Ransomware herschrijft cyberverzekeringspolissen

De huidige misdaadgolf met ransomware brengt de cyberverzekeringsmarkt in beroering, en dat is slecht nieuws voor organisaties die polissen kopen of vernieuwen. De tarieven zijn gestegen, de beschikbaarheid is beperkt en de voorwaarden zijn strenger. Als er al een lichtpuntje is, dan is het dat verzekeraars de normen voor cyberbeveiliging kunnen aanscherpen, net zoals ze dat hebben gedaan op uiteenlopende gebieden als brandveiligheid en betaalkaarten.

Veranderende cyberverzekeringsmarkt

Verschillende trends zijn van invloed op de vraag of en hoe organisaties hun gegevens en bedrijfsactiviteiten kunnen verzekeren tegen de achtergrond van toenemende ransomwarerisico's. Daaronder:

• Meer slachtoffers: Ransomwareclaims zijn in 2020 met 35% gestegen,[1] en de stijging zal in 2021 aanhouden.
• Grotere losgelden: Een verzekeringsmaatschappij zei dat het gemiddelde losgeld dat haar polishouders moesten betalen bijna verdrievoudigde tot ongeveer 1,2 miljoen dollar in de eerste helft van 2021, van 450.000 dollar een jaar eerder.[2] Tegelijkertijd worden veel kleinere bedrijven getroffen door eisen van vijf cijfers.
• Meer kopers: In het Verenigd Koninkrijk, bijvoorbeeld, meldde de regering in haar Cyber Security Breaches Survey 2021 dat 43% van de bedrijven een cyberverzekering had, tegenover 32% in het vorige rapport.[3]
• Minder verkopers: Sommige verzekeraars hebben de cyberverzekeringsmarkt verlaten, waardoor er volgens de Ransomware Task Force ongeveer 20 grote bedrijven overblijven die de meeste polissen schrijven.[4] Veel van die bedrijven hebben minder capaciteit om polissen te schrijven dan vroeger.
• Hogere tarieven: Cyberherverzekeringstarieven - hoeveel herverzekeraars verzekeraars in rekening brengen voor hun eigen verzekering - waren tegen het midden van het vernieuwingsseizoen van 2021 met maar liefst 40% gestegen.[5] Aangezien deze kosten worden doorberekend, werd verwacht dat verzekerden dit jaar stijgingen van 15% tot 50% zouden zien, afhankelijk van hun bedrijfssector en andere risicofactoren.[6]
• Strengere voorwaarden: Polishouders moeten aan steeds strengere cyberbeveiligingsnormen voldoen of meer betalen. Bepaalde soorten risico's worden uitgesloten van dekking.

Wat dekt de Ransomware-verzekering?

De dekking voor ransomware varieert, maar kan onmiddellijke kosten omvatten voor forensisch onderzoek, onderhandelingen, losgeld, onderbreking van de bedrijfsvoering, herstelinspanningen, naleving van regelgeving en herstel. De lijst van wat doorgaans niet gedekt is, kan schade aan intellectuele eigendom, reputatie en bedrijfspotentieel omvatten.

Zelfs als het gedekt is, kan er een maximum zijn aan het bedrag dat een verzekeraar zal betalen voor losgeld. Bovendien, net als bij het eigen risico van een zorgverzekering, komen verzekerden vaak van tevoren overeen om een deel van het losgeld te betalen in ruil voor lagere tarieven.

Verzekeringsmaatschappijen vragen ook meer gedetailleerde informatie over de beveiligingscontroles en -procedures van hun klanten, audits, penetratietests, back-ups, bedrijfscontinuïteitsplannen, risicobeheer door derden en meer. Hoe beter deze zijn, hoe lager uw tarieven kunnen zijn en hoe groter de kans dat u uw claim kunt innen. Verzekeraars volgen ook threat intelligence feeds en voeren hun eigen scans van kwetsbaarheden op het internet uit.

Risico's op het gebied van regelgeving hebben verdere gevolgen voor cyberverzekeringen

Een grote verzekeraar kondigde in mei aan de dekking van ransomware-betalingen te schrappen voor nieuwe polishouders in Frankrijk, deels vanwege het debat daar over de rechtmatigheid van ransomware-betalingen. [7] Wetgevers in ten minste drie Amerikaanse staten hebben ook voorgesteld om ransomware-betalingen te verbieden. Maar veel politieke en industriële leiders hebben zich uitgesproken tegen een dergelijke maatregel, omdat het een existentiële bedreiging vormt voor ransomware-slachtoffers.

Zes op de tien organisaties zeggen losgeld te betalen. [8] Vanuit het perspectief van slachtoffers en verzekeraars kan het betalen van losgeld minder kosten dan de kosten van bedrijfsonderbreking en andere schade. Beveiligings- en handhavingsinstanties wijzen er echter op dat het geld vaak wordt gebruikt om toekomstige ransomware-aanvallen te financieren.

Bovendien hebben overheidsinstanties zoals het U.S. Treasury Department's Office of Foreign Assets Control gewaarschuwd dat het betalen van losgeld in strijd kan zijn met hun regels als het geld naar gesanctioneerde personen gaat. Eén analyse berekende dat 15% van de ransomwarebetalingen van vorig jaar een risico op sancties inhielden. [9]

In de afgelopen maanden hebben grote ransomware-aanvallen ook geleid tot oproepen om het melden van incidenten aan de autoriteiten verplicht te stellen . En het Amerikaanse ministerie van Binnenlandse Veiligheid (DHS) heeft twee richtlijnen uitgevaardigd die eigenaars en exploitanten van kritieke infrastructuur verplichten specifieke maatregelen te nemen om ransomware-aanvallen tegen te gaan.

Sommigen zien deze ontwikkelingen als een teken dat minimumbeveiligingsnormen kunnen gaan woekeren. "Helaas zijn organisaties vaak terughoudend om te investeren in cyberbeveiliging, tenzij de wet dat voorschrijft. Daarom moet regelgeving als waarschijnlijk onvermijdelijk worden beschouwd", aldus Carl Wearn, hoofd Risk & Resilience, E-Crime & Cyber Investigation bij Mimecast.

De onzekerheid die door deze discussies ontstaat, vergroot de regelgevingsrisico's voor verzekeraars, die al toenamen voordat ransomware oplaaide. De toename van privacyregelgeving in de afgelopen jaren is een voorbeeld dat ook van toepassing is op ransomware, aangezien zoveel persoonlijke informatie wordt versleuteld en/of gestolen bij een ransomware-aanval. Organisaties die niet genoeg doen om die gegevens te beschermen, kunnen worden bestraft op grond van regels zoals de Californische Consumer Privacy Act.

Verzekeraars versterken veiligheidsmanagement

Verzekeringsmaatschappijen hebben hun dienstverlening aan cyberpolishouders uitgebreid om hun eigen blootstelling aan risico's te verminderen door klanten te helpen hun beveiliging te verbeteren. Gratis of in prijs verlaagde diensten voor de preventie en beperking van cyberrisico's kunnen het volgende omvatten:

• Zelfevaluatie-instrumenten
• Opleiding van werknemers
• Incident response planning
• Tafeloefeningen
• Hulp bij naleving
• Partnerschappen met technologiebedrijven
• Beveiligingswaarschuwingen
• Waarschuwingen van regelgevende instanties

Onlangs hebben zeven cyberverzekeraars een samenwerkingsverband gevormd om bedreigingen en beste praktijken te verzamelen en te analyseren, samen te werken met autoriteiten op het gebied van ransomware en de beperking van cyberrisico's in de hele markt te verbeteren. [10] "De cyberverzekeringsmarkt groeit uit tot een geheel van basiscontroles als voorwaarde voor verzekerbaarheid", aldus de Ransomware Task Force.

De geschiedenis van de sector met dergelijke eisen en stimulansen is succesvol gebleken bij het leggen van de lat voor brandveiligheid en andere risico's. "In elk geval heeft de verzekeringssector risicobeheerpraktijken en -technologieën geïdentificeerd en ondersteund die de curve hebben omgebogen en een aanzienlijk risico hebben verminderd, tot wederzijds voordeel van de verzekerde en de verzekeraar," schreef de taskforce.

De kern van de zaak

Ransomware maakt het moeilijker om een cyberverzekering af te sluiten en drijft de tarieven op, zonder dat het einde in zicht is. Maar verzekeraars reageren ook met strategieën om klanten te helpen aanvallers af te weren.

[1] " Verzekeraars moeten aanpak van 'grimmige' cyberverzekeringsmarkt volledig heroverwegen ," Insurance Journal

[2] " Coalition Releases Cyber Insurance Claims Report Detailing Increased Ransomware Demands in 2021 ," Coalition

[3] " Cyber Security Breaches Survey 2021 ," UK Department for Digital, Culture, Media & Sport

[4] " RTF-verslag: Combatting Ransomware ," Institute for Security + Technology

[5] " "Global Cyber Reinsurance Rates Soar by as much as 40% During July Renewals" ," Insurance Journal

[6] " 2021 Cyber Insurance Market Conditions Report ," Gallagher

[7] " Frankrijks grootste verzekeraar zal betalingen voor ransomware niet langer dekken ," CPO Magazine

[8] " Ransomware: Te veel bedrijven zijn nog steeds bereid om te betalen als ze worden aangevallen ," ZDNet

[9] " 15% van alle in 2020 gedane betalingen voor ransomware bracht een risico op overtreding van sancties met zich mee ," Chainalysis

[10] " Consortium van toonaangevende cyberverzekeraars kondigt de lancering van CyberAcuView aan ," CyberAcuView