حساب بیمه سایبر: چرا حملات دارای هوش مصنوعی پوشش را می شکند (و آنچه بعد می آید)

این مقاله بخشی از شماره ویژه VentureBeat با عنوان “کتاب پخش تاب آوری سایبری: پیمایش در دوره جدید تهدیدها” است. اطلاعات بیشتر از این شماره ویژه را در اینجا بخوانید.

حملات سایبری امروز می تواند فلج کننده – و بسیار پرهزینه – برای شرکت های مدرن باشد. هکرها که مسلح به هوش مصنوعی هستند ، سریعتر از همیشه از آسیب پذیری ها سوء استفاده می کنند.

با این حال ، محصولات استاندارد بیمه تجاری مانند سیاست های مسئولیت عمومی یا حرفه ای (خطاها و حذفیات یا E&O) به طور معمول ضرر و زیان را در نتیجه نقض یا سایر حوادث مربوط به سایبری پوشش نمی دهند.

این امر باعث می شود بیمه امنیت سایبری در سال 2025 و بعد از آن به طور فزاینده ای بسیار مهم باشد ، به ویژه با تغییر روشهای هوش مصنوعی (و ساده سازی). بیمه نامه های خاص در زمینه امنیت سایبری طیف وسیعی از هزینه های ترمیم و تلاش برای بازیابی را برای کمک به شرکت ها محدود می کند ، سریعتر بازیابی می شود و بهداشت سایبری خود را بهبود می بخشد.

اما مانند هر نوع پوشش دیگر ، بیمه سایبری می تواند برای حرکت و پر از قانونی و حیاط پیچیده باشد. بیایید به اصول اولیه بپردازیم ، چرا این مهم است ، چه چیزی را جستجو کنیم و چه روندهایی را باید انتظار داشته باشیم که امسال به عنوان AI در مرحله مرکزی قرار می گیرد.

بنابراین بیمه سایبر چه چیزی را پوشش می دهد؟

به طور معمول ، سیاست های سایبری پوشش خسارت های شخص اول (ضرر مستقیم) و شخص ثالث (خارج از تجارت) را پوشش می دهد. پوشش عمومی شامل:

• وقفه های تجاری: درآمد از دست رفته هنگامی که حمله سیستم را آفلاین می کند.
• اصلاح حمله: پاسخ حادثه ، تحقیقات پزشکی قانونی یا تعمیرات سیستم.
• اطلاع رسانی مشتری و مدیریت اعتبار: هشدارهای خودکار در هنگام دسترسی به اطلاعات شخصی شخصی (PII) ممکن است دسترسی داشته باشد. نظارت بر اعتبار و نقض خطوط داغ ؛ کار روابط عمومی برای کمک به تعمیر برند ؛
• هزینه های حقوقی: دادخواست به عنوان نتیجه نقض (مانند دادخواستهایی که توسط مشتریان یا فروشندگان ارائه شده است) ، آنچه به عنوان “وظیفه دفاع” شناخته می شود.
• اقدام نظارتی: تحقیقاتی که نیاز به خدمات حقوقی و جریمه های احتمالی دارند.

در مورد باج افزار ، توجه به این نکته حائز اهمیت است که ، در حالی که ارائه دهندگان در گذشته پرداخت های پرداختی را تحت پوشش قرار داده اند ، بسیاری از آنها از این عمل حمایت می کنند زیرا هکرها خواستار بیشتر هستند و تنظیم کننده ها مورد بررسی قرار می گیرند. در بعضی موارد ، بیش از حد پرداخت ممکن است “محدود” باشد ، یا مشمول یک کلاه پرداخت باشد.

موسسه حقوقی GB&A ، توصیه می کند: “با افزایش حملات باج افزار اخیر در طی چند سال گذشته ، این محدوده های فرعی پایین تر و پایین تر می شوند ، به همین دلیل مهمتر از همیشه بررسی محدودیت های سیاست با دقت است.”

از طرف دیگر

باز هم ، مانند هر نوع بیمه دیگر ، استثنائی وجود دارد. به عنوان مثال ، از آنجا که حملات مهندسی اجتماعی مانند فیشینگ یا بوسیدن شامل دستکاری کاربر و خطای انسانی است ، بیمه گذاران اغلب ضررهای بعدی را پوشش نمی دهند (یا آنها پیشنهاد می کنند با هزینه دیگری این کار را انجام دهند). به همین ترتیب ، تهدیدهای خودی – هنگامی که اقدامات مخرب یا سهل انگاری کارمندان یک تجارت را در معرض دید قرار می دهد – به طور معمول تحت پوشش قرار نمی گیرند.

سوء استفاده از یک آسیب پذیری شناخته شده که این شرکت از آن خبر داشت اما برطرف نشده است ، غالباً از منطقه پوشش خارج می شود ، همانطور که خرابی های شبکه ناشی از سوء رفتار یا خطاهای دیگر (بر خلاف نقض همه جانبه) است.

توجه به این نکته حائز اهمیت است که برخی از بیمه گذاران حتی در نظر نمی گیرند که نقل قول ارائه دهند مگر اینکه یک شرکت اقدامات امنیتی قوی در دست داشته باشد-مانند قابلیت های اعتماد به نفس صفر ، کنترل احراز هویت چند عامل (MFA) ، تشخیص نقطه پایانی ، ارزیابی دقیق ریسک و برنامه های پاسخ به حادثه و برنامه های پاسخ به حادثه آموزش منظم آگاهی از امنیت.

برای کمک به کاهش حق بیمه سایبر ، کارشناسان به رهبران امنیتی توصیه می کنند تا اقدامات فعالانه ای را که سازمان برای کاهش ریسک سایبری انجام داده و چارچوب های استاندارد صنعت مانند NIST یا ISO 27001 را اتخاذ کند ، ارتباط برقرار کنند.

شرکت امنیتی Portnox خاطرنشان می کند: “برخی از بیمه گذاران حتی تخفیف هایی را ارائه می دهند یا حق بیمه را برای شرکت هایی که می توانند از این چارچوب ها پیروی کنند ، کاهش می دهند.” در مورد ارزیابی ریسک ، “بیمه گذاران اغلب این را فرصتی برای پایین آمدن حق بیمه می دانند ، به ویژه هنگامی که ارزیابی ها توسط فروشندگان شخص ثالث انجام می شود.”

حتماً چاپ خوب را بخوانید

مانند هر قرارداد بیمه ، محدودیت های سیاست را با دقت بررسی کنید ، GB & A توصیه می کند. سیاست ها باید شامل تعاریف گسترده ای از اخاذی و تهدیدات مهاجمان به:

• تغییر داده ، آسیب یا از بین بردن داده ها ، نرم افزار ، سخت افزار یا برنامه ها.
• دسترسی ، فروش ، افشای اطلاعات یا سوء استفاده ؛
• انجام تکذیب توزیع خدمات (DDOS).
• PHISH یا در غیر این صورت مشتریان و مشتریان اسپم ؛
• از طریق شبکه یا وب سایت یک شرکت ، کد مخرب را به اشخاص ثالث منتقل کنید.

خط مشی ها همچنین باید شامل تعاریف سیستم های رایانه ای خاص تحت پوشش (سخت افزار ، نرم افزار ، سیستم عامل ، سیستم عامل ها ، سیستم های مجازی و ماشین آلات ، دستگاه های بی سیم و هر چیز دیگری مرتبط با یک شبکه) باشد. درآمد از دست رفته تحت پوشش (هزینه های عملیاتی در حین ترمیم یا هزینه های استخدام حسابداران پزشکی قانونی یا سایر مشاوران). و ترمیم داده ها پوشش داده شده است (هزینه های بازآفرینی داده های آسیب دیده یا از دست رفته).

علاوه بر این ، GB & A تأکید می کند که سیاست ها باید صریحاً پوشش مربوط به هزینه های اخاذی را بیان کنند – مانند نوع ارز دیجیتال یا اموال تسلیم شده ، هزینه های تحقیق و ضررهای متحمل شده هنگام تلاش برای پرداخت.

این شرکت توصیه می کند: “صاحبان سیاست که خود را قربانی باج افزار می دانند باید قبل از مشورت با کارگزاران و بیمه گذاران مربوطه ، در انجام هرگونه پرداخت بسیار مراقب باشند.”

آنچه در سال 2024 در بیمه سایبر دیدیم – و آنچه ممکن است در سال 2025 انتظار داشته باشیم

سازش ایمیل تجاری (BEC) ، کلاهبرداری انتقال وجوه (FTF) و باج افزار مطالبات برتر گزارش شده در سال 2024 بود. 140 میلیون رکورد

با توجه به کارگزاری بیمه و شرکت مشاوره وودروف ساویر ، افراد تحت نظر پیش بینی می کنند که حق بیمه افزایش حق بیمه را پیش بینی می کنند. این شرکت خاطرنشان می کند که سازگارترین منطقه پوشش که نیاز به مذاکره در سال 2024 دارد ، جمع آوری اطلاعات شخصی بدون رضایت مناسب بود – و این احتمالاً همچنان در سال 2025 یک منطقه بسیار مورد بحث است.

همچنین ، انتظار می رود پوشش مداوم و گسترده برای CISO ها به دلیل بررسی دقیق کمیسیون اوراق بهادار و بورس اوراق بهادار (SEC)-به ویژه با توجه به شارژ برجسته آژانس از رئیس امنیت SolarWinds پس از هک بدنام این شرکت در اواخر سال 2020. همانطور که Woodruff Sawyer خاطرنشان کرد ، پوشش مسئولیت CISO را می توان در سیاست های سایبری و سیاست های مدیران و افسران (D&O) یافت. برخی از حامل ها همچنین برای پوشش مسئولیت شخصی CISOS پوشش مستقل ارائه می دهند.

علاوه بر این ، حامل ها مشتری خود را ملزم به داشتن یک برنامه مدیریت ریسک شخص ثالث قوی می کنند. این شامل الزامات مربوط به فروشندگان برای خرید خطاهای سایبر یا فناوری و بیمه (E&O) است و شواهدی از گواهینامه های امنیت سایبری ارائه می دهد.

Woodruff Sawyer تأکید می کند: “The CrowdStrike (قطع) در ژوئیه سال 2024 جدیدترین در یک رشته قابل توجه از حوادث بود که شرکت های فناوری را برای دسترسی یا اختلال در شبکه های مشتری خود هدف قرار می دادند. حامل های بیمه سایبر به دنبال مشتری هستند تا یک برنامه مدیریت ریسک شخص ثالث قوی داشته باشند. “