O mercado dos serviços cibernéticos está a crescer. No último ano, as violações de dados e os ciberataques aumentaram significativamente, pelo que se espera que a percentagem de seguros cibernéticos continue a aumentar nos próximos anos.
O seguro cibernético tem vindo a crescer à medida que as empresas têm visto a necessidade de protecção contra ataques que envolvem perdas financeiras, violações de segurança ou ataques cibernéticos. O mercado deverá atingir 20,4 mil milhões de dólares até 2025, com uma taxa de crescimento anual de 21,2%.
Embora o ciber-seguro esteja numa fase inicial, é um dos segmentos de crescimento mais rápido no sector, uma vez que os ataques representam um amplo risco à medida que surgem novas tecnologias. As violações de dados têm lugar diariamente, e estes seguros têm ferramentas avançadas para ajudar os segurados a proteger os seus negócios das consequências das ameaças cibernéticas.
Actualmente, não existe uma definição exacta do que o seguro cibernético inclui e a cobertura variará por indústria, tipo de negócio e necessidades individuais do negócio. A falta de reclamações neste segmento faz com que estas coberturas díspares existam e torna difícil avaliar os riscos e criar modelos preditivos em torno das ameaças.
Seguro cibernético
Estes seguros são concebidos para mitigar as perdas resultantes de vários incidentes cibernéticos, incluindo violações de dados e os danos que causam às empresas. A existência de um mercado de seguros consistente ajudará a reduzir o número de ataques. A existência desse serviço promove a adopção de medidas preventivas em troca de uma maior cobertura e incentiva a implementação das melhores práticas, baseando os prémios no nível de auto-protecção do segurado.
Como o seguro geral de propriedade não inclui riscos cibernéticos nos seus termos e condições, o seguro cibernético surgiu como uma linha separada de cobertura. A cobertura que cobrem é ampla e abrange uma série de perdas resultantes de incidentes cibernéticos, incluindo custos decorrentes da destruição e roubo de dados, hacking, ataques de negação de serviço, actividades de gestão de crises relacionadas com violações de dados, difamação, fraude, e violações da privacidade. Contudo, poucas políticas de segurança cibernética fornecem cobertura para danos físicos que poderiam resultar de um ataque cibernético bem sucedido a infra-estruturas críticas.
Os segurados precisam de avaliar as suas posturas cibernéticas de forma realista porque as seguradoras exigem maior transparência e detalhe no que diz respeito a potenciais perdas e ameaças crescentes. Isto é de benefício mútuo onde as seguradoras têm um ambiente mais receptivo para consultar os segurados para os ajudar a identificar potenciais lacunas de protecção e, como resultado, os segurados podem melhorar os seus riscos ao protegerem-se contra tais lacunas.
As seguradoras e clientes procuram mitigar quaisquer potenciais ciberataques através da governação da ciber-segurança e do investimento em controlos. Se assim não fosse, as seguradoras sofreriam grandes perdas, reduzindo a sua capacidade de resposta e disponibilidade. O seguro é assim visto como uma necessidade como um método de transferência de risco para a segurança cibernética. A estabilidade para as seguradoras é essencial para que os segurados possam oferecer a transferência de riscos no futuro.
Os ataques mais comuns de hoje
Ataques de resgate, violações de dados e actividades fraudulentas como o compromisso de correio electrónico têm estado no topo da lista de ataques cibernéticos. Os custos económicos globais deste tipo de crimes estão estimados em 15% por ano nos próximos anos, atingindo 10,5 mil milhões de dólares por ano em 2025 [2]. Estes valores não são surpreendentes considerando que o mundo dos ataques está a avançar a um ritmo muito rápido, por exemplo, os cibercriminosos estão a alavancar a automatização e a IA para melhor explorar os pontos fracos o mais rapidamente possível.
A pandemia assistiu a um forte crescimento neste segmento, uma vez que empresas relacionadas com vacinas, institutos de investigação e agências governamentais foram alvo de ataques por parte de criminosos. Os ataques mais comuns a empresas são descritos abaixo:
As violações de dados representam uma das maiores ameaças, centenas de milhões de peças de dados foram comprometidas em 2020. Há um número crescente de informações pessoalmente identificáveis sobre os sítios dos proprietários de risco e uma importância crescente dos dados.
Por exemplo, a IBM disse que em 2020 o tempo médio para detectar uma violação era de 280 dias, embora a poupança média de conter uma violação em menos de 200 dias fosse de 1 milhão de dólares [2]. O mundo irá armazenar volumes cada vez maiores de dados para que não se espere que estes tipos de ataques desapareçam ou diminuam.
O serviço de resgate continuará a crescer rapidamente e espera-se que continue no futuro. Isto não está a acontecer apenas com a encriptação, mas com a crescente exfiltração de dados. Os pedidos de resgate também estão a crescer exponencialmente, por exemplo, a IBM Security X-Force está a receber casos de extorsão por montantes superiores a 40 milhões em alguns casos.
O Ransomware irá aumentar à medida que os sistemas informáticos convergem cada vez mais com infra-estruturas críticas e sistemas tecnológicos operacionais. Há uma preocupação significativa de que mais dados, dispositivos e vidas estarão em risco, uma vez que estes ataques visam redes de energia, sistemas médicos ou gestão de transportes, por exemplo.
- Compromisso de e-mail comercial (BEC):
Os esquemas de BEC estão também entre os mais comuns e continuam a aumentar. A perda média para um BEC pode situar-se entre $50.000 e $80.000, embora tenha havido casos de custos mais elevados, como em 2020, quando Porto Rico perdeu mais de $4 milhões em três ataques BEC contra agências governamentais. [2]
A detecção de tais esquemas é complexa no trabalho remoto. Além disso, o fornecimento de tecnologia também contribui para isso, como por exemplo quando o áudio e vídeo de uma contrafacção são utilizados simultaneamente.
Principais fornecedores de ciber-seguros
Actualmente, 41% das pequenas empresas que sofreram uma violação de dados pagaram mais de $50.000 para recuperar e quase 30% dos clientes disseram que nunca mais voltariam às pequenas empresas afectadas por uma violação de dados, demonstrando como tais ataques podem afectar o negócio de uma empresa [3]. Os prestadores destes serviços são diversos e variam consoante a indústria:
- A AmTrust Financial é uma das melhores seguradoras de responsabilidade cibernética, sem um processo demorado de requerimento de limites inferiores a $100.000. A sua cobertura inclui o website e o conteúdo dos meios de comunicação offline e multas da indústria de cartões de pagamento (PCI). A sua cobertura inclui: serviços de notificação de clientes, serviços de call center, serviços de relações públicas e gestão de crises, investigação inicial de infracções e consultoria para serviços jurídicos e forenses, e cobertura discricionária de notificação.
- A Doctors Company e a sua opção CyberGuard Plus oferece até $5 milhões em seguros de responsabilidade cibernética com cobertura abrangente para os riscos enfrentados pelos profissionais de saúde. A sua cobertura inclui: responsabilidade pela privacidade e segurança de dados, serviços de resposta à violação da privacidade, defesa e sanções regulamentares, responsabilidade pelo conteúdo de websites, extorsão cibernética, protecção de dados de primeira parte, interrupção de negócios de rede de propriedade e serviços de notificação de pacientes.
- A Hartford Steam Boiler Inspection and Insurance Company (HSB) é uma das melhores seguradoras de responsabilidade civil cibernética. Tem uma reputação estelar como empresa e uma variedade de limites por onde escolher. O cliente tem acesso ao eRisk Hub da HSB, que contém ferramentas de gestão de risco, auto-avaliações, módulos de formação, melhores práticas, etc. A sua cobertura inclui: resposta de compromisso de dados, responsabilidade por incidentes de privacidade, recuperação de identidade, ataque informático, incluindo interrupção de negócios, fraude de pagamento mal direccionada, fraude informática, fraude nas telecomunicações, extorsão informática, responsabilidade pela segurança da rede e responsabilidade pelos meios de comunicação electrónicos.
Conclusões
Obviamente, todas as empresas e indivíduos que utilizam a Internet estão expostos aos riscos envolvidos, mas no entanto, algumas indústrias podem apresentar um risco mais elevado, tais como os cuidados de saúde, governos, serviços públicos, escolas ou instituições financeiras. As empresas com sistemas antigos que não são actualizados são geralmente as que correm maiores riscos porque, juntamente com a retenção de registos de clientes, isto torna-as muito atractivas para ataques.
Por conseguinte, estes tipos de empresas ou instituições têm tido seguros cibernéticos há anos, mas só agora é que outros tipos de empresas estão a adquirir estes serviços numa base mais regular, tais como no fabrico, serviços profissionais, compras online, etc. O número actual de empresas com seguros cibernéticos precisa de continuar a crescer face à elevada ameaça de ataques. Independentemente do tipo de empresa que seja, grande ou pequena, corre um grande risco de violação de dados e as consequências podem ser muito graves para os negócios futuros.
Em conclusão, cada vez mais prestadores destes serviços estão a crescer, mas enfrentam uma série de desafios devido à natureza mutável das ameaças cibernéticas. À medida que os fornecedores vendem mais apólices, mais informação será recolhida a partir dos dados de sinistros que recolhem para compreender os riscos e construir melhores coberturas.
