Wielu brytyjskich prezesów zakłada, że wykupiona polisa cyberubezpieczeniowa zapewni firmie solidną tarczę w razie ataku hakerskiego. Najnowsze badania pokazują jednak, że to przekonanie może być zbyt optymistyczne. Tylko niewielka część liderów biznesu w Wielkiej Brytanii uważa, że ich ubezpieczenie pokryje pełne koszty incydentu cybernetycznego.
Cyberubezpieczenie nie daje pełnego poczucia bezpieczeństwa
Z analizy przygotowanej przez Cohesity wynika, że jedynie 22% brytyjskich CEO wierzy, iż polisa pokryje zarówno dodatkowe koszty, jak i utracone przychody wynikające z ataku. To oznacza, że większość firm może przeceniać zakres ochrony, jaki faktycznie zapewnia im ubezpieczenie.
Pozostałe odpowiedzi pokazują jeszcze większy problem z rozumieniem realnego poziomu zabezpieczenia. Jedna trzecia badanych uważa, że polisa pokryje tylko dodatkowe koszty, kolejna jedna trzecia spodziewa się ochrony wyłącznie w zakresie utraconych przychodów, a 10% nie oczekuje pokrycia żadnej z tych kategorii.
To pokazuje, że sama polisa nie rozwiązuje problemu, jeśli firma nie rozumie jej zakresu. W praktyce zbyt często myli się ochronę finansową z pełnym zabezpieczeniem przed skutkami ataku. Dlatego tak ważne jest sprawdzanie szczegółów umowy, zanim dojdzie do incydentu.
Ubezpieczenie to nie to samo co odzyskanie działania firmy
Wnioski z raportu są dość jednoznaczne: cyberubezpieczenie może przenieść część ryzyka finansowego na ubezpieczyciela, ale nie rozwiązuje podstawowego problemu. Nie przywraca systemów, nie odtwarza danych i nie sprawia automatycznie, że firma wraca do normalnego funkcjonowania.
To ważne rozróżnienie, bo wiele organizacji traktuje polisę jak gotową odpowiedź na cyberzagrożenie. W praktyce nawet dobrze dobrane ubezpieczenie może okazać się jedynie elementem szerszej strategii, a nie jej fundamentem.
Zobacz także: Five Eyes ostrzega przed wykorzystywaniem AI do cyberataków.
Firmy wiedzą, że cyberatak będzie kosztowny, ale nie zawsze umieją to policzyć
Badanie objęło 100 prezesów dużych przedsiębiorstw i pokazało, że firmy oczekują średnio około 15% spadku przychodów po cyberataku. Problem w tym, że wielu zarządzających nie ma dokładnego obrazu tego, jak wysokie mogą być rzeczywiste koszty takiego zdarzenia.
Co piąty badany CEO przyznał nawet, że jego firma nie przeprowadziła modelowania wpływu na działalność. To oznacza, że przedsiębiorstwa często działają bardziej na intuicji niż na twardych danych, a to w obszarze cyberbezpieczeństwa bywa szczególnie ryzykowne.
Największe obawy zarządów
Wśród największych obaw liderów biznesu znalazły się przede wszystkim wycieki danych, utrata reputacji marki oraz wysokie koszty odzyskiwania sprawności po ataku. Ważne miejsce zajmują też spadek przychodów i przestoje w produkcji lub świadczeniu usług.
Te lęki pokazują, że cyberatak to dziś nie tylko problem działu IT. To przede wszystkim zagrożenie finansowe, operacyjne i wizerunkowe, które może uderzyć w całą organizację jednocześnie.
Zanim kupisz polisę, policz ryzyko
Eksperci Cohesity zwracają uwagę, że firmy powinny zacząć od dokładnego oszacowania ekspozycji finansowej. Dopiero później warto sprawdzać, co dokładnie obejmuje polisa i gdzie znajdują się jej ograniczenia.
Następny krok to upewnienie się, że kluczowe systemy rzeczywiście da się odzyskać. Bez tego nawet wypłata z ubezpieczenia nie musi wystarczyć, aby firma wróciła do działania w rozsądnym czasie.
Jak podkreślono w raporcie, organizacje muszą wiedzieć, które systemy i dane są niezbędne do utrzymania ciągłości działania. Powinny też jasno przypisać odpowiedzialność za decyzje związane z odzyskiwaniem po awarii oraz regularnie testować, czy najważniejsze usługi da się bezpiecznie przywrócić.
Cyberochrona to coś więcej niż polisa
Cały materiał dobrze pokazuje, że samo cyberubezpieczenie nie powinno być traktowane jako pełnowartościowa strategia obrony przed atakiem. Może pomóc ograniczyć część strat finansowych, ale nie zastąpi planu reagowania, testów odtwarzania ani zarządzania ryzykiem.
Dla zarządów to ważny sygnał ostrzegawczy. Jeśli firma nie wie, ile realnie może stracić, i nie rozumie ograniczeń swojej polisy, może być dużo bardziej narażona, niż sugerowałyby to formalne zabezpieczenia.
W obecnych realiach największą przewagę mają więc nie ci, którzy mają polisę, ale ci, którzy potrafią połączyć ubezpieczenie z przygotowaniem operacyjnym, analizą kosztów i regularnym sprawdzaniem odporności biznesu.
Ciekawe, że większość prezesów ma takie wyobrażenie o cyberubezpieczeniach. Wydaje się, że sporo firm po prostu nie chce przyznać, że nie są na to gotowe. Myślę, że kluczem jest nie tylko sama polisa, ale systemowe podejście do zabezpieczeń, którego wiele firm nie wdraża.
W sumie nie jestem zdziwiona tymi danymi. W mojej firmie też ubezpieczenie traktuje się jako „odfajkowanie” tematu. Kurczaki drogie, myślą że sama polisa wszystko załatwi. Ale co z planem B? Jak coś walnie, to za późno na refleksję.
Zgadzam się z tym, co piszą eksperci. Słyszałem o firmach, które mają ogromne polisy, ale nie mają pojęcia o swoich systemach. Tak naprawdę, ubezpieczenie jest tylko dodatkiem do solidnej strategii cybersecurity. Należy pamiętać, że same pieniądze nie przywrócą danych.
Może to dziwnie brzmi, ale nie sądzę, że to co opisano jest aż takim problemem. W końcu nie tylko polisa pokrywa straty. Jeśli firmy nie rozumieją cyberzagrożeń, to i tak ściągną sobie kłopoty na własną głowę. Zresztą, kto zatrudnia dziś porządnych specjalistów?
Zawsze w takich przypadkach powtarzam, że najważniejsza jest edukacja. Firmy myślą, że kupując polisę, są bezpieczne, a w rzeczywistości nie mają pojęcia, jak wysokie są ich ryzyka. Jest to tylko przykład tego, jak ważne jest dostosowywanie zabezpieczeń do konkretnej sytuacji.
Szczerze mówiąc, nie widzę sensu w cyberubezpieczeniach, które niczemu nie pomagają. Pożar w firmie i dwie godziny straty – to mała tragedia, ale cyberatak to inna bajka. Bez pełnego planu reagowania to tylko strata czasu, żeby za to płacić.