilyen, némileg abszurdnak tűnik, ha a biztosító megpróbál kijutni a fizetésből, különösen azért, mert számukra igaz, hogy bizonyítaniuk kell az orosz kormányhoz való hozzárendelést.

A múltban a vállalatoknak lehetett arra ösztönözni, hogy azt mondják, hogy egy állami szereplõ áldozataivá váltak, talán azért, hogy megnöveljék saját jelentõségüket, vagy kifogásolják, hogy a támadók hogyan tudtak áttörni a védekezéseiket. Lehet, hogy valójában okuk van arra, hogy azt állítsák, hogy bűncselekménynek minősülnek a jogsértés, ha ez könnyebb utat jelent a biztosítóktól való kifizetéshez.

A kiberbiztosítás méltó-e a hype?

Bár minden vállalatnak önállóan kell értékelnie saját kockázati szintjeit, a rövid válasz valószínűleg nem. Annak ellenére, hogy ezt az ügyet a bíróságok elbírálhatják, el kell döntenie a vállalatoknak, mielőtt egy számítógépes biztosítási csomagra ugrik.

Ha Zürich nyer, akkor valószínűleg érezni fogjuk a hullámokat ezen a téren, mivel rengeteg vállalat újra megvizsgálja befektetéseiket a számítógépes biztosítások megvásárlásában az olyan eszközök javára, amelyek segíthetnek először megakadályozni a jogsértést.

Nyilvánvaló, hogy előrelépésre szükség van a két megközelítés egyesítésére, eszközök és gyakorlatok végrehajtására, amelyek megakadályozzák a jogsértéseket, és fenyegetéseket találnak a hálózaton belül, amelyeket olyan intézkedések követnek, mint például a biztosítás, amely kevésbé fájdalmas lesz, ha a támadás sikeres lesz.

Jelenleg a szakpolitikákkal rendelkező vállalatoknak meg kell vizsgálniuk a feltételeiket, hogy világos megértést kapjanak arról, hogy pontosan mit védenek és megértenek, ha a lefedettségük elégséges a fenyegetésmodelljeikhez. Ugyanakkor el kell kerülniük, hogy a félelmekből drága politikákat vásároljanak.

A 2019-es TNW konferencia jön! Tekintse meg a dicsőséges új helyünket, a hangszórók és a tevékenységek inspiráló sorrendjét, és hogyan lehet az éves tech extravaganza részévé válni, ha ide kattint.

Publikálva 2019. március 31. – 13:30 UTC