Zagrożenia dla cyberbezpieczeństwa i implikacje dla ubezpieczeń cybernetycznych
O ile ostateczna skala trwającej obecnie inwazji terytorialnej Rosji na Ukrainę jest wciąż nieznana, cyberataki są już wykorzystywane do destabilizacji podmiotów ukraińskich, przy czym istnieje wysokie ryzyko rozprzestrzeniania się tych ataków na organizacje znajdujące się poza strefą wojny.
12 lutego Agencja Cyberbezpieczeństwa i Infrastruktury (CISA) wydała ostrzeżenie o zagrożeniu „Shields Up” w odpowiedzi na rosnące napięcie między Rosją a Ukrainą. W ostrzeżeniu zwrócono uwagę na kilka słabych punktów w zakresie bezpieczeństwa cybernetycznego, które mogą zostać wykorzystane przez państwa lub cyberprzestępców, oraz przedstawiono kroki, jakie organizacje mogą podjąć w celu zminimalizowania prawdopodobieństwa groźnego cyberataku i zapewnienia gotowości do reagowania, gdyby do niego doszło. Ponadto, nie dalej niż w zeszłym tygodniu FBI i Departament Bezpieczeństwa Wewnętrznego USA ostrzegły agencje rządowe, pracowników zajmujących się bezpieczeństwem cybernetycznym oraz operatorów infrastruktury krytycznej o możliwości ataków cybernetycznych na sieci ukraińskie i amerykańskie oraz o konieczności natychmiastowego zgłaszania wszelkich podejrzanych działań. Następnie, 20 lutego, w raporcie FBI wezwano amerykański sektor prywatny do przygotowania się na potencjalne cyberataki sponsorowane przez państwo rosyjskie. W raporcie stwierdzono, że rosyjskie podmioty „stosowały phishing i ataki cybernetyczne typu brute force, wykorzystując znane luki w zabezpieczeniach kont i sieci o niskim poziomie zabezpieczeń. W dalszej części raportu sprecyzowano, że celem ataków była różnorodna amerykańska i międzynarodowa infrastruktura krytyczna, w tym podmioty z sektora obronnego, opieki zdrowotnej i zdrowia publicznego, energetyki, telekomunikacji oraz obiekty rządowe. Poinformowano nawet, że 23 lutego kilka ukraińskich stron rządowych było wyłączonych w wyniku zmasowanego rozproszonego ataku typu DDoS (rozproszona odmowa usługi) oraz, że ucierpiało wiele banków. Chociaż źródło ataku nie zostało potwierdzone, podejrzewa się, że odpowiada za niego Rosja. Jest to pokłosie ataku z poprzedzającego tygodnia, w wyniku którego ucierpiały cztery rządowe strony internetowe. Rosja zaprzeczyła, jakoby odpowiadała za ten atak.
Pomimo znacznej niepewności co do rozwoju sytuacji, organizacje powinny mieć świadomość, że mogą stać się pośrednią ofiarą cyberataków a złośliwe oprogramowanie może rozprzestrzeniać się daleko poza zamierzone przez sprawców granice geograficzne lub organizacyjne. Potencjał ofensywny Rosji w dziedzinie cyberataków jest wysoki, a potencjalne incydenty mogą obejmować luki zero-day lub wysoce wyrafinowane metody ataku. W szczególności, destrukcyjne złośliwe oprogramowanie (takie jak Non Petya, które nieodwracalnie szyfruje dane) oraz ataki na łańcuch dostaw technologii (takie jak incydent Solarwinds) mogą powodować znaczące skutki finansowe, operacyjne oraz negatywnie wpływać na reputację organizacji. Aby sprostać kluczowym zagrożeniom wynikającym z tego otoczenia podwyższonego ryzyka, zalecamy organizacjom skupienie się na następujących priorytetach zarządzania ryzykiem cybernetycznym:
Większość, jeśli nie wszystkie, polisy ubezpieczeniowe dotyczące ryzyk cybernetycznych zawiera pewne wyłączenia dotyczące wojny. W obecnej sytuacji naturalne jest, że organizacje będą chciały zrozumieć, w jaki sposób zadziałają ich polisy cyber w przypadku szkód spowodowanych cyberatakami, co do których można podejrzewać, że zostały przeprowadzone przez państwo rosyjskie lub w jego imieniu.
Choć nie sposób udzielić prostej odpowiedzi na to pytanie, ponieważ wyłączenia dotyczące wojny mogą być różnie sformułowane, a ich interpretacja podlega prawu właściwemu dla danej umowy, z dużym prawdopodobieństwem można stwierdzić, że w przypadku podejrzeń jakiejkolwiek odpowiedzialności Rosji za cyberatak prowadzący do szkody objętej polisą, jej dostawca niemal na pewno bardzo uważnie przyjrzy się możliwości zastosowania wyłączenia dotyczącego wojny.
Uzyskanie zgody ubezpieczyciela na usunięcie wyłączenia wojennego z polisy cyber jest bardzo mało prawdopodobne z wielu powodów, w tym ze względu na potencjalne szkody systemowe związane z wojną. Istnieje jednak kilka ważnych kwestii, które należy wziąć pod uwagę przy ocenie potencjalnego zakresu wyłączenia dotyczącego wojny:
Zalecamy klientom dokonanie przeglądu ich polis od ryzyka cybernetycznego we współpracy z brokerem i omówienie potencjalnych opcji. Zespół FINEX działający w ramach WTW może zapewnić organizacjom dostosowane do ich potrzeb usługi konsultingowe, których celem jest dostosowanie zarządzania ryzykiem cybernetycznym do celów biznesowych i zapewnienie efektywnej kosztowo odporności na zagrożenia dla cyberbezpieczeństwa.
