Ataki z zewnątrz na firmy skutkują najdroższymi stratami w zakresie cyberbezpieczeństwa, jednak to błędy pracowników i problemy techniczne są najczęstszym źródłem roszczeń – tak wynika z najnowszego raportu „Zarządzanie skutkami rosnącej liczby połączeń międzysieciowych – tendencje w cyberprzestrzeni”, opracowanego przez Allianz Global Corporate & Specialty (AGCS).
W badaniu przeanalizowano ponad 1700 roszczeń ubezpieczeniowych związanych z cyberbezpieczeństwem o łącznej wartości 660 mln EUR. Uwzględnione w badaniu dane dotyczą szkód zgłoszonych w latach 2015-2020 zarówno do AGCS a także innych ubezpieczycieli.
– Straty spowodowane incydentami, takimi jak rozproszone ataki typu „odmowa usługi” (DDoS) lub kampanie phishingowe i ransomware, stanowią obecnie znaczną większość jeśli chodzi o wartość roszczeń cybernetycznych. Jednak chociaż cyberprzestępczość pojawia się na pierwszych stronach gazet, codzienne awarie systemów, awarie IT i incydenty związane z błędami ludzkimi mogą również powodować problemy dla firm, nawet jeśli ich skutki finansowe nie są tak poważne. Dlatego pracodawcy i pracownicy muszą współpracować, aby podnosić świadomość i zwiększać cyberodporność firm – mówi Catharina Richter, dyrektor globalny Allianz Cyber Center of Competence, AGCS.
Liczba roszczeń z tytułu cyberbezpieczeństwa stale rośnie w ciągu ostatnich kilku lat - z 77 w 2016 r., kiedy cyber był stosunkowo nową linią ubezpieczeń, do 809 w 2019 r. Tylko w pierwszych trzech kwartałach 2020 roku AGCS odnotowało już 770 takich szkód. Ten stały wzrost odszkodowań był częściowo spowodowany wzrostem globalnego rynku cyberbezpieczeństwa, którego wartość szacuje się obecnie na 7 mld dol. (za Munich Re). Z raportu wynika także, że w ciągu ostatnich pięciu lat nastąpił 70-procentowy wzrost średniego kosztu (do 13 mld dol.) cyberprzestępczości dla organizacji oraz 60-procentowy wzrost średniej liczby naruszeń bezpieczeństwa.
Według raportu, najczęstszą przyczyną strat według wartości roszczeń były te wynikające z incydentów zewnętrznych, takich jak ataki DDoS czy kampanie phishingowe i malware/ ransomware (85 proc.). Drugą przyczyna wskazaną w zestawieniu były działania wewnętrzne (9 proc.) – które są rzadkie, ale mogą być bardzo kosztowne. Analizując przyczynę strat według liczby roszczeń, najwięcej (54 proc.) było tych związanych z przypadkowymi incydentami wewnętrznymi, m.in. błędy pracowników podczas wykonywania codziennych obowiązków, awarie IT, problemy z migracją systemów i oprogramowania lub utrata danych. Przerwy w prowadzeniu działalności (w tym koszty łagodzenia skutków i odpowiedzialność osób trzecich) to główny czynnik kosztowy powodujący straty cybernetyczne. Stanowi on około 60 proc. wartości wszystkich roszczeń uwzględnionych w raporcie. Na kolejnym miejscu w zestawieniu znalazły się koszty związane z postępowaniem w przypadku naruszenia danych.
Eksperci zauważają, że w kolejnych latach środowisko cyberzagrożeń będzie rosło. Firmy i ubezpieczyciele będą się mierzyć z szeregiem wyzwań, m.in. perspektywą droższych przerw w działalności, rosnącą częstotliwością incydentów związanych z oprogramowaniem ransomware, bardziej kosztownymi konsekwencjami większych naruszeń danych uwzględniających bardziej rygorystyczne przepisy i spory sądowe. Problemem staje się także znaczny wzrost pracy zdalnej spowodowany pandemią koronawirusa. Pracownicy ulokowani w swoich domach stwarzają cyberprzestępcom nowe możliwości uzyskania dostępu do sieci i poufnych informacji. Według doniesień, liczba incydentów związanych ze złośliwym oprogramowaniem i oprogramowaniem ransomware wzrosła o ponad jedną trzecią od początku 2020 r. Jednocześnie w dalszym ciągu obserwowane są oszustwa internetowe związane z koronawirusem i kampanie phishingowe dotyczące pandemii. I chociaż ekspozycja rośnie, nie można jeszcze z pełnym przekonaniem powiedzieć, że pandemia COVID-19 jest bezpośrednią przyczyną roszczeń cybernetycznych.
Incydenty związane z oprogramowaniem ransomware, które już teraz są częste, stają się coraz bardziej szkodliwe i w coraz większym stopniu wymierzone są w duże firmy za pomocą zaawansowanych ataków. W zeszłym roku na całym świecie zgłoszono prawie pół miliona incydentów związanych z oprogramowaniem ransomware, które kosztowały organizacje co najmniej 6,3 mld dol. w postaci żądań okupu. Szacuje się, że całkowite koszty związane z radzeniem sobie z tymi incydentami znacznie przekraczają 100 mld dol.
– Niezależnie od tego, czy jest to spowodowane oprogramowaniem ransomware, błędem ludzkim czy usterką techniczną, utrata krytycznych systemów lub danych może rzucić organizację na kolana w dzisiejszej cyfrowej gospodarce. Brak dostępu do danych przez dłuższy czas może mieć znaczący wpływ na przychody - na przykład, jeśli firma nie jest w stanie przyjmować zamówień – mówi Joerg Ahrens, globalny dyrektor ds. Roszczeń długoterminowych w AGCS.
Jednocześnie rosną koszty związane z radzeniem sobie z dużym wyciekiem danych, ponieważ systemy IT i zdarzenia cybernetyczne stają się bardziej złożone. Przepisy dotyczące prywatności danych, które zostały ostatnio zaostrzone w wielu krajach, są również kluczowym czynnikiem generującym koszty, podobnie jak rosnąca odpowiedzialność osób trzecich i perspektywa sporów zbiorowych. Tak zwane mega naruszenia danych (obejmujące ponad milion rekordów) są częstsze i droższe – obecnie kosztują średnio 50 mln dol., co oznacza wzrost o 20 proc. w stosunku do 2019 r.
