Assicurare il rischio cyber è utile, ma non basta. Il punto di Veeam

Le cyber insurance, le assicurazioni che coprono i danni derivanti da attacchi informatici e interruzione delle operazioni, non sono una novità: è dalla fine degli Anni '90, infatti, che esistono queste specifiche coperture. Come spiegano Dave Russell e Rick Vanover, rispettivamente Vice President of Enterprise Strategy e Senior Director Product Strategy di Veeam, "mentre molti dirigenti aziendali cercavano di comprendere le complessità del mondo digitale, sono nate le polizze assicurative per mitigare i rischi associati a Internet e proteggere le aziende dall'accesso non autorizzato ai sistemi e ai dati di un'organizzazione". Col tempo, queste formule assicurative si sono evolute, e oggi coprono un'ampia gamma di rischi, e includono il pagamento di eventuali riscatti, i danni derivanti dallo stop delle attività o da violazioni di dati.   

Il mercato della cyber insurance

Secondo un'analisi di Research And Market, il mercato della cyber insurance è destinato a crescere rapidamente, soprattutto nella regione Asia-Pacifico, con un tasso di crescita anno su anno (CAGR) del 35,5% fra il 2019 e il 2025. Allo stesso modo, però, cresceranno anche i costi, con un incremento stimato del 25% ogni anno. 

"Per quanto riguarda la copertura di prima parte, in genere copre i costi di indagini sull'incidente, la perdita di fatturato dovuta all'interruzione dell'attività, la valutazione del rischio per futuri incidenti informatici, il pagamento degli attacchi ransomware in base ai limiti di copertura e la notifica ai clienti interessati", spiega Veeam. "La copertura per responsabilità civile o informatica può essere acquistata per proteggere un'azienda nel caso in cui una terza parte faccia causa per danni derivanti da un incidente di cyberattacco. Questa copertura può coprire le spese legali, i risarcimenti e le multe per mancata conformità".

Se le aziende più strutturate hanno i mezzi e le risorse per comprendere la complessità di queste polizze e capire quali coperture sono le più adatte alle proprie esigenze, questo non è scontato nelle imprese più piccole, che potrebbero anche non avere le risorse per supportare i costi di queste polizze. Che, va ricordato, costituiscono solo una parte delle pratiche di sicurezza. 

Di conseguenza, pensare che coprire il rischio cyber tramite un'assicurazione permetta di risparmiare in soluzioni di sicurezza è un errore da non commettere e bisogna anche adottare le altre pratiche standard: crittografare i dati, formare il personale e, soprattutto, avere una buona politica di backup.

3-2-1-1-0: la strategie di backup più efficace

L'approccio ai backup considerato ideale segue la regola del 3-2-1-1-0, tre copie dei dati su due supporti diversi, di cui una fuori sede e un'altra offline, con air-gapped o immutabile e, infine, con un sistema di ripristino che non contenga errori. Perché "in questo modo si salvaguardano i dati e si garantisce che, nel caso in cui un'azienda vada offline, i dati possano essere ripristinati rapidamente con tempi di inattività minimi o nulli".

Questo molto spesso non accade e, secondo un'analisi di Veeam, la maggior parte delle imprese (82%) soffre ancora di quello che viene definito availability gap, non sono cioè in grado di ripristinare rapidamente eventuali dati persi o cifrati da ransomware. Un altro problema evidenziato da Veeam è relativo al gap di protezione, problema che affligge il 79% delle aziende e che è dovuto a una frequenza non ottimale dei backup. 

In definitiva, secondo Veeam "un backup solido è l'assicurazione di cui le organizzazioni hanno bisogno. L'assicurazione informatica può far parte di un piano generale, ma non è saggio affidarsi esclusivamente ad essa. Poiché il panorama tecnologico continua a progredire e a crescere, le aziende devono difendersi da sole dagli attacchi informatici".