la chiave per ridurre rischi e premi nel nuovo scenario di minacce

L’evoluzione delle minacce e l’aumento dei sinistri spingono assicuratori e aziende verso il modello Zero Trust per una cybersecurity più efficace e coperture assicurative più solide

Con l’aumento degli incidenti ransomware, un panorama di minacce in rapida evoluzione e i metodi di difesa tradizionali che si rivelano inadeguati, la necessità di moderne strategie di cybersecurity non è mai stata così urgente. E gli assicuratori se ne stanno rendendo conto.

L’assicurazione cyber, per come la conosciamo oggi, esiste da oltre 25 anni. Sebbene gli assicuratori dispongano di numerosi strumenti per definire polizze e premi, la realtà è che le tecniche utilizzate per valutare l’idoneità alla copertura assicurativa sono rimaste sostanzialmente invariate. Questo scenario è cambiato solo con l’introduzione dell’approccio Zero Trust alla cybersecurity, che ha rappresentato un punto di svolta, contribuendo a ridurre l’esposizione alle violazioni e a migliorare gli esiti delle coperture assicurative.

L’escalation delle richieste di risarcimento

La realtà è che le applicazioni di sicurezza perimetrale obsolete, come VPN e firewall, sono spesso i punti di accesso iniziali per le organizzazioni criminali. Questo perché consentono il movimento laterale all’interno di un’azienda, che è ovviamente lo scenario ideale per un hacker.

In effetti,  la ricerca ha dimostrato che le organizzazioni che utilizzano questi dispositivi hanno una probabilità fino a 12 volte maggiore di subire una violazione. Oltre a offrire pratiche di patching scadenti e la mancanza di autenticazione a più fattori, queste architetture legacy stanno portando a un aumento dei tassi di richiesta di risarcimento assicurativo. Naturalmente, questo incremento nella frequenza dei sinistri non è passato inosservato alle compagnie assicurative, che stanno rispondendo adottando misure più rigorose nei confronti delle aziende colpite da violazioni: dall’aumento dei premi, a revisioni più lente delle richieste, fino all’introduzione di condizioni meno favorevoli o, in alcuni casi, alla totale esclusione dalla copertura.

Ciò che serve in risposta a questa situazione è un’architettura di sicurezza informatica affidabile che protegga le aziende, che sia in linea con gli standard di sottoscrizione e fornisca agli assicuratori una visione completa della postura di sicurezza aziendale. Solo allora gli assicuratori inizieranno a riacquistare fiducia nel sottoscrivere contratti e a ridurre i premi.

La realtà della sottoscrizione assicurativa

Ci sono migliaia di fornitori di assicurazioni informatiche in tutto il mondo, che coprono un mercato che si prevede varrà circa 32 miliardi di dollari entro il 2030. Secondo un recente studio condotto da Marsh & McLennan, sono solo pratiche corrette di patching e hardening a spostare l’ago della bilancia in termini di impatto sulla polizza assicurativa informatica. Gli altri fattori, come VPN, firewall e VDI, non consentono un’adeguata igiene della sicurezza informatica o non portano agli stessi risultati.

Quando si tratta di valutare il rischio d’impresa, gli assicuratori seguono una metodologia rigorosa. In genere, questa include informazioni vitali come firmografici, incidenti (sinistri), le valutazioni outside-in (tramite scansione), le verifiche inside-out (tramite questionari) e una modellazione delle perdite. Purtroppo, è ancora troppo frequente che non siano disponibili dati aggiornati e informazioni di telemetria. Di conseguenza, spetta spesso ai CISO e ai CFO il compito di dedicare mesi alla preparazione per il rinnovo della polizza cyber.

I vantaggi aziendali di Zero Trust

Fortunatamente, con Zero Trust c’è un altro modo per mitigare il rischio e consentire agli assicuratori di ottenere una comprensione più completa del livello di esposizione dell’azienda. La ricerca ha rilevato che fino al 31% delle perdite informatiche assicurate a livello globale, pari a 465 miliardi di dollari all’anno, potrebbe essere evitato attraverso l’implementazione di una corretta architettura Zero Trust.

Qualsiasi architettura Zero Trust, in ottica assicurativa, dovrebbe concentrarsi sulla prevenzione delle violazioni e sulla protezione dai ransomware. Questo approccio integrato consente di raggiungere un equilibrio fondamentale: ridurre la superficie di attacco e, al tempo stesso, limitare al minimo i movimenti laterali all’interno della rete. Inoltre, per rendere l’architettura più resiliente, il modello Zero Trust assicura che, anche nel caso in cui un attaccante riesca a penetrare i sistemi, i dati eventualmente acquisiti non possano essere esfiltrati, prevenendo così la perdita di informazioni sensibili. Un ulteriore elemento chiave è la capacità di dimostrare concretamente l’efficacia dell’architettura Zero Trust. È proprio qui che entrano in gioco la telemetria e la quantificazione del rischio cyber. Attraverso l’analisi del rischio in chiave “inside-out”, Zero Trust consente alle aziende di offrire agli assicuratori una visibilità significativamente più dettagliata sul proprio livello di esposizione, favorendo condizioni assicurative più vantaggiose.

Oltre a proteggere l’azienda in un panorama di minacce in continua evoluzione, Zero Trust offre enormi vantaggi in termini di risparmio di tempo. La maggior parte delle aziende trascorre da tre a sei mesi a prepararsi per il rinnovo dell’assicurazione informatica. Fornendo agli assicuratori una visibilità quasi istantanea sull’azienda, l’architettura Zero Trust consente di risparmiare tempo. Quindi, invece di dover compilare un questionario di 300-400 pagine, i CISO, i CFO e i loro team sono ora in grado di concentrare i loro sforzi strategici altrove.

Transizione verso un futuro Zero Trust

La realtà è che l’adozione di un approccio Zero Trust è un percorso continuo, che nessuna azienda può completare dall’oggi al domani. Per questo è fondamentale mantenere una rigorosa igiene della sicurezza informatica, migliorando progressivamente la propria postura di sicurezza attraverso l’implementazione di Zero Trust.

È chiaro che il settore delle assicurazioni informatiche stia attraversando una trasformazione profonda. I rischi elevati, derivanti dall’aumento delle tensioni geopolitiche, dalla rapida adozione dell’Intelligenza Artificiale e dagli attacchi polimorfici, stanno influenzando sinistri e perdite. Oggi i responsabili della cybersecurity hanno la possibilità di informare il consiglio di amministrazione sulla loro strategia complessiva di gestione del rischio cyber, che dovrebbe includere mitigazione, trasferimento e accettazione del rischio.

Con l’evolversi continuo del panorama delle minacce, alimentato da tecnologie sempre più innovative, diventa essenziale proteggere adeguatamente la propria azienda e comunicare tempestivamente agli assicuratori cyber ogni miglioramento apportato. L’adozione di un approccio Zero Trust, unita alla quantificazione del rischio informatico, consente di fornire evidenze concrete che semplificano le procedure di richiesta e rinnovo delle polizze, facilitando l’accesso a condizioni di copertura più vantaggiose.