In un recente webinar organizzato da Dimitrios Katsos per Okta, dedicato alla condivisione di conoscenze, un’assemblea selezionata di esperti nel settore delle assicurazioni per la cybersecurity si è trovata a dialogare sui dinamismi correnti e le prospettive future della loro disciplina. Tale incontro ha dato luogo a una serie di osservazioni ed esperienze che hanno fornito lo spunto per la stesura del presente articolo.
Il dibattito e le indagini condotte hanno messo in luce l’incredibile velocità con cui si sta modificando lo scenario delle assicurazioni per la cybersecurity. In particolare, si è notato come gli avvenimenti recenti – tra cui le significative violazioni di dati e l’avanzamento nella complessità delle minacce informatiche, così come l’inasprimento dei requisiti normativi (NIS 2 – ISO27001-27002) – abbiano condotto a notevoli cambiamenti quali l’inaspettato aumento dei premi assicurativi o, in alcuni casi, la difficoltà nel rinnovarli. Un ulteriore punto di attenzione si è rivelato essere il crescente interesse nei confronti delle misure di controllo per la sicurezza informatica.
Questo articolo intende dunque esplorare come i professionisti del settore IT e sicurezza, frequentemente indicati con il termine “tecnologi”, possono essere una risorsa preziosa per le aziende che si trovano ad affrontare queste sfide emergenti.
Il ruolo del “tecnologo” nelle fasi di valutazione della CSI
Nel percorso di valutazione delle assicurazioni per la cybersecurity, il “tecnologo” gioca un ruolo cruciale che può variare in base a diversi fattori come la complessità dell’entità aziendale, le sue dimensioni e il settore di appartenenza. Tuttavia, esiste un nucleo di attività comuni dove il loro apporto è non solo utile ma spesso indispensabile.
Per esemplificare, il contributo dei professionisti tecnologici è fondamentale nella fase di compilazione del questionario di assicurazione per la cybersecurity. Questo articolo si sofferma proprio su questo aspetto del processo. Di seguito sono riportati alcuni esempi di fasi tipiche e di compiti comuni che possono essere svolti dai tecnologi.
I questionari di assicurazione per la cybersecurity solitamente puntano a un insieme consolidato di controlli di sicurezza. Il diagramma allegato mostra i controlli di cybersecurity che sono più frequentemente richiesti in questi questionari.
Una delle fasi chiave in cui la tecnologia è quasi sempre impegnata è la compilazione del questionario CSI. In questo blog ci focalizzeremo su questa particolare fase.
La maggior parte dei questionari CSI tende a concentrarsi su un insieme standard di controlli di sicurezza. Il diagramma seguente illustra i controlli di cybersecurity più comuni che si possono trovare in un questionario CSI.
Dato che il focus di questo blog è sull’Identity and Access Management (IAM), l’attenzione verrà posta in particolar modo sulla gestione degli accessi e sull’autenticazione a più fattori (MFA). Questo metodo di approccio può però essere esteso a tutti gli altri controlli di sicurezza. Procedendo, verranno presentati alcuni esempi di domande tipiche che si possono incontrare in un questionario di assicurazione per la cybersecurity riguardante l’MFA.
Esempi di domande
Potete confermare l’utilizzo dell’autenticazione a più fattori (MFA) per:
- % delle connessioni di accesso remoto: _________ %
- % degli account di posta elettronica: _________ %
- % degli account privilegiati (accesso interno e remoto): _________ %
- Se ci sono eccezioni a quanto sopra, si prega di specificare l’entità di tali eccezioni e il motivo per cui sono state fatte:
Avete disabilitato il protocollo di desktop remoto (RDP)? Se no, avete implementato l’MFA su RDP?
In qualità di “tecnologi” che conoscono l’MFA, potreste essere sorpresi da quanto queste domande appaiano eccessivamente semplicistiche, il che in realtà mette in luce alcune delle sfide sottostanti al CSI.
Ecco le principali:
- Gli assicuratori tradizionali che cercano di espandersi nella cybersecurity non hanno l’esperienza, gli esperti o i dati necessari per farlo.
- La tecnologia, in particolare il software, si muove ed evolve molto più velocemente rispetto ai settori tradizionali in cui gli assicuratori hanno avuto successo.
Il risultato: Gli assicuratori non riescono a fare ciò che sanno fare meglio, ovvero raggiungere una profonda comprensione del rischio. Gli assicuratori devono investire nello sviluppo di una profonda comprensione dei rischi associati ai settori che servono. Ciò comporta un aggiornamento sulle tecnologie emergenti, sull’evoluzione delle minacce informatiche e sui cambiamenti normativi. Solo comprendendo i rischi specifici delle imprese, gli assicuratori possono valutare e sottoscrivere accuratamente polizze che offrano una copertura adeguata.
Continuiamo con l’esempio dell’MFA. Come appassionati di IAM, sappiamo che non tutti gli MFA sono uguali dal punto di vista del rischio di sicurezza. Questo articolo su Factor Assurance lo descrive bene. Sappiamo anche che l’MFA deve continuare a evolversi per contrastare le minacce in continua evoluzione. Ad esempio, Okta ha recentemente introdotto la Phishing-Resistant Multi-Factor Authentication per aiutare i nostri clienti a difendersi dagli attacchi di phishing socialmente più sofisticati.
In termini di valutazione del rischio, si potrebbe sostenere che l’adozione di una strategia MFA a più alta garanzia e l’utilizzo di autenticatori MFA moderni riducono significativamente il rischio e, di conseguenza, dovrebbero essere ricompensati con un premio migliore. In realtà, se oggi si facesse questo ragionamento, la maggior parte dei broker e dei fornitori di CSI probabilmente vi guarderebbe con aria assente.
Quindi, ora che abbiamo compreso le sfide, è il momento di preparare la vostra azienda al futuro. Ecco alcuni inviti all’azione.
Collaborate con la vostra azienda e aiutatela a trovare e intervistare broker e fornitori CSI specializzati in cybersecurity
Una delle raccomandazioni più semplici ma di maggior impatto per la vostra azienda è quella di consultare i broker CSI che hanno una forte conoscenza della tecnologia. Questi broker collaborano in genere con assicuratori specializzati in cybersecurity. Rivolgendovi a broker esperti di tecnologia, potrete beneficiare della loro esperienza approfondita nel collegare le discussioni su tecnologia e assicurazione. Inoltre, sono più inclini a negoziare sui controlli di sicurezza, fornendo indicazioni preziose su misura per le vostre esigenze specifiche e premi migliori in base alla postura della vostra organizzazione in materia di cybersecurity.
Una discussione sui controlli CSI è un’opportunità per discutere dei rischi, educare l’azienda e accedere ai finanziamenti
Utilizzate le discussioni sui controlli CSI per educare gli stakeholder interni e identificare le aree in cui è possibile investire per migliorare la posizione di sicurezza dell’organizzazione. Effettuando investimenti strategici nella sicurezza, è possibile migliorare la protezione complessiva e potenzialmente ottenere un valore migliore dalla copertura assicurativa. I risparmi ottenuti grazie al miglioramento delle condizioni assicurative possono essere reinvestiti nel rafforzamento degli strumenti di sicurezza e della postura di sicurezza complessiva.
Preparatevi ora a ciò che sta per accadere nel settore CSI
Tutto il lavoro svolto nelle due azioni precedenti vi sarà utile. Ecco cosa aspettarsi.
- È probabile che gli assicuratori implementino condizioni di copertura sempre più complesse, richiedendo alle organizzazioni di mostrare controlli di sicurezza più rigorosi. Spuntare semplicemente la casella per l’MFA potrebbe non essere più sufficiente per ottenere il miglior valore o la copertura assicurativa.
- Gli assicuratori potrebbero adottare tecniche avanzate di valutazione e quantificazione del rischio per comprendere più a fondo il profilo di rischio informatico di un’organizzazione. Questa valutazione influenzerà la fornitura della copertura e il costo associato.
- Gli assicuratori potrebbero stabilire partnership o imporre a terzi servizi di cybersecurity per integrare la copertura assicurativa.
In conclusione, i “tecnologi” giocano un ruolo fondamentale nel rafforzare le difese delle loro aziende e nel promuovere la resilienza attraverso una efficace gestione del rischio e protezione finanziaria. È imperativo che le aziende non solo valutino ma anche rivedano periodicamente la loro Cyber Security Insurance (CSI), adattandosi alle dinamiche mutevoli del mercato. L’IT e la sicurezza, pertanto, devono essere proattivi nel preparare l’azienda per il futuro, assicurandosi che sia attrezzata per sfruttare al meglio il valore e la copertura offerti dalla CSI.
Se questo articolo ha acceso in voi la curiosità o vi ha fornito nuove prospettive, non fermatevi qui. È il momento di agire: approfondite la vostra comprensione della CSI, valutate la vostra posizione attuale e iniziate a costruire quella robusta architettura di sicurezza che sarà la chiave per una protezione efficace e un assicurazione ottimizzata.
Per qualsiasi domanda o bisogno di chiarimenti, non esitate a contattarci. Siamo qui per aiutarvi a navigare in questo percorso complesso ma essenziale. Prendete l’iniziativa ora per un domani più sicuro e protetto.
