Sự gia tăng chi phí vi phạm dữ liệu, phần mềm tống tiền và các cuộc tấn công mạng khác dẫn đến phí bảo hiểm mạng tăng và phạm vi bảo hiểm mạng hạn chế hơn. Tình trạng bảo hiểm mạng này làm tăng rủi ro cho các tổ chức đang gặp khó khăn trong việc tìm kiếm phạm vi bảo hiểm hoặc đối mặt với sự gia tăng mạnh.
Tình hình bảo hiểm mạng đáng lo ngại đến mức Bộ Tài chính Hoa Kỳ gần đây đã đưa ra yêu cầu về ý kiến đóng góp của công chúng về một chương trình ứng phó bảo hiểm mạng tiềm năng của liên bang. Yêu cầu này bổ sung cho đánh giá do Văn phòng Bảo hiểm Liên bang (FIO) và Cơ quan An ninh Cơ sở hạ tầng và An ninh Mạng (CISA) của Bộ An ninh Nội địa tiến hành để xác định “mức độ rủi ro đối với cơ sở hạ tầng quan trọng do các sự cố mạng thảm khốc và các rủi ro tài chính tiềm tàng”. phơi nhiễm đảm bảo một phản ứng bảo hiểm liên bang.”
Đây là kết quả trực tiếp của sự phát triển về bản chất của các cuộc tấn công mạng phản ánh sự phát triển của môi trường kỹ thuật số và tác động tạo thuận lợi cho tội phạm tiền điện tử. Về phía tội phạm mạng, bộ công cụ phần mềm độc hại DIY và nền tảng Phần mềm độc hại dưới dạng dịch vụ đã loại bỏ rào cản xâm nhập của tội phạm mạng và khiến việc tung ra các cuộc tấn công phức tạp trở nên hợp lý đối với tội phạm muốn trở thành tội phạm thiếu hiểu biết về công nghệ.
Phạm vi bảo hiểm mạng được sử dụng để chỉ chi trả cho gián đoạn kinh doanh, khôi phục dữ liệu và thiệt hại cơ sở hạ tầng. Ngày nay, họ cũng phải trang trải chi phí tống tiền trên mạng, rủi ro uy tín, tiền phạt không tuân thủ và rủi ro trách nhiệm pháp lý của bên thứ ba, một lĩnh vực đang phát triển khi khả năng kết nối giữa các tổ chức không ngừng mở rộng.
Các công cụ đánh giá phí bảo hiểm cổ điển của công ty bảo hiểm mạng là tuân thủ đánh giá các phương pháp hay nhất và thử nghiệm thâm nhập. Tuy nhiên, các giới hạn vốn có của các phương pháp này là vấn đề ở nhiều cấp độ.
Giới hạn của đánh giá dựa trên các phương pháp hay nhất: Không phải tất cả các phương pháp hay nhất đều phù hợp với mọi tổ chức. Ngay cả việc tuân thủ các phương pháp hay nhất cũng cung cấp khả năng bảo vệ hạn chế. Một số phương pháp hay nhất, chẳng hạn như vá toàn diện, là không thể đạt được. Ngay cả việc hạn chế vá các lỗ hổng có điểm CVSS trên 9 là không thực tế. Trong số 20184 lỗ hổng mới được phát hiện vào năm 2021, 1165 điểm trên 9. Giới hạn của kiểm tra thâm nhập Tính hợp lệ của kết quả phụ thuộc vào khả năng và công cụ của người kiểm tra. Nó thiếu tính liên tục. Là một bài kiểm tra chính xác, nó cung cấp ảnh chụp nhanh về tổ chức tại một thời điểm: phát triển nhanh, các mối đe dọa mới xuất hiện và mức độ liên quan của kiểm tra thâm nhập giới hạn kết nối.
Khi đàm phán với một công ty bảo hiểm mạng, một công ty có thể cung cấp các đánh giá định lượng, được lập thành văn bản được thực hiện bằng các công nghệ xác thực bảo mật có thể dẫn dắt cuộc thảo luận bằng cách chứng minh cách công ty đó:
Giảm rủi ro ngoài các phương pháp hay nhất – Các đánh giá toàn diện đo lường tình trạng bảo mật của tổ chức dựa trên khả năng phục hồi thực tế của tổ chức trước các cuộc tấn công thay vì dự đoán lý thuyết về bảo mật có được thông qua việc tuân thủ các phương pháp hay nhất.
Định lượng rủi ro – Điểm rủi ro được định lượng dựa trên tỷ lệ phần trăm mô phỏng tấn công được phát hiện và ngăn chặn bởi ngăn xếp công cụ phòng thủ cung cấp đánh giá tức thời về hiệu quả phòng thủ mạng thực tế. Các công nghệ xác thực bảo mật nâng cao bao gồm đánh giá toàn bộ chuỗi tiêu diệt và các khả năng chuyển động ngang cung cấp thước đo chính xác về mức độ thiệt hại tiềm ẩn mà một vi phạm thành công sẽ đạt được.
Ngăn chặn sự trôi dạt về bảo mật – Vì tự động hóa mô phỏng cuộc tấn công cho phép đánh giá lại liên tục khả năng phục hồi theo ngữ cảnh, các lỗ hổng bảo mật do triển khai mới hoặc các mối đe dọa mới nổi sẽ được gắn cờ ngay lập tức và có thể được giải quyết trước khi gây nguy hiểm cho tình trạng bảo mật.
Mở các con đường bảo lãnh phát hành bảo hiểm mạng mới – Bản chất liên tục của xác thực bảo mật có thể được tận dụng để xác định các giai đoạn sau ràng buộc chính sách. Đưa ra đánh giá lại liên tục hoặc định kỳ về sức khỏe của tình trạng an toàn được xác định bởi điểm số an ninh để đo lường sự phát triển của tình trạng an toàn theo thời gian sẽ cung cấp cơ sở đàm phán hợp lệ cho bên được bảo hiểm.
Hợp đồng bảo hiểm có thể bao gồm các yếu tố như yêu cầu điều chỉnh sự khác biệt so với đường cơ sở đã thỏa thuận trong khung thời gian hợp lý, nghĩa vụ chia sẻ thường xuyên các báo cáo đánh giá được tạo tự động hoặc mối liên hệ giữa phạm vi bảo hiểm và việc tuân theo phương sai đường cơ sở.
Xác thực bảo mật đang trở thành lộ trình tuân thủ quy định tuân thủ, chẳng hạn như bản cập nhật PCI DSS v4.0 gần đây. Việc kết hợp xác thực bảo mật trong các quy trình cấp phát bảo hiểm trên mạng có thể giúp giải quyết tình trạng bảo hiểm trên mạng hiện tại và củng cố khả năng phục hồi trên mạng của các tổ chức sẽ có thêm động lực để thực hiện phương pháp tiếp cận chủ động như vậy trong môi trường của họ.
Lưu ý — Bài viết này được viết và đóng góp bởi Andrew Barnett, giám đốc chiến lược tại Cymulate.
