การประกันภัยความเสี่ยงทางไซเบอร์: ทุกสิ่งที่คุณจำเป็นต้องรู้

การประกันภัยความเสี่ยงทางไซเบอร์เป็นประเด็นร้อน ด้วยการโจมตีทางไซเบอร์ที่มีค่าใช้จ่ายเพิ่มขึ้น โดยเฉพาะแคมเปญแรนซัมแวร์ องค์กรทุกขนาดในทุกภาคส่วนจึงกำลังพิจารณาซื้อนโยบาย แต่การประกันภัยความเสี่ยงทางไซเบอร์ให้คุณค่าอะไร และมันจะทิ้งช่องว่างอะไรไว้บ้าง บริษัทประกันมองหาอะไรเมื่อตัดสินใจว่าบริษัทมีคุณสมบัติสำหรับกรมธรรม์หรือไม่ และองค์กรของคุณจะทำอะไรได้บ้างที่ไม่เพียงแต่รับประกันว่าคุณมีคุณสมบัติ แต่ยังลดเบี้ยประกันภัยลงได้จริงหรือไม่

โดยพื้นฐานแล้ว การซื้อประกันภัยความเสี่ยงทางไซเบอร์เป็นการใช้งบประมาณด้านความปลอดภัยทางไซเบอร์ที่มีจำกัดของคุณได้ดีที่สุดจริงหรือ มาดำดิ่งกัน

การประกันภัยความเสี่ยงทางไซเบอร์คืออะไร?

การประกันภัยความเสี่ยงทางไซเบอร์เป็นวิธีการถ่ายโอนความเสี่ยงจากการโจมตีทางไซเบอร์ที่ประสบความสำเร็จหรือเหตุการณ์อื่น ๆ ที่สร้างความเสียหายให้กับสินทรัพย์หรือโครงสร้างพื้นฐานด้านไอทีของคุณ คล้ายกับประกันประเภทอื่นๆ: เมื่อคุณซื้อรถยนต์ กรมธรรม์ประกันภัยของเจ้าของบ้านหรือผู้เช่า คุณจะต้องจ่ายเงินล่วงหน้าเพื่อความอุ่นใจว่าหากรถของคุณถูกขโมย บ้านของคุณถูกไฟไหม้ หรืออพาร์ตเมนต์ของคุณถูกปล้น มันจะไม่ถือเป็นการสูญเสียครั้งใหญ่ บริษัทประกันของคุณจะจ่ายบางส่วนหรือทั้งหมดเพื่อทดแทนสิ่งที่คุณสูญเสียไป

ในทำนองเดียวกัน การประกันภัยความเสี่ยงทางไซเบอร์ช่วยลดความเสี่ยงขององค์กรจากการโจมตีทางไซเบอร์ที่ประสบความสำเร็จและภัยพิบัติอื่นๆ ตัวอย่าง ได้แก่ แรนซัมแวร์ที่เข้ารหัสข้อมูลธุรกิจของคุณบางส่วนหรือทั้งหมด ผู้เชี่ยวชาญด้านไอทีที่ไม่พอใจวางระเบิดลอจิกที่จะทำลายระบบธุรกิจหลักของคุณ และไฟไหม้หรือน้ำท่วมทำลายห้องเซิร์ฟเวอร์ของคุณ

ค่าใช้จ่ายของเหตุการณ์ดังกล่าวสามารถเพิ่มขึ้นได้อย่างรวดเร็ว อาจรวมถึง:

• ความเสียหายต่อทรัพย์สิน
• การกู้คืนข้อมูลและโครงสร้างพื้นฐาน
• ค่าใช้จ่ายในการขู่กรรโชก Ransomware
• นิติเวช
• การสูญเสียผลผลิต
• ต้นทุนที่เกี่ยวข้องกับการปฏิบัติตามข้อกำหนด
• ค่าใช้จ่ายในการดำเนินคดี
• การหยุดชะงักของการจัดหาและการจัดจำหน่าย
• ออเดอร์ลูกค้าไม่สำเร็จ
• อัตรากำไรขั้นต้นที่ลดลง
• ลูกค้ากำลังจะเปลี่ยนใจจากคุณ
• ความเสียหายต่อแบรนด์ยาวนาน

อย่างไรก็ตาม เช่นเดียวกับการประกันภัยประเภทอื่นๆ ค่าใช้จ่ายประเภทใดที่ครอบคลุมนั้นขึ้นอยู่กับรายละเอียดของกรมธรรม์ประกันภัยความเสี่ยงทางไซเบอร์เฉพาะที่คุณซื้อ สิ่งสำคัญคือต้องผ่านการพิมพ์แบบละเอียด!

คุณสมบัติที่จำเป็นในการได้รับกรมธรรม์ประกันภัยความเสี่ยงทางไซเบอร์มีอะไรบ้าง

เมื่อไม่นานมานี้ การประกันภัยความเสี่ยงทางไซเบอร์พร้อมให้บริการสำหรับองค์กรที่ต้องการซื้อกรมธรรม์ แท้จริงแล้ว นโยบายต่างๆ มักจะถูกตั้งราคาต่ำไปจนเกินไป เนื่องจากบริษัทจำนวนมากต้องการสร้างตัวเองในตลาด กลยุทธ์นี้น่าจะเป็นปัจจัยสำคัญต่อการเติบโตอย่างรวดเร็วของตลาด: ในปี 2563 บริษัทครึ่งหนึ่งที่ซื้อประกันภัยมีความคุ้มครองทางไซเบอร์ เพิ่มขึ้นจากหนึ่งในสี่ของบริษัทเมื่อสี่ปีก่อน

แต่ด้วยการโจมตีทางไซเบอร์ที่เพิ่มขึ้นทั้งในความถี่และความซับซ้อนในช่วงไม่กี่ปีที่ผ่านมา บริษัทประกันภัยหลายแห่งต้องจ่ายค่าสินไหมทดแทนจำนวนมหาศาล ด้วยเหตุนี้ บริษัทประกันภัยจึงมักกำหนดให้องค์กรต่างๆ มีการควบคุมความปลอดภัยบางประเภทเพื่อให้มีคุณสมบัติตามนโยบายการประกันความเสี่ยงทางไซเบอร์ ตัวอย่างเช่น ลูกค้าอาจต้องรับรองหรือพิสูจน์ว่า:

• รักษาสินค้าคงคลังที่ถูกต้องของบัญชีผู้ใช้ ผู้ดูแลระบบ และการบริการทั้งหมด
• ตรวจสอบบัญชีเหล่านั้นและสิทธิ์การเข้าถึงเป็นประจำ
• ควบคุมการเป็นสมาชิกในกลุ่มความปลอดภัยที่มีสิทธิพิเศษอย่างเข้มงวด
• ตรวจสอบและบันทึกกิจกรรมของบัญชีที่ได้รับสิทธิพิเศษ
• ตรวจสอบตัวบ่งชี้การประนีประนอม (IoCs) อย่างจริงจัง
• จัดทำเอกสารแผนการตอบสนองต่อเหตุการณ์
• มีเอกสารกลยุทธ์การสำรองข้อมูลและการกู้คืน

วิธีที่องค์กรต่างๆ สามารถลดเบี้ยประกันภัยได้

แม้ว่าการรักษาความปลอดภัยขั้นพื้นฐานบางอย่างอาจจำเป็นต้องมีเพื่อให้มีคุณสมบัติสำหรับกรมธรรม์ประกันภัยความเสี่ยงทางไซเบอร์ใดๆ ก็ตาม แต่การรักษาความปลอดภัยเกินขั้นต่ำเหล่านั้นสามารถช่วยให้องค์กรสามารถลดเบี้ยประกันภัยลงได้ รวมทั้งมีคุณสมบัติได้รับกรมธรรม์ที่ดีกว่าที่ให้ความคุ้มครองมากขึ้น หลักการคล้ายกับประกันประเภทอื่นๆ: คุณอาจได้รับส่วนลดประกันภัยรถยนต์โดยการติดตั้งอุปกรณ์ที่ติดตามความเร็วของคุณ และการอัพเกรดระบบล็อคและการติดตั้งกล้องวงจรปิดจะช่วยลดเบี้ยประกันบ้านของคุณได้

ด้วยการประกันภัยความเสี่ยงทางไซเบอร์ กลยุทธ์ที่ดีในการลดเบี้ยประกันของคุณอาจเกี่ยวข้องกับการก้าวไปไกลกว่าการควบคุมหลัก และแสดงให้เห็นถึงมาตรการรักษาความปลอดภัยที่เป็นผู้ใหญ่มากขึ้นโดยการลดความเสี่ยง ตัวอย่างเช่น องค์กรอาจสามารถลดเบี้ยประกันภัยได้หากพวกเขา:

• ตรวจสอบบัญชีทั้งหมดและสิทธิ์การเข้าถึงทุกไตรมาส แทนที่จะตรวจสอบเพียงปีละครั้ง บริษัทประกันภัยทราบดีว่าการบังคับใช้หลักการสิทธิพิเศษน้อยที่สุดอย่างเข้มงวดถือเป็นรากฐานสำคัญของความปลอดภัยทางไซเบอร์ เพราะมันจำกัดการเข้าถึงของมัลแวร์และความเสียหายที่อาจเกิดขึ้นจากฝ่ายตรงข้ามด้วยข้อมูลประจำตัวที่ถูกขโมยหรือบุคคลภายในที่เป็นอันตราย
• ไม่เพียงแค่สามารถระบุสมาชิกทั้งหมดของกลุ่มที่ได้รับสิทธิพิเศษได้ แต่ยังรักษาจำนวนบัญชีผู้ดูแลระบบให้เหลือน้อยที่สุดในเชิงรุกอีกด้วย แม้ว่าการโจมตีทางไซเบอร์หลายครั้งจะเริ่มต้นด้วยการประนีประนอมข้อมูลประจำตัวของผู้ใช้ทั่วไป แต่ผู้ไม่หวังดีจำเป็นต้องได้รับการยกระดับสิทธิ์ในการเคลื่อนย้ายจากด้านข้างและเข้าถึงระบบและข้อมูลที่ละเอียดอ่อน
• ระบุเส้นทางการโจมตีใน Active Directory ของคุณในเชิงรุกที่ฝ่ายตรงข้ามสามารถใช้เพื่อขยายสิทธิ์ของตนหรือแม้กระทั่งยึดการควบคุมโดเมน และระบุและบรรเทาจุดปิดกั้นที่พวกเขาแบ่งปันเพื่อลดความเสี่ยงอย่างมาก หลายองค์กรมีเส้นทางการโจมตีนับร้อยหรือนับพัน บริษัทประกันจะประทับใจเมื่อคุณสามารถแสดงให้เห็นว่าคุณได้ถอนรากถอนโคนแล้ว
• ติดตามการเปลี่ยนแปลงด้านความปลอดภัยทั้งหมดในสภาพแวดล้อมไอทีของคุณ ไม่ว่าจะเกิดขึ้นภายในองค์กรหรือในระบบคลาวด์ และแจ้งเตือนทีมรักษาความปลอดภัยของคุณเกี่ยวกับกิจกรรมที่น่าสงสัย เพื่อให้สามารถปิดการโจมตีได้ทันเวลาเพื่อลดความเสียหาย (และต้นทุน) ยิ่งไปกว่านั้น แสดงให้บริษัทประกันเห็นว่าคุณสามารถป้องกันไม่ให้การเปลี่ยนแปลงที่สำคัญเกิดขึ้นได้ตั้งแต่แรก ดังนั้นฝ่ายตรงข้ามจึงไม่สามารถเพิ่มตัวเองเข้าไปในกลุ่มที่ได้รับสิทธิพิเศษสูง เช่น ผู้ดูแลระบบโดเมน หรือทำลายองค์ประกอบสำคัญของนโยบายกลุ่มของคุณ
• ใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) MFA ช่วยลดความเสี่ยงจากรหัสผ่านที่อ่อนแอและถูกขโมยได้อย่างมาก ซึ่งเป็นวิธีหลักที่ผู้ไม่หวังดีจะเข้ามาตั้งหลักในเครือข่ายองค์กร นอกจากนี้ เมื่อใช้ MFA เป็นส่วนหนึ่งของโมเดลความปลอดภัย Zero Trust ที่กว้างขึ้น จะสามารถบล็อกผู้โจมตีที่อยู่ในระบบนิเวศไอทีไม่ให้สร้างความเสียหายให้กับระบบสำคัญและข้อมูลที่ละเอียดอ่อนได้
• สร้างกลยุทธ์การสำรองข้อมูลและการกู้คืนที่มีประสิทธิภาพซึ่งรวมถึงวัตถุประสงค์ด้านเวลาการกู้คืน (RTO) ที่เข้มงวด บริษัทประกันภัยทราบดีว่าการหยุดทำงานที่ยาวนานขึ้นส่งผลให้ต้นทุนเหตุการณ์เพิ่มขึ้นและส่งผลให้มีการจ่ายเงินด้วย
• สร้างการสำรองข้อมูลที่ซ้ำซ้อนและจัดเก็บไว้ในเซิร์ฟเวอร์ที่แข็งแกร่งซึ่งแยกได้ตามกฎของ IPSec นอกจากนี้ ให้ตรวจสอบการสำรองข้อมูลเหล่านั้นเป็นประจำเพื่อยืนยันความสมบูรณ์ การแสดงให้เห็นว่าองค์กรของคุณเตรียมพร้อมที่จะกู้คืนข้อมูลของตนเองแม้ในกรณีของการโจมตีด้วยแรนซัมแวร์ ช่วยลดความเสี่ยงให้กับบริษัทประกันภัย และจึงสามารถลดเบี้ยประกันของคุณได้
• ก้าวไปไกลกว่าการสำรองข้อมูลแบบเนทีฟซึ่งมีพื้นที่มากมายให้มัลแวร์ซ่อน และใช้โซลูชันการสำรองข้อมูล Active Directory เฉพาะที่มีตัวเลือกการสำรองข้อมูลที่หลากหลายแทน รวมถึงการสำรองข้อมูลที่ลดความเสี่ยงของการติดมัลแวร์ซ้ำในระหว่างกระบวนการกู้คืน

การประกันภัยความเสี่ยงทางไซเบอร์มีข้อเสียหรือไม่?

แม้ว่าการโอนความเสี่ยงไปยังบุคคลที่สาม เช่น กรมธรรม์ประกันภัยอาจดูเหมือนเป็นวิธีที่ดีในการลดความเสี่ยงนี้ แต่ก็มีข้อเสียที่สำคัญหลายประการที่ต้องพิจารณาในกรณีของการประกันภัยความเสี่ยงทางไซเบอร์

การประกันภัยความเสี่ยงทางไซเบอร์สามารถเพิ่มความเสี่ยงที่จะถูกโจมตีได้

แน่นอนว่า เป็นไปไม่ได้ที่จะทำการศึกษาแบบปกปิดสองด้านเกี่ยวกับความสัมพันธ์ระหว่างการประกันความเสี่ยงทางไซเบอร์และการโจมตีทางไซเบอร์ แต่มีหลักฐานว่าการมีกรมธรรม์ประกันภัยความเสี่ยงทางไซเบอร์สามารถเพิ่มความเสี่ยงที่จะถูกโจมตีทางไซเบอร์ได้ ผลการศึกษาชิ้นหนึ่งพบว่าองค์กรที่มีการประกันภัยทางไซเบอร์มีแนวโน้มที่จะโดนแรนซัมแวร์โจมตีมากกว่าองค์กรที่ไม่มีประกันภัยทางไซเบอร์: 77 เปอร์เซ็นต์ของผู้ที่มีการประกันภัยทางไซเบอร์ประสบกับการโจมตีด้วยแรนซัมแวร์ที่ประสบความสำเร็จอย่างน้อยหนึ่งครั้ง เทียบกับ 65 เปอร์เซ็นต์ขององค์กรที่ไม่มีประกันภัยทางไซเบอร์ นอกจากนี้ บริษัทประกันยังมีแนวโน้มที่จะถูกโจมตีหลายครั้งมากกว่าร้อยละ 70!

เหตุผลประการหนึ่งสำหรับการค้นพบเหล่านี้อาจเป็นเพราะอาชญากรไซเบอร์ชอบกำหนดเป้าหมายองค์กรที่มีการประกันภัยทางไซเบอร์ เพราะพวกเขาเชื่อว่าบริษัทประกันจะจ่ายค่าไถ่เพื่อเร่งกระบวนการกู้คืน เนื่องจากการลดเวลาหยุดทำงานสามารถลดต้นทุนของเหตุการณ์ได้อย่างมาก ดังนั้นการจ่ายเงินโดยรวม สำหรับการเคลมประกัน อันที่จริง การศึกษาเดียวกันพบว่าเกือบ 4 ใน 10 (39 เปอร์เซ็นต์) ของเหยื่อแรนซัมแวร์ที่มีประกันทางไซเบอร์จ่ายค่าไถ่ รายงานอีกฉบับพบว่ามีเพียง 15 เปอร์เซ็นต์ขององค์กรที่ไม่มีประกันภัยทางไซเบอร์ที่จ่ายค่าไถ่ แฮกเกอร์กำลังติดตามสถิติที่เผยแพร่เหล่านี้พร้อมกับอัตราความสำเร็จส่วนบุคคลอย่างไม่ต้องสงสัย

ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์เสนอหลักฐานเล็กๆ น้อยๆ ที่ให้บริบทเพิ่มเติม ที่ปรึกษาด้านความปลอดภัยทางไซเบอร์รายหนึ่งพบว่าแฮกเกอร์บางคนค้นหาระบบไอทีระหว่างการโจมตีทางไซเบอร์เพื่อเรียนรู้ว่าองค์กรมีประกันความเสี่ยงทางไซเบอร์อะไรบ้าง จากนั้นแสดงให้องค์กรเห็นว่าพวกเขาได้เปิดเผยนโยบายดังกล่าวเพื่อนำไปใช้ประโยชน์ ตัวอย่างเช่น ที่ปรึกษาด้านความปลอดภัยทางไซเบอร์รายอื่นรายงานว่าผู้โจมตีแรนซัมแวร์บางรายกำหนดขนาดของค่าไถ่ที่พวกเขาต้องการโดยอิงจากสิ่งที่นโยบายของเหยื่อบอกว่าบริษัทประกันจะคุ้มครอง

การประกันภัยความเสี่ยงทางไซเบอร์อาจมีข้อยกเว้นที่สำคัญ

ตามที่ระบุไว้ข้างต้น ค่าใช้จ่ายที่ครอบคลุมนั้นขึ้นอยู่กับกรมธรรม์ประกันภัยความเสี่ยงทางไซเบอร์ที่เฉพาะเจาะจง เช่นเดียวกับการเรียกร้องค่าสินไหมทดแทน รายละเอียดในเอกสารพิมพ์ละเอียดมีความสำคัญอย่างมาก! ยิ่งไปกว่านั้น สิ่งสำคัญคือต้องเข้าใจว่าอุตสาหกรรมประกันภัยทางไซเบอร์ยังคงมีการพัฒนา และขอบเขตของข้อยกเว้นด้านนโยบายกำลังถูกถกเถียงกันอย่างถึงพริกถึงขิงในศาล ต่อไปนี้เป็นข้อยกเว้นสำคัญบางประการที่ควรทราบ:

การกระทำก่อนหน้า

โดยทั่วไปกรมธรรม์ประกันภัยจะไม่มีผลย้อนหลัง คุณไม่สามารถซื้อกรมธรรม์ของเจ้าของบ้านได้ในวันรุ่งขึ้นหลังจากเกิดเพลิงไหม้หรือการโจรกรรม และคาดว่าจะครอบคลุมความสูญเสียเหล่านั้น ในทำนองเดียวกัน กรมธรรม์ประกันภัยความเสี่ยงทางไซเบอร์มักจะมีข้อยกเว้น "การกระทำก่อนหน้า" ซึ่งจะทำให้บริษัทประกันภัยไม่ต้องจ่ายค่าสินไหมทดแทนสำหรับกิจกรรมที่เกิดขึ้นก่อนที่จะออกกรมธรรม์

อย่างไรก็ตาม จำเป็นอย่างยิ่งที่จะต้องคำนึงถึงวิธีสำคัญที่ทำให้การเปรียบเทียบระหว่างประเภทของนโยบายไม่ชัดเจน: แม้ว่าเจ้าของบ้านจะรู้ได้อย่างแน่ชัดว่าพวกเขาเพิ่งประสบเหตุเพลิงไหม้หรือการลักขโมยเมื่อเร็วๆ นี้ แต่จริงๆ แล้วองค์กรต่างๆ ค่อนข้างจะไม่ทราบว่าเครือข่ายของตนได้ดำเนินการไปแล้ว ถูกละเมิดโดยนักแสดงที่เป็นอันตราย ตามรายงานของ IBM ปี 2022 เวลาเฉลี่ยในการตรวจจับและควบคุมการละเมิดคือ 277 วัน หรือประมาณ 9 เดือน แต่ผู้บุกรุกบางรายสามารถแอบเข้าไปในเครือข่ายได้นานกว่ามาก: การละเมิดข้อมูลสำคัญที่สตาร์วูด (ปัจจุบันเป็นส่วนหนึ่งของแมริออท) ไม่มีใครสังเกตเห็นเป็นเวลาสี่ปี!

กล่าวอีกนัยหนึ่ง องค์กรต่างๆ เผชิญกับความเสี่ยงที่สำคัญในการประสบกับเหตุการณ์ที่อาจเชื่อมโยงกับผู้บุกรุกที่อยู่ในเครือข่ายของตนอยู่แล้วเมื่อนโยบายมีผลใช้บังคับ และไม่มีความคุ้มครองเป็นศูนย์แม้จะมีเบี้ยประกันทั้งหมดที่พวกเขาจ่ายไปก็ตาม

ความล้มเหลวในการรักษามาตรฐาน

ตามที่ระบุไว้ก่อนหน้านี้ องค์กรต่างๆ มักจะต้องรับรองว่าพวกเขามีการควบคุมเฉพาะเพื่อป้องกันการโจมตีทางไซเบอร์และภัยพิบัติอื่นๆ นโยบายมีแนวโน้มที่จะรวมถึงข้อยกเว้น "ความล้มเหลวในการรักษามาตรฐาน" ซึ่งช่วยให้บริษัทประกันภัยปฏิเสธการจ่ายเงินค่าสินไหมทดแทนหากเหตุการณ์มีสาเหตุมาจากความล้มเหลวในการตรวจสอบให้แน่ใจว่าการควบคุมเหล่านั้นยังคงอยู่

ตัวอย่างเช่น หากมีการออกกรมธรรม์ให้กับองค์กรที่ได้รับการรับรองว่าใช้ระบบตรวจจับการบุกรุก (IDS) แล้วบริษัทนั้นประสบปัญหาการละเมิดที่เริ่มต้นในเครื่องที่ไม่ได้ติดตั้ง IDS บริษัทประกันภัยอาจสามารถ หลีกเลี่ยงการจ่ายเงินตามคำเรียกร้อง ในทำนองเดียวกัน นโยบายของคุณอาจต้องใช้การรับรองความถูกต้องด้วยหลายปัจจัย (MFA) หรือการเข้ารหัสในบางสถานการณ์

อย่างน้อยที่สุด ตรวจสอบให้แน่ใจว่าภาษาของข้อยกเว้นดังกล่าวไม่คลุมเครือ เพื่อที่คุณจะได้ทราบอย่างแน่ชัดว่าคุณจำเป็นต้องมีการควบคุมความปลอดภัยแบบใด เพื่อให้แน่ใจว่าคุณจะไม่ถูกปฏิเสธความคุ้มครองสำหรับการโจมตีทางไซเบอร์หรือเหตุการณ์ด้านความปลอดภัยอื่นๆ

ข้อจำกัดในการลงโทษการปฏิบัติตาม

อีกเหตุการณ์หนึ่ง เครือร้านอาหาร P.F. Chang’s China Bistro ประสบปัญหาการละเมิดข้อมูล โดยอาชญากรไซเบอร์ขโมยหมายเลขบัตรเครดิตของลูกค้า 60,000 หมายเลขและโพสต์ไว้บนอินเทอร์เน็ต ภายใต้มาตรฐาน PCI DSS นั้น Mastercard เรียกเก็บเงินมากกว่า 1.7 ล้านเหรียญสหรัฐในการประเมินผู้ประมวลผลบัตรเครดิตของบริษัท ซึ่ง P.F. ช้างจ่ายแล้ว แต่เมื่อบริษัทยื่นคำร้องสำหรับค่าใช้จ่ายเหล่านั้น บริษัทประกันปฏิเสธความคุ้มครองโดยพิจารณาจากข้อยกเว้นในกรมธรรม์ ซึ่งเป็นคำตัดสินที่ศาลยึดถือในท้ายที่สุด

ข้อกำหนดของ SEC สำหรับบริษัทที่มีการซื้อขายในตลาดหลักทรัพย์

ณ วันที่ 26 กรกฎาคม พ.ศ. 2566 สำนักงาน ก.ล.ต. ได้ทำการเปลี่ยนแปลงสำหรับบริษัทที่มีการซื้อขายหุ้นในตลาดหลักทรัพย์ให้รายงาน "เหตุการณ์ด้านความปลอดภัยทางไซเบอร์ที่พวกเขาพิจารณาว่ามีสาระสำคัญ และเพื่ออธิบายลักษณะที่มีสาระสำคัญของลักษณะ ขอบเขต และระยะเวลาของเหตุการณ์ ตลอดจนเนื้อหาของเหตุการณ์" ผลกระทบหรือผลกระทบอย่างมีนัยสำคัญต่อผู้จดทะเบียน ” เหตุการณ์เหล่านี้จะกลายเป็นความรู้สาธารณะเนื่องจากก่อให้เกิดความเสียหายต่อลูกค้า เช่นเดียวกับความโปร่งใสของห่วงโซ่อุปทาน สิ่งนี้จะยกระดับความสามารถของธุรกิจในการปกป้องคุณค่าของตนในสายตาของผู้ถือหุ้น

การกระทำสงคราม

ตัวอย่างเช่น ผู้นำด้านเภสัชภัณฑ์อย่าง Merck และบริษัทขนมยักษ์ใหญ่ Mondelez International เป็นหนึ่งในหลายบริษัทที่ได้รับความเสียหายร้ายแรงระหว่างการโจมตีทางไซเบอร์ NotPetya ทั่วโลกในปี 2560 อย่างไรก็ตาม บริษัทประกันของพวกเขาปฏิเสธที่จะจ่ายค่าสินไหมทดแทนสำหรับเหตุการณ์ดังกล่าว โดยกล่าวว่ามีการใช้มาตรา "การกระทำสงคราม" ในนโยบายของพวกเขา เนื่องจากตามที่รัฐบาลสหรัฐฯ ระบุ NotPetya ถูกกลุ่มที่ได้รับการสนับสนุนจากรัสเซียใช้ในการต่อสู้กับหน่วยงานของยูเครน

ผู้ถือกรมธรรม์ทั้งสองฟ้องร้องบริษัทประกันภัยของตน ในเดือนพฤษภาคมปี 2023 ศาลอุทธรณ์ของรัฐนิวเจอร์ซีย์ยึดถือคำตัดสินก่อนหน้านี้ที่ให้ Merck จ่ายเงิน 1.4 พันล้านดอลลาร์เพื่อช่วยชดเชยความสูญเสียจากการโจมตีทางไซเบอร์ และในเดือนพฤศจิกายน 2022 Mondelez ได้ยุติการต่อสู้อันยาวนานกับบริษัทประกันภัย รายละเอียดของข้อตกลงไม่ได้รับการเปิดเผย แต่บริษัทได้เรียกร้องค่าชดเชยสำหรับการสูญเสียมากกว่า 100 ล้านดอลลาร์

กรณีเหล่านี้จะส่งผลกระทบต่ออุตสาหกรรมประกันภัยความเสี่ยงทางไซเบอร์อย่างไรยังไม่ชัดเจน ในช่วงที่เกิดการโจมตีทางไซเบอร์ที่ NotPetya เมอร์คได้จัดทำนโยบายความเสี่ยงทุกประเภทมูลค่า 1.75 พันล้านดอลลาร์ ไม่ใช่นโยบายที่ออกแบบมาเพื่อความเสี่ยงทางไซเบอร์โดยเฉพาะ Mondelez ไม่ได้มีกรมธรรม์ประกันภัยไซเบอร์โดยเฉพาะเช่นกัน มีกรมธรรม์ประกันภัยทรัพย์สินที่ครอบคลุม "ความสูญเสียทางกายภาพหรือความเสียหายต่อข้อมูลอิเล็กทรอนิกส์ โปรแกรม หรือซอฟต์แวร์ รวมถึงการสูญเสียหรือความเสียหายทางกายภาพที่เกิดจากการใส่รหัสเครื่องหรือคำสั่งในทางที่ผิด ”

ถึงกระนั้นอุตสาหกรรมก็ตอบสนองแล้ว ตัวอย่างเช่น Lloyd’s of London มีผลบังคับใช้ในวันที่ 31 มีนาคม พ.ศ. 2566 กำหนดให้นโยบายการโจมตีทางไซเบอร์แบบสแตนด์อโลนทั้งหมดรวมข้อกำหนดที่ไม่รวมความรับผิดต่อความสูญเสียที่เกิดขึ้นจากการโจมตีทางไซเบอร์หรือสงครามที่ได้รับการสนับสนุนจากรัฐ (จะประกาศหรือไม่ก็ได้) สิ่งหนึ่งที่แน่นอนคือ องค์กรต่างๆ จะต้องระมัดระวังมากขึ้นในการตรวจสอบรายละเอียดทั้งหมดของกรมธรรม์ที่พวกเขาพิจารณาจัดซื้อ

เบี้ยประกันกำลังพุ่งสูงขึ้น

ข้อเสียเปรียบประการสุดท้ายของการประกันภัยความปลอดภัยทางไซเบอร์ที่ฉันจะพูดถึงคือวิธีที่ง่ายที่สุดในการทำความเข้าใจและระบุจำนวน: เบี้ยประกันกำลังเพิ่มสูงขึ้น การศึกษาชิ้นหนึ่งพบว่าเบี้ยประกันภัยโดยตรงเพิ่มขึ้น 50 เปอร์เซ็นต์ในปี 2565 บทความอื่นกล่าวถึงเพิ่มเติมโดยระบุว่านายหน้าประกันภัยระดับโลกรายหนึ่งกล่าวว่าต้นทุนของความคุ้มครองทางไซเบอร์เพิ่มขึ้นสองเท่าไม่ใช่แค่ในปี 2565 แต่ในสองปีก่อนหน้านั้นเช่นกัน และนายหน้าอีกรายหนึ่งก็ตรึงปี 2565 เพิ่มขึ้นไม่ร้อยละ 50 แต่ร้อยละ 80 บางองค์กรรายงานว่าจ่ายเงินมากถึง 1 ล้านเหรียญสหรัฐต่อปีสำหรับกรมธรรม์ของตน!

คำถามสำคัญ: การประกันภัยความเสี่ยงทางไซเบอร์เป็นแนวทางที่ดีที่สุดสำหรับงบประมาณด้านความปลอดภัยทางไซเบอร์ที่จำกัดหรือไม่?

อย่างไรก็ตาม ปัญหาหลักของการประกันภัยความเสี่ยงทางไซเบอร์ไม่ได้อยู่ที่ค่าใช้จ่ายหรือจำนวนเงินที่บริษัทประกันภัยจะจ่ายอย่างแน่นอน การประกันภัยความเสี่ยงทางไซเบอร์ไม่ได้เป็นเพียงการทดแทนความยืดหยุ่นทางไซเบอร์เท่านั้น

ไม่มีกรมธรรม์ประกันภัยใดที่สามารถกู้คืนข้อมูลของคุณได้

ไม่ว่ากรมธรรม์ของคุณจะมีราคาเท่าใดหรือคุณภาพของความคุ้มครองจะเป็นอย่างไร ไม่มีบริษัทประกันใดสามารถรับประกันได้ว่าคุณจะได้รับข้อมูลของคุณกลับคืนมาจริงๆ

เพื่อให้เห็นภาพ ลองย้อนกลับไปที่การเปรียบเทียบการประกันภัยของเจ้าของบ้านหรือผู้เช่า โดยทั่วไปนโยบายเหล่านี้ครอบคลุมค่าใช้จ่ายในการเปลี่ยนสิ่งของในที่พักอาศัย เช่น เสื้อผ้า เครื่องใช้ไฟฟ้า และเฟอร์นิเจอร์ ในกรณีส่วนใหญ่ นี่เป็นเรื่องปกติ เพราะคุณสามารถหาตู้เย็นหรือโซฟาที่คล้ายกับของที่ถูกขโมยหรือถูกทำลายได้อย่างง่ายดาย แน่นอนว่า มีข้อยกเว้น: เปลมรดกสืบทอดที่บรรพบุรุษของคุณชื่นชอบสร้างขึ้นและสืบทอดกันมาจากรุ่นสู่รุ่น และภาพถ่ายเก่าๆ ที่คุณไม่เคยมีมาก่อนในการแปลงเป็นดิจิทัล นโยบายของคุณไม่สามารถส่งคืนให้คุณได้

สิ่งสำคัญคือ: ในระบบนิเวศไอที สมบัติล้ำค่าเหล่านั้นไม่มีข้อยกเว้น พวกเขาเป็นกฎ แท้จริงแล้ว สภาพแวดล้อมด้านไอทีของคุณอัดแน่นไปด้วยข้อมูลทางธุรกิจที่ไม่สามารถถูกแทนที่ได้ ตั้งแต่รายละเอียดเกี่ยวกับลูกค้าและคู่ค้าของคุณ ทรัพย์สินทางปัญญา (IP) ไปจนถึงบันทึกทางการเงิน และอื่นๆ อีกมากมาย แม้ว่านโยบายของคุณจะทำให้คุณสามารถซื้อเซิร์ฟเวอร์ใหม่สำหรับศูนย์ข้อมูลของคุณได้ แต่ก็ไม่สามารถกู้คืนสิ่งที่อยู่ในนั้นได้

การวางแผนจ่ายค่าไถ่ไม่ใช่กลยุทธ์ที่มั่นคง

แต่จะเกิดอะไรขึ้นหากคุณสามารถซื้อกรมธรรม์ประกันภัยความเสี่ยงทางไซเบอร์ที่จะจ่ายค่าไถ่ในกรณีที่มีการโจมตีจากแรนซัมแวร์ได้? นั่นไม่พอเหรอ?

ในช่วงแรก ๆ ของการแพร่กระจายของแรนซัมแวร์ การวิจัยพบว่ามีองค์กรเพียงไม่กี่แห่งที่เลือกจ่ายค่าไถ่ที่ได้รับข้อมูลทั้งหมดกลับคืนมา ดังนั้น นี่จึงเป็นกลยุทธ์ที่ผิดอย่างชัดเจน เมื่อเร็วๆ นี้ ดูเหมือนว่าผู้ให้บริการแรนซัมแวร์ได้เรียนรู้ว่าหากพวกเขาต้องการรับเงินต่อไป พวกเขาจำเป็นต้องปฏิบัติตามคำสัญญาที่ให้องค์กรถอดรหัสข้อมูลของตนได้ ดังนั้น หากบริษัทประกันของคุณจ่ายค่าไถ่ คุณอาจโชคดี

แต่ก็ยังไม่ใช่กลยุทธ์ที่ใช้ได้ ประการหนึ่ง คุณกลายเป็นเป้าหมายที่น่าดึงดูดยิ่งขึ้นในทันที: การศึกษาชิ้นหนึ่งพบว่า 80 เปอร์เซ็นต์ของผู้ที่จ่ายเงินอย่างน่าตกใจตกเป็นเหยื่อของการโจมตีครั้งที่สอง บริษัทประกันของคุณซึ่งติดตามสถิติเหล่านี้อย่างกระตือรือร้นอย่างไม่ต้องสงสัย ไม่น่าจะยอมเสียเวลารับการชำระเงินครั้งที่สอง ดังนั้นคุณอาจพบว่าตัวเองจ่ายเงินจากกองทุนของคุณเองครั้งแล้วครั้งเล่า นอกจากนี้ รัฐบาลเริ่มบังคับใช้มาตรการคว่ำบาตรต่อการชำระเงินด้วยแรนซัมแวร์ ดังนั้นทีมกฎหมายของคุณจึงอาจปฏิเสธกลยุทธ์นี้

ในวงกว้าง แม้ว่าการโจมตีด้วยแรนซัมแวร์จะครองข่าวนี้ แต่ก็ไม่ใช่เพียงเหตุการณ์ทางไซเบอร์ประเภทเดียวที่คุณต้องวางแผน การโจมตีทางไซเบอร์บางอย่างมีจุดมุ่งหมายในการทำลายล้างมากกว่าการหาผลประโยชน์ทางการเงินโดยตรง: การโจมตีโดยรัฐชาติที่สร้างความเสียหายให้กับหลักประกัน (เช่นการโจมตีของ NotPetya ที่อธิบายไว้ข้างต้น) การโจมตีโดยพนักงานที่ไม่พอใจระหว่างทางออกไปนอกประตู การโจมตีแบบปฏิเสธการให้บริการ (DoS) โดยนักแฮ็กเกอร์ต่อต้าน องค์กรที่ต่อต้านอุดมการณ์ของตน และอื่นๆ ในกรณีเหล่านั้นทั้งหมด ไม่มีการเรียกค่าไถ่และไม่มีคีย์ถอดรหัสเพื่อนำข้อมูลของคุณกลับมา

การกู้คืนข้อมูลของคุณไม่ได้หมายถึงการกู้คืนการดำเนินงานของคุณ

มีปัญหาพื้นฐานที่ต้องจำไว้: “ข้อมูล” ที่ไม่สามารถถูกแทนที่ได้ในสภาพแวดล้อมของคุณขยายไปไกลกว่าเนื้อหาที่มีโครงสร้างและไม่มีโครงสร้างในระบบอีเมลและฐานข้อมูลของคุณ นอกจากนี้ยังมีซอฟต์แวร์ที่คุณติดตั้งและกำหนดค่าอย่างอุตสาหะเพื่อให้ทุกอย่างทำงานได้ โดยเฉพาะอย่างยิ่ง ประกอบด้วยตัวควบคุมโดเมน (DC) อันมีค่าของคุณ ไม่ใช่แค่แต่ละตัวแยกกัน แต่ทั้งหมดทำงานร่วมกันอย่างกลมกลืนเพื่อให้ผู้ใช้สามารถเข้าสู่ระบบและเข้าถึงทรัพยากรไอทีที่พวกเขาต้องการในการทำงาน

กล่าวอีกนัยหนึ่ง หาก Active Directory ไม่ทำงาน จะไม่มีใครสามารถใช้ฐานข้อมูลหรือเอกสารใดๆ ได้ แม้ว่าคุณจะจ่ายค่าไถ่และได้รับคีย์ถอดรหัสแล้วก็ตาม หากต้องการกลับไปสู่การเปรียบเทียบการประกันของเจ้าของบ้าน เป็นเรื่องดีถ้าคุณนำเฟอร์นิเจอร์ทั้งหมดคืนจากหัวขโมยได้ แต่จะไม่เกิดประโยชน์อะไรกับคุณมากนักหากพวกเขารื้อถอนหรือเผาบ้านของคุณ

ต้นทุนของการหยุดทำงานเพิ่มขึ้นอย่างรวดเร็ว ในการศึกษาผลกระทบทางเศรษฐกิจโดยรวมที่ Quest ได้รับมอบหมายจาก Forrester Consulting แต่ละชั่วโมงที่ AD ออฟไลน์จะถูกคำนวณจนทำให้สูญเสียรายได้ไป 730,000 ดอลลาร์ การวิจัยอื่นๆ พบว่า 40% ขององค์กรกล่าวว่าการหยุดทำงานหนึ่งชั่วโมงมีค่าใช้จ่าย 1 ล้านถึงมากกว่า 5 ล้านดอลลาร์ ในสถานการณ์กรณีที่เลวร้ายที่สุด ความสูญเสียอาจสูงถึง ต่อนาที หลายล้านดอลลาร์ โชคดีที่มีทางเลือกอื่นนอกเหนือจากการหวังว่ากรมธรรม์ประกันภัยทางไซเบอร์ของคุณจะครอบคลุมความสูญเสียของคุณหากเกิดภัยพิบัติ

แนวทางที่ดีกว่า: การลงทุนเพื่อการฟื้นฟูทางไซเบอร์ โดยมีหรือไม่มีการประกันความเสี่ยงทางไซเบอร์

มุ่งเน้นไปที่ความต่อเนื่องทางธุรกิจมากกว่าข้อมูล

องค์กรต่างๆ จำเป็นต้องขยายความคิดของตนจากความปลอดภัยทางไซเบอร์ไปสู่ความสามารถในการฟื้นตัวทางไซเบอร์ ท้ายที่สุดแล้ว เหตุการณ์ต่างๆ ไม่เพียงเป็นผลมาจากการโจมตีทางไซเบอร์เท่านั้น แต่ยังเป็นผลจากความยากลำบากในวงกว้างอีกด้วย ตัวอย่างเช่น ข้อผิดพลาดโดยผู้ดูแลระบบไอที ไฟฟ้าดับ และความล้มเหลวของอุปกรณ์ ยังสามารถนำไปสู่การหยุดชะงักของระบบไอทีหรือการหยุดทำงานที่ส่งผลต่อกระบวนการทางธุรกิจ จำเป็นอย่างยิ่งที่จะต้องสามารถลดความเสี่ยงของเหตุการณ์เหล่านั้นที่เกิดขึ้นตั้งแต่แรก ตรวจจับและตอบสนองต่อเหตุการณ์เหล่านั้นทันทีหากเกิดขึ้น และสามารถกู้คืนได้โดยเร็วที่สุดในสถานการณ์ที่เลวร้ายที่สุด

โดยเฉพาะอย่างยิ่ง สิ่งสำคัญคือต้องเปลี่ยนจากการคิดถึงการกู้คืนระบบโดยให้ความสำคัญกับข้อมูลเป็นหลัก และเข้าใจว่าการวัดความสำเร็จที่แท้จริงคือคุณสามารถกู้คืนการดำเนินธุรกิจได้เร็วแค่ไหน การประหยัดจากแนวทางดังกล่าวสามารถทำได้ค่อนข้างมาก การศึกษาผลกระทบทางเศรษฐกิจโดยรวมของ Forrester ที่อ้างถึงก่อนหน้านี้พบว่าโซลูชันการกู้คืนความเสียหายของ Quest จะช่วยประหยัดได้ 19.7 ล้านเหรียญสหรัฐในระยะเวลาสามปี โดยช่วยให้สามารถกู้คืนจากการโจมตีของแรนซัมแวร์ได้เร็วขึ้น

การลงทุนในความสามารถในการฟื้นตัวทางไซเบอร์สามารถช่วยให้คุณมีคุณสมบัติสำหรับการประกันภัยทางไซเบอร์ — หรือขจัดความจำเป็นในการประกันภัย

ข่าวดีก็คือแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยทางไซเบอร์แบบเดียวกัน ตั้งแต่การลดความเสี่ยงเชิงรุกไปจนถึงการตรวจจับภัยคุกคามไปจนถึงกลยุทธ์การกู้คืนความเสียหายที่แข็งแกร่ง สามารถช่วยให้คุณบรรลุเป้าหมายหลายรายการพร้อมกันได้ คุณสามารถช่วยให้องค์กรของคุณมีคุณสมบัติในการประกันความเสี่ยงทางไซเบอร์และลดต้นทุนกรมธรรม์ของคุณ ในขณะที่ลดความเสี่ยงที่คุณจะต้องยื่นคำร้องเลย นอกจากนี้ คุณยังสามารถช่วยรับประกันการปฏิบัติตามข้อกำหนดต่างๆ ของ GDPR, PCI DSS, HIPAA, FISMA และกฎระเบียบอื่นๆ มากมาย

ในความเป็นจริง การเสริมสร้างความยืดหยุ่นทางไซเบอร์ของคุณสามารถช่วยให้คุณขจัดความจำเป็นในการใช้จ่ายงบประมาณของคุณมากขึ้นเรื่อยๆ ไปกับการประกันความเสี่ยงด้านความปลอดภัยทางไซเบอร์ เนื่องจากเบี้ยประกันภัยยังคงเพิ่มขึ้นอย่างต่อเนื่องทั่วทั้งอุตสาหกรรม และการมุ่งเน้นที่ความสามารถในการฟื้นตัวทางไซเบอร์เป็นกลยุทธ์ที่มีคุณค่าอย่างยิ่ง หากคุณพบว่าการจัดทำนโยบายเป็นเรื่องยาก เนื่องจากคุณเคยประสบเหตุการณ์ต่างๆ ในอดีต หรือองค์กรของคุณเป็นภาคส่วนที่มีเป้าหมายสูง เช่น การดูแลสุขภาพหรือการเงิน

บทสรุป

ทุกองค์กรมีข้อจำกัดด้านงบประมาณด้านความปลอดภัยทางไซเบอร์ ทางเลือกหนึ่งคือเพียงใช้เงินอันมีค่าเหล่านั้นไปกับการประกันภัยทางไซเบอร์ อย่างไรก็ตาม หากคุณมีคุณสมบัติครบถ้วน การเรียกเก็บเงินมีแนวโน้มที่จะเริ่มต้นสูงและทวีคูณในแต่ละปี และนโยบายอาจไม่ครอบคลุมถึงเหตุการณ์ที่คุณได้รับด้วยซ้ำ

ทางเลือกที่ดีกว่าคือการลงทุนก่อนในการปรับปรุงกระบวนการและการควบคุมที่จะเพิ่มความยืดหยุ่นทางไซเบอร์ขององค์กรของคุณ ด้วยวิธีนี้ คุณสามารถลดความเสี่ยงที่จะประสบกับการละเมิดได้ตั้งแต่แรกและฟื้นตัวได้อย่างรวดเร็วเมื่อเกิดเหตุการณ์เลวร้ายขึ้น ขณะเดียวกันก็ช่วยให้คุณมีคุณสมบัติรับนโยบายที่ดีกว่าด้วยต้นทุนที่ต่ำกว่า หากคุณตัดสินใจว่ายังจำเป็นต้องใช้ หนึ่ง.