Cyber resilience Né cyber security né risk management tradizionale
Cyber resilience Né cyber security né risk management tradizionale. Il report della Geneva Association Strengthening Cyber Resilience Through Insurance, spiega che la cyber resilience non coincide né con la cyber security né con il risk management tradizionale. Poiché la resilienza consiste nella capacità di un sistema di mantenere struttura e funzionalità di fronte a una perturbazione, facendo sì che la compromissione sia meno estesa possibile sia in termini di profondità del danno operativo sia in termini di durata dell’interruzione, al di là della possibilità di tornare allo stato precedente l’attacco può virare verso un nuovo equilibrio, divenendo fattore di trasformational change allorché lo stato precedente diventa insostenibile. Nel caso del cyber attack, significa che un’impresa non deve solo ripristinare ciò che è stato colpito, ma anche apprendere dall’incidente e modificare strutture, processi e controlli.
Nel contesto cyber, la resilienza comprende quindi le misure che un’impresa adotta per evitare l’incidente, ma anche quelle predisposte per assorbirlo e recuperare se l’incidente si verifica. Tra le misure preventive rientrano sistemi di intrusion detection e intrusion prevention, firewall, endpoint detection and response, vulnerability management, sistemi SIEM, formazione del personale e adozione di principi zero trust. Il fattore umano resta, comunque, decisivo dato che phishing, errori involontari, uso improprio intenzionale e credenziali compromesse incidono in modo significativo sulle violazioni.
Ancora, la preparazione pre-incidente va distinta dalla operational resilience. Se i controlli preventivi non bastano, conta la capacità dell’impresa di contenere l’evento, isolare le aree colpite, impedire la propagazione, utilizzare sistemi di backup, attivare piani di risposta e mobilitare risorse tecniche e finanziarie. Ma anche quando le capacità operative vengono ripristinate, possono restare danni post-incidente a livello di reputazione, perdita di fiducia, riduzione delle vendite, difficoltà di finanziamento, responsabilità verso terzi, costi legali, sanzioni o prescrizioni regolatorie. E dunque, la cyber resilience include anche la capacità dell’impresa di preservare valore, reputazione, continuità economica e sostenibilità nel lungo periodo.
La cyber insurance può rafforzare la resilienza delle imprese perché affronta il tema in maniera olistica. Al di là della liquidazione dei sinistri, tende a modificare il comportamento degli assicurati e ad organizzare i servizi prima e dopo l’incidente, evolvendo da puro meccanismo di trasferimento del rischio a strumento che aiuta le imprese a gestire e ridurre minacce e impatti.
Cybersecurity e assicurazione non sono strumenti alternativi, ma complementari, laddove l’investimento in sicurezza riduce frequenza e severità degli incidenti e l’assicurazione, attraverso underwriting, condizioni contrattuali, raccomandazioni e servizi, può orientare l’impresa verso controlli più efficaci. Per gli assicuratori esiste inoltre un interesse diretto a ridurre le perdite degli assicurati, poiché minori sinistri significano migliore sostenibilità tecnica del portafoglio.
Secondo la logica della cyber insurance-as-a-service, le moderne polizze cyber includono servizi di advisory, assistenza legale, crisis management, monitoraggio, alert, supporto tecnico e incident response, rafforzando la value proposition dell’assicuratore ed estendendo operatività ed efficacia prima, durante e dopo l’incidente. In fase preventiva, gli assicuratori possono richiedere controlli minimi, penetration test, vulnerability scan, monitoraggio del dark web, endpoint protection, multifactor authentication, servizi SOCaaS (Security Operations Center as a Service, è un servizio esternalizzato di monitoraggio e gestione della sicurezza informatica) e raccomandazioni operative. Nel caso dei ransomware claim del 2024, molti attacchi hanno avuto origine da accessi non autorizzati tramite VPN o sistemi di remote desktop protocol. Se l’assicuratore individua l’esposizione di questi servizi, può avvertire preventivamente l’assicurato e ridurre il rischio di attacco. Il report valorizza anche strumenti come i bug bounty programmes (programmi con cui un’organizzazione invita hacker etici, ricercatori di sicurezza o specialisti esterni a cercare vulnerabilità nei propri sistemi informatici, applicazioni, siti web o infrastrutture digitali) e, in particolare, il Community Bugtest sviluppato da Helvetia con GObugfree.
Nella fase successiva all’incidente, l’assicurazione organizza l’accesso a fornitori specializzati, quali forensic investigation, incident response firms, consulenti legali, comunicazione di crisi, pubbliche relazioni, supporto per notifiche e adempimenti regolatori. Spesso gli assicuratori mettono a disposizione panel di fornitori pre-approvati, con tariffe negoziate e procedure già note, cosa che può accelerare la gestione del sinistro e facilitare il ripristino operativo.
