Assicurazioni contro i ransomware: occhio a termini e condizioni

Cybersecurity Ventures prevede che entro il 2031 il ransomware attaccherà un’azienda, un cliente o un dispositivo ogni due secondi, costando alle vittime circa 265 miliardi di dollari all'anno. Sembra evidente che il ransomware sia ormai inevitabile, e per questo molte aziende stipulano polizze assicurative contro il ransomware. Tuttavia ci sono alcuni cavilli da considerare, spesso nascosti nei termini e condizioni delle polizze stesse.

Analizzando a fondo le clausole più dettagliate, sovente emerge per esempio che tali polizze non coprono qualsiasi malware introdotto da terzi nei sistemi interni di un’azienda attraverso una violazione della sicurezza del sistema. Per esempio, se un hacker di un Paese straniero violasse la sicurezza dell’azienda e introducesse un malware, l’evento non sarebbe coperto.

Inoltre, non coprono qualsiasi malware introdotto nei sistemi aziendali dal personale che, per esempio, abbocca ad alcune esche di phishing. Un problema non da poco, considerato che secondo la Cybersecurity and Infrastructure Security Agency (CISA) il 90% di tutti i cyberattacchi inizia con il phishing.

Lynn Lucas, Chief Marketing Officer di Cohesity

Condizioni aggiuntive

L’incognita però non riguarda solo quello che non viene coperto. Sono previste decine di condizioni aggiuntive che devono essere valutate attentamente, e che possono scoraggiare dalla stipula di una polizza assicurativa. Ecco alcuni esempi delle decine di condizioni aggiuntive che le aziende devono soddisfare per esercitare le polizze, pena la perdita al diritto di qualsiasi rimborso:

• iscriversi a un controllo mensile dello stato di salute dell’azienda e seguire tutte le istruzioni, anche se onerose o costose;
• scaricare continuamente tutte le nuove versioni e le patch;
• essere obbligate a seguire sia le regole del documento di “security hardening”, che cambia frequentemente, sia le “attuali” best practice del settore in materia di protezione delle credenziali di accesso, un’area che gli aggressori di phishing prendono regolarmente di mira. Occorre, inoltre, tener presente che la definizione di queste “best practice” è aperta all’interpretazione e lasciata alla soggettività del fornitore. Se l’azienda non rispetta al 100% le best practice, non ha diritto a nessun rimborso;
• pagare un servizio di consulenza non rimborsabile per il Customer Experience Manager;
• accettare di essere oggetto di un caso di studio pubblico sulla violazione subita dall’azienda;
• chiedere il permesso al fornitore prima di iniziare a sostenere i costi per riprendersi dall’attacco. In caso contrario, le spese non saranno coperte.

Ancora più ingannevole è il fatto che i rappresentanti di queste società inducano le aziende a credere che le polizze offrano un rimborso che va da 5 a 10 milioni di dollari. Leggendo le clausole in calce, appare che l’importo è una mera frazione di quanto pagato in origine ai fornitori. Inoltre, anche se in qualche modo l’azienda riuscisse a dimostrare di aver soddisfatto la moltitudine di condizioni e requisiti, questo la qualificherebbe solo per il rimborso delle spese effettive e approvate precedentemente di data recovery, restoration o re-creation dopo averle sostenute. Infine, come se non bastasse, i pagamenti legati al ransomware non sono rimborsabili.

Più danni che benefici

Si potrebbe pensare che, in fondo, la sottoscrizione di queste polizze non possa danneggiare l’azienda. Sbagliato. Le polizze vincolano l’organizzazione, in quanto la loro sottoscrizione limita le azioni possibili a un unico ed esclusivo rimedio previsto dai fornitori e li mette in condizione di incolpare l’azienda stessa di aver causato il problema grazie a una moltitudine di clausole di salvaguardia. In fin dei conti, polizze come queste sono poco più che limitazioni di responsabilità che vanno a vantaggio dei fornitori e non delle aziende clienti.

Meglio quindi affidarsi a una soluzione tecnologica capace di reggersi da sola e di difendere effettivamente da un attacco ransomware, come Cohesity FortKnox, una soluzione SaaS per il cyber-vaulting, la data isolation e il recovery che migliora la resilienza informatica con una gold copy immutabile dei dati in un cyber caveau (vault) gestito da Cohesity. Ciò consente alle organizzazioni di prepararsi e riprendersi rapidamente dagli attacchi, con un recovery granulare fino alla fonte o a un luogo alternativo, compreso il cloud pubblico. Grazie al suo virtual air gap, alle funzioni di sicurezza multilivello sempre attive e al rilevamento delle anomalie basato sul Machine learning, FortKnox protegge le aziende non solo dal ransomware, ma anche dalle minacce interne.

Lynn Lucas è Chief Marketing Officer di Cohesity