Historia o włamaniu i odszkodowaniu, czyli jak działają cyberubezpieczenia

Firma boi się incydentu komputerowego, więc z pomocą ubezpieczyciela wykupuje odpowiednią polisę. Do incydentu dochodzi – i to dwukrotnie. Firma chce uzyskać pełne odszkodowanie, lecz ubezpieczyciel odmawia. Kto ma rację?

Zarządzanie ryzykiem informacji to dobrze zbadany obszar. Jednak cyberubezpieczenia to dopiero formujący się rynek, na którym jeszcze nie ukształtowała się dobra praktyka i jego rozwój możemy obserwować przez pryzmat pojedynczych historii – takich jak ta poniżej.

Zawsze czytaj drobny druk

Papier przyjmie wszystko, dlatego warto czytać zapisy drobnym drukiem i te mniej istotne części dokumentu, o czym dosyć boleśnie przekonał się Narodowy Bank Blacksburg w Virginii. Instytucja zanotowała dwa wycieki danych, pod koniec 2016 oraz na początku 2017 roku.  Straty z tego tytułu zostały wycenione na prawie 2,5 miliona dolarów. Zarząd banku do momentu rozpoczęcia postępowania odszkodowawczego był optymistycznie nastawiony do sprawy – w końcu dzięki swoim doświadczeniom i analizie ryzyka postanowił wcześniej wykupić cyberubezpieczenie. To miało sprawić, że płynność finansowa banku nie powinna była zbytnio ucierpieć na tym zdarzeniu. Jednak rzeczywistość okazała się całkowicie inna…

Jak przebiegał atak na bank? W dosyć typowy sposób. Dobrze przygotowany phishing i nieuwaga pracownika. Atakujący przesłał fałszywą korespondencję do osób zatrudnionych w banku, a te, nieświadome zagrożenia, otworzyły spreparowany e-mail. Dzięki temu osoba z zewnątrz uzyskała dostęp do zasobów organizacji i tym samym mogła instalować złośliwe oprogramowanie oraz miała dostęp do danych klientów (nazw użytkowników i haseł), danych transakcji (danych kart debetowych/kredytowych) i informacji z bankomatów. Dzięki temu drobnemu incydentowi zostało wykradzionych prawie 600 tysięcy dolarów w 2016 roku oraz prawie 2 miliony dolarów w 2017 roku. Według oświadczenia banku między atakami zostały wdrożone dodatkowe zabezpieczenia, jednak hakerzy dobrze pozacierali ślady z pierwszego ataku i utrzymali swój dostęp do infrastruktury banku, co doprowadziło do drugiego incydentu. Słowa klucze w powyższym akapicie to karta, bankomat i transakcja.

Wydaje się, że jest to typowy przykład elektronicznego przestępstwa, które w polisie było ubezpieczone na osiem milionów dolarów. Nawet definicja zawarta w ogólnych warunkach ubezpieczenia mówi wprost:

Jednak zawsze istnieje jakieś „ale”, szczególnie w sektorze ubezpieczeń. Ubezpieczyciel, Everest National Insurance Co, ocenił incydent jako pojedyncze zdarzenie z udziałem kart debetowych/kredytowych i zaproponował wypłatę w wysokości 50 tysięcy dolarów odszkodowania, powołując się na dwa wyłączenia zapisane w umowie:

Teoretycznie wygląda to na cyberprzestępstwo, ale z drugiej strony dotyczy kart bankomatowych przez co granica między rodzajem zdarzenia jest bardzo rozmyta, a ubezpieczyciel próbuje wykorzystać ten argument, by obniżyć kwotę odszkodowania. Dodatkowym elementem historii jest to, że oszustwa związane z kartami bankomatowymi są przez ubezpieczycieli wyceniane dużo niżej ze względu na potencjalnie niskie straty (choć akurat to jest pojęciem względnym), a także dużą liczbę zabezpieczeń.

O ryzyku i ubezpieczeniach słów kilka

Wracając do momentu sprzed incydentu, na początek oceny realizacji procesu warto zastanowić się nad ryzykiem przetwarzania danych czy realizacji danej czynności. Stąd niezależnie od wdrożonych zabezpieczeń dobrą praktyką jest szacowanie ryzyka. Wytyczne dla takiej analizy można znaleźć w dedykowanej normie ISO 31000 System Zarządzania Ryzykiem. Czynność jest o tyle istotna, że pozwala przewidzieć potencjalne słabe punkty w łańcuchu bezpieczeństwa, a jednocześnie dokonać chłodnej oceny, co jeszcze można zrobić, by zminimalizować ryzyko strat. Przy okazji można stworzyć scenariusze, które należy wdrożyć w przypadku wpadki. W przypadku tych, które są dla nas na nieakceptowalnym poziomie, można rozważyć przeniesienie ryzyka. Tutaj z pomocą przychodzą firmy ubezpieczeniowe i cyberubezpieczenia.

W Polsce rynek cyberubezpieczeń jest dopiero w fazie rozwoju, jedynie kilka firm świadczy usługi z takiego zakresu – obejmują odpowiedzialność z tytułu np. naruszenia prywatności, bezpieczeństwa sieci, wymuszeń komputerowych, naruszenia danych czy zakłócenia działalności. W ogólnych warunkach ubezpieczenia jest szczegółowo opisany zakres, wraz z wyłączeniami – przykładowo:

Ponadto wszystkie takie ubezpieczenia posiadają wiele wyłączeń, gdyż dopiero po incydencie będzie można oszacować ostateczną wartość strat. Jest to o tyle zrozumiałe, że zdarzenie może pociągnąć za sobą straty na kilkanaście milionów złotych, a polisa została podpisana jedynie na kilka milionów. Jak można się przekonać z powyższej historii – teoria teorią, ale w praktyce wygląda to zupełnie inaczej. Czytajcie drobny druk, by kupić transfer ryzyka, którego potrzebujecie, a nie transfer ryzyka, który chce Wam sprzedać ubezpieczyciel.