Il costante progresso tecnologico, oltre ad evidenti miglioramenti sociali, sta determinando l’aumento della vulnerabilità dei sistemi informatici, a causa di sempre nuove e sofisticate forme di attacco cyber.
Sono ormai trascorsi due anni dal noto attacco Ransomware denominato WannaCry, che si è propagato in oltre 150 Stati, causando il blocco di un numero di endpoints che supera i 200.000 e che ha causato danni (diretti ed indiretti) che sono stati quantificati in circa 5 miliardi di Dollari.
In termini normativi, molto si sta facendo per sensibilizzare e regolare la delicata materia digitale ed informatica, dall’introduzione del Regolamento Europeo 679/2016, meglio noto come GDPR, all’entrata in vigore della Direttiva NIS, oltre ancora al recente Cyber Security Act, ma nonostante ciò, i più accreditati analisti ed esperti concordano nella valutazione che circa il 90% delle Aziende italiane non abbia ancora raggiunto un sufficiente grado di sicurezza informatica.
Le ragioni di questo ritardo possono probabilmente essere ricercate in fattori “culturali” (basso grado di conoscenze delle tecnologie emergenti) nella sostanziale sottovalutazione dei rischi connessi all’attività digitale, almeno per quanto riguarda le piccole realtà produttive.
Recenti ricerche effettuate su Aziende con fatturato che supera i 10 milioni di Dollari hanno invece individuato come gli attacchi Cyber siano al secondo posto tra i danni più temuti[1], dopo quelli da business interruption (che invero sono spesso strettamente connessi agli attacchi informatici).
Analizzando statistiche Oltreoceano relativamente ai danni subiti da Aziende USA negli ultimi anni a causa di attacchi cibernetici, si può comprendere quanto sia alta l’incidenza economica di tali fenomeni, giungendo a determinare esborsi che variano in media tra i 7 ed i 650 Milioni di Dollari[2].
Cercando di analizzare la tipologia più frequente di incidenti Cyber, essi possono così essere sinteticamente raggruppati:
- Violazione dei dati riservati (sottrazione di segreti aziendali, divulgazione non autorizzata di informazioni), che determinano danni quali l’interruzione dell’esercizio, costi per il ripristino dei sistemi, danno d’immagino, sanzioni per errata adozione delle misure di sicurezza, spese legali, risarcimento danni verso soggetti danneggiati
- Intromissione esterna nei sistemi informativi (hackeraggio delle reti informatiche o sito aziendale), che determina danni quali la sostituzione dei sistemi informatici, costi per attività diagnostica, danno all’immagine, sanzioni per errata adozione delle misure di sicurezza, spese legali, risarcimento danni verso soggetti danneggiati, responsabilità delle cariche direttive
- Cancellazione dei dati (attacco malware o virus informatico), che determina danni quali l’interruzione dell’esercizio, costi per il contenimento dei danni, decremento della reputazione, sanzioni per errata adozione delle misure di sicurezza, spese legali, risarcimento danni verso soggetti danneggiati, responsabilità delle cariche direttive
- Blocco crittografico dei dati (attacco Ramsomware) che determina danni quali l’interruzione dell’esercizio, costi per il contenimento dei danni, danno d’immagine, sanzioni per errata adozione delle misure di sicurezza, spese legali, risarcimento danni verso soggetti danneggiati, responsabilità delle cariche direttive
La crescente incidenza di questa tipologia di rischio, e i danni conseguenti, sono peraltro strettamente connessi alla frequente difficoltà da parte dei soggetti coinvolti di venire a conoscenza degli eventi; è stato infatti calcolato che in media, il tempo impiegato da un’impresa per percepire l’attacco cyber è di circa 205 giorni, mentre il tempo necessario alla soluzione e ripristino ammonta a 74 giorni.
È facilmente intuibile che, in caso di attacco informatico, un tempo così lungo può determinare il considerevole aumento dei danni sopra cennati.
Le principali attività utili a contenere il rischio cibernetico prendono le basi innanzi tutto dalla presa di consapevolezza della tipologia di rischio, cui deve seguire una attenta attività di valutazione, elaborazione delle misure tecniche ed organizzative necessarie ed implementazione delle strategie aziendali (tra le quali le attività di compliance alle norme vigenti).
Un’importante forma di prevenzione e contenimento del rischio cibernetico va ravvisata senza dubbio anche nella stipula di un’adeguata copertura assicurativa che, attraverso le garanzie contrattuali, possa risarcire l’assicurato dei danni subiti, oltre a quelli causati a soggetti terzi.
Le possibili principali garanzie possono sinteticamente essere ricomprese nelle seguenti previsioni:
- Assistenza tecnica e legale: supporto di specialisti IT, Security e Legal che possano valutare le circostanze conseguenti ad un evento e fornire pronta consulenza atta a porre in essere tempestivamente le necessarie misure correttive.
- Cyber estorsione: l’Assicuratore potrà coprire i costi derivanti da Ransomware e gli eventuali danni derivati a terzi.
- Violazione dei dati: l’Assicuratore potrà coprire i costi derivanti da un Data Breach, quali le attività necessarie per le notifiche agli Organi di controllo ed ai clienti interessati dalla violazione, oltre ai danni derivati a terzi.
- Danni da interruzione di esercizio: sarà possibile la copertura per i danni determinati a causa di interruzione di attività, quali la perdita finanziaria ed i danni derivati a terzi.
- Web reputation: l’Assicuratore darà copertura a fronte di richiesta risarcitoria per danni provocati a terzi tramite utilizzo di attività multimediali, quali la calunnia, la diffamazione, la violazione di diritti di IP o violazione di copyright.
- Danni ambientali: risarcimento per danni ambientali da inquinamento determinato da un attacco informatico.
Si evince quindi che la particolarità dei prodotti assicurativi in materia Cyber consista nella predisposizione di strumenti adeguati alla gestione del rischio, sia in termini di prevenzione (ex ante) che attività successiva al verificarsi degli eventi (ex post).
[1] Fonte Allianz Risk Barometer 2018
[2] Fonte Sigma - Swiss Re 2018
