بیمه سایبری و مزایایش

بیمه سایبری یک محصول بیمه تخصصی است که برای محافظت از مشاغل در برابر خطرات مبتنی بر اینترنت و به طور کلی از خطرات مربوط به زیرساخت‌ها و فعالیت‌های فناوری اطلاعات در نظر گرفته شده است. خطراتی از این دست معمولاً از بیمه‌های مسئولیت عمومی تجاری سنتی مستثنی هستند یا حداقل به طور خاص در محصولات بیمه سنتی تعریف نشده‌اند. پوشش ارائه شده توسط بیمه‌های سایبری ممکن است شامل پوشش اشخاص ثالث و اول در برابر خساراتی مانند تخریب داده‌ها، اخاذی، سرقت، هک و حملات انکار سرویس؛ پوشش مسئولیت جبران خسارت شرکت‌ها برای خسارات وارده به دیگران ناشی از خطاها و حذفیات، عدم محافظت از داده‌ها یا افترا؛ و سایر مزایا از جمله ممیزی امنیتی منظم، روابط عمومی پس از حادثه و هزینه‌های تحقیقاتی و صندوق‌های پاداش کیفری باشد.

مزایا

از آنجا که بازار بیمه سایبری در بسیاری از کشورها در مقایسه با سایر محصولات بیمه نسبتاً کوچک است، تعیین تأثیر کلی آن بر تهدیدات سایبری نوظهور دشوار است. از آنجایی که تأثیر تهدیدات سایبری بر افراد و مشاغل در مقایسه با دامنه محافظت ارائه شده توسط محصولات بیمه نیز نسبتاً گسترده است، شرکت‌های بیمه به توسعه خدمات خود ادامه می‌دهند. بیمه سایبری علاوه بر بهبود مستقیم امنیت، در صورت وقوع نقض امنیتی در مقیاس بزرگ نیز مفید است. بیمه یک مکانیسم تأمین مالی روان برای بازیابی از ضررهای بزرگ فراهم می‌کند و به کسب‌وکارها کمک می‌کند تا به حالت عادی برگردند و نیاز به کمک دولت را کاهش می‌دهد.

به عنوان یک مزیت جانبی، بسیاری از بیمه‌های سایبری، نهادهایی را که سعی در تهیه بیمه‌نامه‌های سایبری دارند، ملزم به شرکت در ممیزی امنیت فناوری اطلاعات قبل از الزام شرکت بیمه به صدور بیمه‌نامه می‌کنند. این امر به شرکت‌ها کمک می‌کند تا آسیب‌پذیری‌های فعلی خود را تعیین کنند و به شرکت بیمه اجازه می‌دهد تا ریسکی را که با ارائه بیمه‌نامه به نهاد متحمل می‌شوند، ارزیابی کند. با تکمیل ممیزی امنیت فناوری اطلاعات، نهادی که بیمه‌نامه را تهیه می‌کند، در برخی موارد، موظف است قبل از تهیه بیمه‌نامه سایبری، بهبودهای لازم را در آسیب‌پذیری‌های امنیت فناوری اطلاعات خود ایجاد کند. این امر به نوبه خود به کاهش خطر جرایم سایبری علیه شرکت تهیه‌کننده بیمه سایبری کمک می‌کند.

در نهایت، بیمه اجازه می‌دهد تا خطرات امنیت سایبری به طور عادلانه توزیع شوند و هزینه حق بیمه متناسب با میزان ضرر مورد انتظار از چنین خطراتی باشد. این امر از تمرکز بالقوه خطرناک ریسک جلوگیری می‌کند و در عین حال از سوءاستفاده نیز جلوگیری می‌کند.

تاریخچه

طبق تحقیقات ژوزفین ولف در مورد تاریخچه بیمه سایبری، ریشه‌های آن به کنوانسیون انجمن بین‌المللی مدیریت ریسک در آوریل 1997 برمی‌گردد که در آن استیون هاس از اولین محصول بیمه سایبری، شامل پوشش‌های شخص ثالث و اول، رونمایی کرد. هاس برای اولین بار چند سال قبل مفهوم بیمه سایبری را مطرح کرد و بارها در مورد آن با همکاران مختلف خود در صنعت بحث کرده بود، اما این رویداد در سال 1997 نقطه عطفی بود که اولین بیمه‌نامه سایبری و پلتفرم بیمه‌گری در واقع راه‌اندازی شدند. این رویداد منجر به ایجاد اولین بیمه‌نامه‌ای شد که برای تمرکز بر خطرات تجارت اینترنتی طراحی شده بود، که بیمه‌نامه مسئولیت امنیت اینترنت (ISL) بود که توسط هاس توسعه داده شد و توسط AIG بیمه‌گری شد. تقریباً در همین زمان، در سال 1999، دیوید والش CFC Underwriting را در بریتانیا تأسیس کرد، شرکتی که فضای سایبری را به عنوان یکی از حوزه‌های اصلی تمرکز خود در نظر می‌گیرد. کریس کاترل تقریباً در همان زمان Safeonline را تأسیس کرد که به زودی به یکی دیگر از بازیگران مهم در فضای بیمه سایبری تبدیل شد.  جلسه اولیه بین هاسه و 20 همکار صنعتی در هاوایی اکنون معمولاً به عنوان "نقض در ساحل" شناخته می‌شود و لحظه‌ای محوری در نظر گرفته می‌شود که در آن بیمه سایبری برای اولین بار به رسمیت شناخته شد و مورد تجلیل قرار گرفت. با این حال، پس از یک حادثه بدافزاری قابل توجه در سال 2017، رکیت بنکیزر اطلاعاتی در مورد میزان تأثیر حمله سایبری بر عملکرد مالی منتشر کرد و برخی از تحلیلگران را به این باور رساند که روند به سمت شفافیت بیشتر شرکت‌ها در مورد داده‌های حوادث سایبری است. خرید بیمه سایبری به دلیل افزایش حملات مبتنی بر اینترنت، مانند حملات باج‌افزاری، افزایش یافته است. دفتر پاسخگویی دولت اعلام کرد مشتریان بیمه در حال انتخاب پوشش سایبری هستند. از 26٪ در سال 2016 به 47٪ در سال 2020. در همین زمان، شرکت‌های بیمه ایالات متحده شاهد دو برابر شدن هزینه‌های حملات سایبری بین سال‌های 2016 تا 2019 بودند. در نتیجه، حق بیمه نیز شاهد افزایش قابل توجهی بود. نیاز فعلی یک حوزه کلیدی برای مدیریت ریسک، تعیین ریسک قابل قبول برای هر سازمان یا «امنیت معقول» برای محیط کاری خاص آنها است. عمل به «وظیفه مراقبت» به محافظت از همه طرف‌های ذینفع مانند مدیران، تنظیم‌کنندگان، قضات، عموم مردم که می‌توانند تحت تأثیر این خطرات قرار گیرند، کمک می‌کند. استاندارد تحلیل ریسک وظیفه مراقبت شیوه‌ها و اصولی را برای کمک به ایجاد تعادل بین انطباق، امنیت و کسب‌وکارها ارائه می‌دهد.

اهداف هنگام توسعه کنترل‌های امنیتی

قانون‌گذاری

در سال 2022، کنتاکی و مریلند قانون امنیت داده‌های بیمه را بر اساس قانون مدل امنیت داده‌های بیمه انجمن ملی کمیسرهای بیمه ("NAIC") (MDL-668) تصویب کردند که در مریلند از اول اکتبر 2023 لازم‌الاجرا می‌شود. لایحه 474 مجلس کنتاکی از اول ژانویه 2023 لازم‌الاجرا می‌شود.

مسائل موجود

در طول سال 2005، "نسل دوم" ادبیات بیمه سایبری با هدف مدیریت ریسک شبکه‌های سایبری فعلی ظهور کرد. نویسندگان چنین ادبیاتی، شکست بازار را با ویژگی‌های اساسی فناوری اطلاعات، به‌ویژه عدم تقارن اطلاعات ریسک همبسته بین بیمه‌گران و بیمه‌شدگان و وابستگی‌های متقابل، مرتبط می‌دانند.

به گفته ژوزفین ولف، بیمه سایبری «در مهار ضررهای امنیت سایبری بی‌اثر بوده است زیرا پرداخت باج‌های آنلاین را عادی می‌کند، در حالی که هدف امنیت سایبری برعکس است. جلوگیری از چنین پرداخت‌هایی برای کاهش سودآوری باج‌افزار لازم است.

ابهام در اصطلاحات

FM Global در سال 2019 یک نظرسنجی از مدیران ارشد مالی در شرکت‌هایی با گردش مالی بیش از 1 میلیارد دلار انجام داد. این نظرسنجی نشان داد که 71٪ از مدیران ارشد مالی معتقد بودند که ارائه دهنده بیمه آنها «بیشتر یا همه» ضررهایی را که شرکت آنها در یک حمله یا جرم امنیت سایبری متحمل می‌شود، پوشش می‌دهد. با این وجود، بسیاری از این مدیران ارشد مالی گزارش دادند که انتظار خساراتی مرتبط با حملات سایبری را دارند که تحت پوشش سیاست‌های معمول حمله سایبری نیستند. به طور خاص، 50٪ از مدیران ارشد مالی ذکر کردند که پس از یک حمله سایبری، کاهش ارزش برند شرکت خود را پیش‌بینی می‌کنند، در حالی که بیش از 30٪ انتظار کاهش درآمد را داشتند.

بندهای استثنای جنگ

مانند سایر بیمه‌نامه‌ها، بیمه سایبری معمولاً شامل یک بند استثنای جنگ است - که به صراحت خسارت ناشی از اقدامات جنگی را مستثنی می‌کند. در حالی که اکثر ادعاهای بیمه سایبری مربوط به رفتارهای مجرمانه ساده است، شرکت‌ها به طور فزاینده‌ای احتمالاً قربانی حملات سایبری توسط دولت‌ها یا سازمان‌های تروریستی می‌شوند. چه به طور خاص هدف باشند و چه صرفاً خسارات جانبی داشته باشند. پس از ایالات متحده و بریتانیا، دولت‌ها حمله نات‌پتیا را به عنوان یک حمله سایبری نظامی روسیه توصیف کردند. بیمه‌گران استدلال می‌کنند که چنین رویدادهایی را پوشش نمی‌دهند.

اوراق بهادار مرتبط با بیمه برای مدیریت ریسک سایبری

در یک تلاش دانشگاهی اخیر، محققان پال، مدنیک و سیگل از دانشکده مدیریت اسلون در موسسه فناوری ماساچوست اولین کسانی بودند که امکان‌سنجی اقتصادی بازارهای اوراق قرضه سایبری-CAT را تجزیه و تحلیل کردند. آنها از نظریه اقتصادی و علم داده برای پیشنهاد شرایطی استفاده کردند که تحت آن از نظر اقتصادی کارآمد است که بازارهای بیمه اتکایی ریسک را منتقل کنند. بدون وجود بازارهای اوراق قرضه CAT)، بازارهای اوراق قرضه CAT ریسک را منتقل کنند (در حضور بازارهای بیمه اتکایی) یا بازارهای خودبیمه در غیاب بازارهای بیمه اتکایی و اوراق قرضه  CATبرای پوشش ریسک سایبری باقیمانده.

تا سال ۲۰۱۹، میانگین هزینه بیمه مسئولیت سایبری در ایالات متحده برای پوشش مسئولیت ۱ میلیون دلاری، ۱۵۰۱ دلار در سال با فرانشیز ۱۰۰۰۰ دلار تخمین زده شده است. میانگین حق بیمه سالانه برای سقف مسئولیت سایبری ۵۰۰۰۰۰ دلار با فرانشیز ۵۰۰۰ دلار، ۱۱۴۶ دلار و میانگین حق بیمه سالانه برای سقف مسئولیت سایبری ۲۵۰۰۰۰ دلار با فرانشیز ۲۵۰۰ دلار، ۷۳۹ دلار بوده است. علاوه بر مکان، عوامل اصلی هزینه بیمه سایبری شامل نوع کسب و کار، تعداد تراکنش‌های کارت اعتباری/دبیت انجام شده و ذخیره اطلاعات شخصی حساس مانند تاریخ تولد و شماره‌های تأمین اجتماعی است.