Покритие срещу откуп при ransomware: Какво трябва да знае бизнесът

Изискването за откуп при ransomware (зловреден софтуер за изнудване) далеч не е само IT проблем. То може да спре оперативната дейност, да блокира достъпа на служителите до критични системи, да изложи на риск клиентски данни и да принуди ръководството да взема финансови решения под натиска на времето. Застраховката срещу откуп е създадена да помогне на организациите да управляват разходите при събитие на изнудване, но самият откуп е само малка част от загубата.

За бизнес лидерите основният въпрос не е дали дадена полица ще изпише чек за плащане на откуп. По-полезният въпрос е дали организацията разполага с необходимите технически контрори, условия по полицата, поддръжка при реакция и финансови лимити, за да се възстанови, без да превръща една кибератака в дългосрочна бизнес криза.

Какво е предназначено да покрива застраховката срещу ransomware

Покритието за откуп при ransomware обикновено се включва в киберзастрахователната полица в рамките на защитата срещу киберизнудване. В зависимост от полицата, тя може да възстанови покрит откуп, когато плащането е законосъобразно и одобрено от застрахователя. Тя може да покрие и услугите, необходими за разследване, преговори, овладяване и възстановяване след инцидента.

Добре структурираната полица може да покрие разходи като криминалистично разследване, правни консултации, преговарящи при ransomware, възстановяване на данни, поддръжка при реакция при инциденти, бизнес прекъсване (business interruption) и уведомяване на клиенти, когато данни са били достъпени или отнети. Наличната защита зависи от езика на полицата, избраните лимити, подлимити, изчаквателни периоди и конкретните факти около инцидента.

Това разграничение е от значение. Една компания може да се сблъска с искане за откуп от $250 000, но по-голямата ѝ загуба да дойде от десет дни прекъснато производство, спешни технологични услуги, пропуснати приходи, договорни неустойки и разходите за възстановяване на компрометирани системи. Фокусирането само върху сумата на откупа може да остави сериозни експозиции незастраховани.

Плащането не е автоматично или законно във всеки случай

Плащането на откуп при ransomware е бизнес решение, взето под натиск, но застрахователното покритие не елиминира правните или регулаторните съображения. Правилата за санкции на САЩ и ЕС могат да забраняват плащания към определени лица, групи или юрисдикции. Застрахователите, правните съветници и специалистите по реакция при инциденти може да се наложи да извършат проверка преди обмислянето на каквото и да е плащане.

Също така няма гаранция, че хакерът ще предостави работещ ключ за декриптиране, ще изтрие откраднатите данни или няма да отправи нови искания. Много ransomware атаки днес включват двойно изнудване: нападателите шифроват системите и заплашват да разгласят открадната информация. В тези случаи плащането може да не елиминира задълженията за уведомяване, регулаторния контрол или исковете от трети страни.

Поради тези причини застрахователите по киберрискове обикновено изискват от застраления да включи екипа си за реакция при пробиви преди поемането на каквито и да било ангажименти. Самостоятелното плащане, наемането на неодобрени доставчици или забавянето на уведомяването на застрахователя могат да създадат спорове около покритието. Организациите трябва да познават изискванията на своята полица за уведомяване и съгласие преди възникването на инцидент.

Разходите, които често са по-важни от самия откуп

Един иск за ransomware може да обхваща няколко застрахователни категории едновременно. Покритието срещу киберизнудване се отнася до иска и свързаните с него разходи за реакция. Покритието за бизнес прекъсване може да компенсира загубения доход и необходимите допълнителни разходи, когато системите са недостъпни. Покритието за възстановяване на дигитални активи може да помогне с разходите за възстановяване или пресъздаване на повредени данни и софтуер.

Отговорността за поверителност и реакцията при пробив стават актуални, ако нападателите източат лична, финансова, здравна или поверителна бизнес информация. Това може да включва правни насоки, разходи за уведомяване, услуги на кол център, мониторинг на кредити (където е приложимо) и защита срещу определени регулаторни претенции или искове от трети страни.

Организациите следва да прегледат и покритието за условно бизнес прекъсване (contingent business interruption). Инцидент с ransomware при облачен доставчик, доставчик на управлявани услуги (MSP), платформа за заплати или друг технологичен партньор може да спре дейността, дори собствената мрежа на организацията да не е била директно шифрована. Покритието за зависими системи варира съществено между различните полици, така че тази област заслужава специален преглед.

Покритието зависи от структурата на полицата

Не всички киберполици предоставят еднаква защита. Някои съдържат отделен подлимит за киберизнудване, който е по-нисък от общия лимит на полицата. Други могат да включат съучастие (coinsurance), самоучастие (deductibles) или изисквания за задържане на риск, които оставят бизнеса отговорен за значителна част от загубата. Една полица със силен общ лимит все пак може да осигури недостатъчни средства за откупа, криминалистичната работа и възстановяването, ако ключовите подлимити са твърде ограничителни.

Условията за бизнес прекъсване изискват същото внимание. Прегледайте изчаквателния период преди началото на покритието, метода за изчисляване на пропуснатия доход, продължителността на периода на възстановяване и дали допълнителните разходи са покрити. Търговец на дребно, производител, здравна организация, фирма за професионални услуги и софтуерна компания ще изпитат оперативното смущение по различен начин. Покритието трябва да отразява реалния модел на приходите на организацията и зависимостта ѝ от технологиите.

Езикът на полицата има значение и при кражба на данни. Ако нападателите копират информация преди шифроването ѝ, организацията може да се нуждае от покритие за реакция по поверителност, отговорност за мрежова сигурност, медийна отговорност и регулаторна защита. Една полица, фокусирана тесно само върху събития с шифроване, може да не покрие напълно последиците от откраднати данни.

Техническите контрори влияят върху застраховаемостта и готовността за иск

Киберзастраховката не е заместител на мерките за киберсигурност. Застрахователите все по-често оценяват позицията на организацията по отношение на сигурността по време на андрайтинга, особено за риска от ransomware. Те могат да попитат за многофакторна автентикация (MFA), откриване и реакция на крайни точки (EDR), управление на привилегировани достъпи, офлайн или неизменяеми (immutable) резервни копия, управление на пачове, имейл сигурност, мрежова сегментация и планиране на реакцията при инциденти.

Тези контроли не са просто въпроси от формуляр за кандидатстване. Те намаляват вероятността компрометирана парола да се превърне в пълно завземане на мрежата, помагат за по-ранно откриване на активността на нападателя и правят възстановяването по-практично, когато настъпи шифроване. Резервните копия, които са свързани към същата среда, непроверени или недостъпни по време на инцидент, може да имат малка стойност, когато са най-необходими.

Специфичните изисквания за контрол варират според застрахователя, индустрията, размера на компанията и приходите. Въпреки това неточните отговори при андрайтинга могат да създадат сериозни проблеми по-късно. Ръководството трябва да потвърди, че информацията за сигурността, предоставена на застрахователя, отразява актуалната среда, а не бъдещо намерение.

Изградете процес за реакция при инциденти преди атаката

Първите часове на ransomware инцидент могат да определят мащаба на щетата. Служителите се нуждаят от ясен маршрут за докладване на подозрителна активност, а организацията се нуждае от правомощия за бързо изолиране на засегнатите системи. Ръководството трябва да знае кой може да одобрява спешни разходи, да комуникира със застрахователя, да ангажира правен съветник и да взема решения за непрекъснатост на бизнеса.

Планът за реакция при инциденти трябва да включва актуални данни за връзка със застрахователя и инструкции за докладване на иск. Той също така трябва да идентифицира вътрешни заинтересовани страни от IT отдела, операциите, финансите, правния отдел, ЧР и комуникациите. Това е особено важно за организации, които обработват клиентски данни или зависят от специализирани системи, които не могат да бъдат възстановени за една нощ.

Техническата реакция трябва да се фокусира първо върху овладяването и запазването на доказателствата. Изключването на засегнатите системи, защитата на административните акаунти, запазването на логовете и идентифицирането на пътя на атаката могат да предотвратят по-нататъшни щети. Припреното възстановяване на системите или комуникацията с нападателите без професионални насоки може да затрудни разследването и възстановяването.

Практикуваният план за реакция не означава, че бизнесът очаква атака. Това означава, че ръководството осъзнава, че престоят, изнудването и излагането на данни изискват координирани решения в технологичната, застрахователната, правната и оперативната сфера.

Как да оцените покритието за вашата организация

Когато преглеждате защитата срещу ransomware, започнете с бизнес въздействието, а не с общ застрахователен лимит. Запитайте се колко дълго критичните операции могат да бъдат недостъпни, преди компанията да претърпи сериозна загуба на приходи, договорни последици или отток на клиенти. Идентифицирайте системите, доставчиците и видовете данни, които биха създали най-голямо смущение.

След това сравнете тази експозиция с лимита на полицата за изнудване, условията за бизнес прекъсване, покритието за възстановяване, защитата при реакция на поверителност и приложимите подлимити. Помислете дали полицата включва достъп до опитни адвокати по пробиви, криминалистични експерти, преговарящи и специалисти по възстановяване. По време на ransomware събитие скоростта и координацията могат да бъдат толкова ценни, колкото и лимитът по полицата.

Мъдро е също така да прегледате изключенията и условията. Често срещаните проблеми могат да включват предварително известни инциденти, неадекватно разкриване на информация, неодобрени плащания, неизпълнение на заявените контроли, събития, свързани с война, или загуби, свързани с некриптирани преносими устройства. Точният текст има контролна роля и трябва да се разглежда в контекста на оперативната дейност и програмата за сигурност на организацията.

InsureCyberSec помага на организациите да подравнят мерките за киберсигурност с избора на киберзастраховка, така че защитата да се оценява като една обща програма за управление на риска, а не като две несвързани покупки. Целта е да се намали вероятността от ransomware инцидент, да се подготви дисциплинирана реакция и да се гарантира, че покритието е проектирано за финансовите последици, които биха могли да последват.

Най-полезното време за оценка на покритието срещу ransomware е преди нападателят да зададе краен срок. Практическият преглед на мерките за сигурност, възможностите за възстановяване, условията на полицата и отговорностите при инцидент дава на ръководството по-ясни опции, когато всеки час е от значение.

Контролен списък за оценка на покритието срещу Ransomware

Често задавани въпроси