Forsikring af cyberrisici: Det svært tilgængelige skjold for virksomhedssikkerhed

Ransomware og andre cyberangreb vil fortsætte med at teste supply chains og forretningsmodellers modstandsdygtighed i 2024. Under alle omstændigheder er cyberhændelser som malwareangreb, overtrædelser af databeskyttelse og fejl i IT-systemer blandt de største bekymringer for virksomheder verden over.

Cyberhændelser (36 procent af alle hændelser) er således den mest frygtede risiko på verdensplan for tredje år i træk, nu med et betydeligt margin (5 procent). Respondenterne i Allianz Risk Barometer betragter databrud som den mest bekymrende cybertrussel (59 procent), efterfulgt af angreb på kritisk infrastruktur og fysiske aktiver (53 procent). Den nylige stigning i ransomware-angreb, med en bekymrende stigning i 2023 og en stigning på mere end 50 procent i forsikringstab sammenlignet med 2022, ligger på tredjepladsen (53 procent). I Tyskland ligger bekymringen for cyberhændelser og forretningsafbrydelser også i toppen af undersøgelsen. Det er ikke overraskende, at næsten tre fjerdedele (72 procent) eller 148 milliarder euro af den samlede skade på den tyske økonomi forårsaget af datatyveri, sabotage og økonomisk spionage i 2022 alene kunne tilskrives cyberangreb. Der er mange eksempler på berørte virksomheder, herunder også prominente navne.

Hvis en phishing-mail eller et hackerangreb lammer en virksomheds IT, kan det hurtigt true dens eksistens. Cyberforsikring kan hjælpe med at afbøde sådanne skader. Det er en kontrakt, som virksomheder indgår for at reducere de økonomiske risici, der er forbundet med online-forretning. Forsikringspolicen overfører en del af risikoen til forsikringsselskabet mod et gebyr. Cyberforsikring anbefales til alle virksomheder, der arbejder med følsomme data, og hvis forretningsdrift afhænger af tilgængeligheden af disse data.

De første cyberforsikringer blev introduceret i slutningen af 1990'erne som reaktion på den stigende afhængighed af teknologi og stigningen i cybertrusler. I begyndelsen fokuserede de på databrud og cyberangreb, men med tiden udvidede udbyderne dækningen til et bredere spektrum af cyberkriminalitet, herunder ransomware-angreb og andre malware-angreb, social engineering, systemfejl og driftsforstyrrelser som følge af cybersikkerhedshændelser.

Afhængigt af kontrakten omfatter en cyberforsikring følgende tjenester:

• Finansiel beskyttelse: Cyberforsikring giver økonomisk beskyttelse mod skader forårsaget af cyberhændelser (se nedenfor). Dette omfatter udgifter til undersøgelser, kreditovervågning, potentielle juridiske forpligtelser og andre omkostninger i forbindelse med databrud. Derudover kan den dække forretningsafbrydelser, tab af indtægter og genoprettelse af computersystemer.
• Forebyggelse og afhjælpning: Cyberansvarsforsikring beskytter virksomheder mod risikoen for cyberhændelser, herunder dem med terrorbaggrund. Den dækker netværkssikkerhed og hjælper med hurtigt at håndtere cyberangreb og lignende hændelser.
• Juridisk støtte: Juridisk bistand er ofte inkluderet i cyberforsikringen. Det hjælper virksomheder med at navigere i det komplekse juridiske system i forbindelse med cyberhændelser og dækker omkostninger til juridisk repræsentation, compliance og potentielle retssager som følge af databrud.

• Underretning af kunder efter en sikkerhedshændelse.
• Ansættelse af forensic eksperter til at gendanne kompromitterede data.
• Gendannelse af identiteten på kunder, hvis personlige data er blevet kompromitteret.
• Gendannelse af ændrede eller stjålne data.
• Reparation eller udskiftning af beskadigede eller kompromitterede computersystemer.

Derudover er der positive sideeffekter: Ved at tegne en cyberforsikring adskiller virksomheder sig fra konkurrenterne ved at vise, at de er engagerede i at beskytte kundedata og aktivt forbereder sig på cyberangreb. Desuden demonstrerer de deres engagement i høje cybersikkerhedsstandarder. Det styrker omdømmet og tilliden blandt kunder, interessenter og partnere. I sidste ende giver cyberforsikringen virksomheder en følelse af sikkerhed ved at sikre deres finansielle stabilitet under cyberkriser. Virksomhederne kan fokusere på deres kerneforretning uden konstant at skulle overveje de potentielle økonomiske og omdømmemæssige konsekvenser af et cyberangreb.

Med hensyn til cyberangreb giver cyberforsikringen beskyttelse mod forskellige risici, der opstår ved brug af internettet. Det er vigtigt at bemærke, at det nøjagtige omfang af forsikringsdækningen varierer afhængigt af udbyder og police. Her er nogle eksempler:

• Cyberbedrageri: Skader forårsaget af svigagtige aktiviteter på internettet, som f.eks. phishing.
• DoS- og DDoS-angreb: Skader forårsaget af angreb, der har til formål at gøre en tjeneste eller et websted utilgængeligt.
• Infektioner forårsaget af ondsindet software: Skader forårsaget af ransomware, orme, trojanske heste og anden malware.
• Datatab: Omkostninger til gendannelse eller erstatning af mistede eller stjålne data.
• Overtrædelse af privatlivs- og fortrolighedsforpligtelser: Bøder og andre omkostninger på grund af overtrædelser af databeskyttelseslove.
•  Afbrydelser af Clouden: Skader forårsaget af svigt i cloud-tjenester.

Interessen for cyberforsikring er enorm i erhvervslivet. Men ikke alle virksomheder opfylder de krav til cybersikkerhed, som forsikringsselskaberne nu kræver. Mens det i starten kun var grundlæggende beskyttelse, der blev betragtet som et kriterium, skal virksomheder, der søger forsikring, nu demonstrere et højt beskyttelsesniveau.

Grundlaget for et påkrævet minimumsniveau af IT-sikkerhed omfatter velkendte foranstaltninger som regelmæssig sikkerhedskopiering (BackUp) af data, individuel adgangskontrol, beskyttelse mod malwareangreb, firewalls og rettidig installation af sikkerhedsopdateringer (Patches). Men det strækker sig nu ud over tekniske foranstaltninger og omfatter også organisatoriske og proceduremæssige foranstaltninger. Det handler om at inddrage mennesker, især ved at uddanne medarbejderne i emnet, gøre politikker (f.eks. Password politikker) kendte og overholdt og institutionalisere it-sikkerhedsprocesser. Alt dette skal være målbart og verificerbart, og ansvaret skal strække sig fra topledelsen til hver enkelt medarbejder.

Som med enhver forsikringskontrakt spørger forsikringsselskabet til risikoen. De kan kræve yderligere nødvendige sikkerhedsforanstaltninger, som der skal tages højde for. Derfor er den førnævnte sporbarhed afgørende. Alle identificerede risici skal reduceres eller normaliseres. Hvis dette ikke sker, kan forsikringsselskabet udelukke visse skader i kontrakten.

Et standardiseret system til styring af identiteter og adgangsrettigheder til forskellige lokale og cloud-applikationer er for eksempel obligatorisk. Ligesom god brandbeskyttelse er et velimplementeret adgangsrettighedssystem via IAM (Identity and Access Management) grundlaget for lavere forsikringspræmier. Mekanismer som eskalering af overtrædelser i tilfælde af uforenelige aktiviteter og andre foranstaltninger, som f.eks. en need-to-know-rollemodel, beskytter compliance og hjælper med at bevise uautoriseret adgang.

Desuden er virksomheder forpligtet til at overholde gældende lovgrundlag. For eksempel er cyberforsikringen for en lægepraksis eller et hospital bundet til overholdelse af branchespecifikke sikkerhedsstandarder (B3S), loven om beskyttelse af patientdata og andre foranstaltninger for kritisk infrastruktur.

Visse certificeringer er dog ikke obligatoriske. Selvom de giver forsikringsselskaberne en indikation af kvaliteten af it-sikkerheden, da kravene til certificering indebærer visse sikkerhedsforanstaltninger, gør certificering ikke nødvendigvis processen med at opnå forsikring lettere.

Omkostningerne til cyberforsikring varierer, og det er svært at give en generel indikation om beløbet. Priserne på cyberforsikring afhænger typisk af den forsikredes årlige omsætning, branchen, omfanget og typen af forsikringsdækning. I de senere år har der været en betydelig stigning i cyberforsikringspræmier og -betalinger, hvilket tilskrives den voksende angrebsflade og udviklingen af angrebsteknikker. For at modtage et specifikt tilbud anbefales det at arrangere en konsultation med den respektive forsikringsudbyder eller anmode om et tilbud.