Bedrijfsleven maakt zich op voor nieuwe generatie cyberrisico’s

10 september 2015 - Het bedrijfsleven moet zich opmaken voor een nieuwe generatie cyberrisico’s welke in vlot tempo evolueren en overgaan van de bekende gevaren zoals data-inbreuk, privacy zaken en reputatieschade naar operationele schade, bedrijfsonderbreking en zelfs potentiële catastrofale schades.

In een nieuw rapport – A Guide to Cyber Risk: Managing the impact of Increasing Interconnectivity – onderzoekt Allianz Global Corporate & Specialty (AGCS) de laatste trends op het gebied van cyberrisico’s en opkomende gevaren over de gehele wereld. Het cyberrisico is een grote en snelgroeiende bedreiging voor bedrijven, waarbij cybercriminaliteit de wereldeconomie zo’n 445 miljard dollar kost. ’s Werelds tien grootste economieën dragen al voor de helft bij aan dit bedrag.
"Net als vijftien jaar geleden zijn cyberaanvallen in het beginsel typisch het werk van hacktivisten, maar door de groeiende connectiviteit, globalisering en commercialisering van cybercrime is zowel de frequentie als de kracht van cyberaanvallen explosief toegenomen," zegt AGCS CEO Chris Fischer Hirs. "Cyberverzekering is geen vervanging voor solide IT-beveiliging maar creëert wel een tweede verdedigingslinie om cyberincidenten te voorkomen. 
AGCS ziet een toenemende vraag naar deze diensten en wij zijn bereid samen met onze klanten te werken aan het begrijpen van en het reageren op groeiende cyberrisico exposures.
 
Strengere regelgeving en nieuwe cybergevaren
Zowel een toenemend bewustzijn van de gevaren van cyberrisico’s als veranderende wetgeving zal de toekomstige vraag naar cyberverzekeringen snel doen groeien. Daar momenteel minder dan 10 procent van de ondernemingen een specifieke cyberverzekering heeft afgesloten, voorspelt AGCS dat het premievolume van cyberverzekeringen in de komende tien jaar zal groeien van twee miljard dollar naar meer dan twintig miljard per jaar, een samengesteld groeicijfer van meer dan twintig procent.
"In de Verenigde Staten is er al sprake van groei door regelgeving op het gebied van databescherming, terwijl de ontwikkeling in wetgeving en de toenemende aansprakelijkheid in de rest van de wereld nu pas een groei zal laten zien," zegt Nigel Pearson, wereldwijd verantwoordelijk voor cyberverzekeringen binnen AGCS. " Er is een algemene trend van een strenger wordend beleid met betrekking tot databescherming mede gesteund door de dreiging van aanzienlijke boetes in geval van inbreuk hierop." Hong Kong, Singapore en Australië behoren tot de landen waar men nieuwe wetten onderzoekt of waar deze reeds van kracht zijn. Zelfs wanneer het de Europese Unie niet lukt om het eens te worden over pan-Europese regels voor databescherming kan men alsnog strengere richtlijnen per land verwachten.
In het verleden werd de aandacht grotendeels gevestigd op de dreiging van data-inbreuk bij bedrijven en zorgen om privacy. De nieuwste generatie cyberrisico’s is echter complexer: Toekomstige dreiging komt van diefstal van intellectueel eigendom, cyber afpersing en de impact van bedrijfsonderbreking/-interruptie (BI) als gevolg van een cyberaanval of vanwege een operationeel of technisch mankement; een risico wat vaak wordt onderschat. "Het bewustzijn van BI risico’s en verzekeringen gerelateerd aan cyber en technologie is groeiende. Binnen vijf tot tien jaar zal BI worden gezien als een sleutelrisico en een belangrijk element in de wereld van cyberverzekeringen," zegt Georgi Pachov, cyber expert in het globale property underwriting team van AGCS. In het licht van cyber- en IT risico’s kan de BI dekking vrij ruim zijn en biedt deze mede dekking voor voor bedrijfsmatige IT computer systemen. Het kan echter ook worden uitgebreid naar industriële controle systemen (ICS) die worden gebruikt bij energiebedrijven of robots die worden gebruikt in fabrieken.
 
Connectiviteit creëert risico
De toenemende onderlinge verbondenheid van alledaagse apparaten en het groeiend vertrouwen op technologie en real-time data in privé- en bedrijfsmatige sfeer, bekend als "Internet of Things", creëren andere kwetsbaarheden. Sommige schattingen suggereren dat in 2020 een biljoen apparaten met elkaar verbonden kunnen zijn, terwijl tevens wordt voorspeld dat het aantal apparaten dat dagelijks gegevens zou kunnen uitwisselen op 50 miljard ligt. Een andere aandachtsgebied is ICS, aangezien een aantal van de nog actieve machines zijn ontworpen vóórdat cyber security een belangrijk agendapunt werd. Een aanval op een ICS kan resulteren in een fysieke schade zoals brand of explosie, maar ook BI.
 
Catastrofe gebeurtenis
Het vooruitzicht op catastrofale verliezen wordt steeds aannemelijker en hoewel er zich reeds een aantal zeer forse inbreuken op data heeft voorgedaan, is het nog lastig te voorspellen hoe zoiets er uit zal zien. Voorbeelden zijn een succesvolle aanval op de hoofdstructuur van het internet, een serieuze inbreuk op data of een netwerkstoring voor een cloud service provider. Daarnaast kan een grote cyberaanval bij een energie- of nutsbedrijf resulteren in aanzienlijke storingen, fysieke schade en zelfs het voortbestaan van de onderneming bedreigen.
 
Stand-alone dekking
Allianz voorspelt tevens dat de omvang van cyberverzekeringen verder ontwikkeld dient te worden om bredere en verdergaande dekking te bieden, bedrijfsonderbreking te adresseren en het hiaat tussen traditionele dekkingen en cyberverzekeringen te dichten. Daar cyber-uitsluitingen in brand- en aansprakelijkheidsverzekeringen steeds meer gemeengoed worden zullen stand-alone cyberverzekeringen zich verder moeten ontwikkelen tot voornaamste bron van een deugdelijke dekking. Er is een groeiende interesse van bedrijven actief in de telecommunicatie, retail, energie, nutsbedrijven en transport, maar ook van financiële instellingen.
Scholing – zowel op het gebied van kennis van zaken en risico’s als underwriting kennis – moet verbeterd worden als verzekeraars willen voldoen aan de groeiende vraag. In aanvulling hierop en in lijn met andere opkomende risico’s ervaren verzekeraars ondertussen uitdagingen rondom pricing, niet-geteste polisvoorwaarden, risicomodellering en -accumulatie.
 
Reageren op cyberrisico
Het AGCS rapport beschrijft de stappen die bedrijven kunnen nemen om het cyberrisico te adresseren. Verzekeren kan alleen een deel van de oplossing zijn met een begrijpelijke risicomanagement benadering wat de basis is voor cyberverdediging. "Als u eenmaal een cyberverzekering hebt afgesloten kunt u IT beveiliging niet negeren. De technologische, operationele en verzekeringstechnische aspecten van het risicomanagement gaan hand in hand," legt Jens Krickhan uit, expert cyber & fidelity bij AGCS Centraal- en Oost-Europa.
Cyberrisicomanagement is té complex om slechts voorbehouden te zijn aan een enkel individu of afdeling, dus raadt AGCS een zogeheten denktankbenadering aan om risico’s aan te pakken waarbij verschillende belanghebbenden uit het hele bedrijf samenwerken om kennis te delen.  
Op deze wijze kunnen verschillende invalshoeken worden belicht en alternatieve scenario’s in acht genomen: dit omvat wellicht ook het risico wat zich bijvoorbeeld voordoet bij bedrijfsontwikkelingen zoals fusies en overnames of het gebruik van de cloud of andere uitbestede activiteiten. Tot slot is de betrokkenheid van het gehéle bedrijf essentieel om de belangrijkste risico lopende bedrijfsmiddelen te identificeren en, het meest van belang, een deugdelijk crisis responseplan te ontwikkelen en te testen.

Doorsturen  |  Reageer  |  Nieuwsbrief