Cyber-Risiko entdeckt Versicherungsinfrastruktur – codematebd.com

Es scheint, als würden wir jede Woche über eine weitere Datenschutzverletzung oder einen anderen Cybervorfall informiert. Diese Vorfälle haben unsere Erwartungen übertroffen. Es ist mehr als der Einzelhändler oder der Online-Shop. Wir erleben, dass Krankenhäuser, Städte und mehr Opfer von Cybervorfällen werden. Die neueste Nachricht, die auf meinem Bildschirm auftauchte, kam von einem Ort, den Sie vielleicht als unwahrscheinlich bezeichnen: der National Association of Insurance Commissioners (NAIC).

Ich verstehe es. Ihr erster Gedanke ist, was in aller Welt Hacker mit NAIC-Daten wollen? Wenn Versicherungen von Natur aus langweilig sind (was nicht der Fall ist, aber manche Leute glauben das), müssen Versicherungsdaten noch langweiliger und viel weniger wert sein als personenbezogene Daten, die jemand woanders bekommen könnte. Hier müssen wir unsere erste Annahme ändern. Manchmal geht es bei einem Cybervorfall nicht darum, wie viel jemand mit den empfangenen Daten verdienen kann. Manchmal geht es darum, wie stark wir den Betrieb eines Unternehmens, eines Unternehmensbereichs oder der Gesamtwirtschaft stören können.

Cyber-Risiko ist operationelles Risiko

Wir neigen dazu, über Cyber-Probleme danach zu denken, wie viele Informationen gestohlen wurden, wofür sie verwendet werden und welche Auswirkungen sie wirklich auf mich haben. Aber es passiert noch mehr, wenn der Cyber-Vorfall passiert. Unmittelbar nach einem Cyber-Vorfall schaltet das Opfer sein System ab, was es ihm erschwert, wenn nicht sogar unmöglich macht, seinen Geschäften nachzugehen. Denken Sie darüber im Kontext der NAIC nach. Was ist ihr Geschäft?

Die NAIC ist eine Organisation aller Versicherungskommissare aller Gerichtsbarkeiten in den Vereinigten Staaten, unabhängig von ihrem tatsächlichen Titel oder davon, ob sie in dieses Amt gewählt oder ernannt werden. Ihr Geschäft ist nichts Geringeres als das allgemeine Regulierungsklima in den USA. Sie entwickeln Mustergesetze, die die Staaten berücksichtigen können, um neuen und sich entwickelnden Risiken zu begegnen. Sie aggregieren bestimmte Daten in der gesamten Versicherungsbranche. Sie tragen entscheidend dazu bei, dass andere Organisationen Versicherungsunternehmen bewerten und Daten an Kreditratingbüros weiterleiten können.

Als ihr System gehackt wurde, wurde die gesamte Arbeit eingestellt. Organisationen wie AM Best konnten sich nicht auf NAIC-Daten verlassen, um Bewertungen zu aktualisieren, an denen sie möglicherweise gearbeitet hatten. Die Kroll Bond Rating Agency (KBRA), die Anleiheratings im Zusammenhang mit bestimmten Investitionen, die Versicherungsunternehmen kaufen, ausgibt, hat ihre Datenübermittlung an NAIC ausgesetzt, bis alles im Zusammenhang mit dem Verstoß verstanden und entschärft werden kann. Investmentratings sind Teil der Regulierung der Zahlungsfähigkeit von Versicherungsunternehmen und ein wichtiger Teil der Arbeit der Versicherungsabteilungen.

Nicht alle „sensiblen Daten“ sind personenbezogene Daten

Wir haben von NAIC gehört, dass sie nicht glauben, dass Zahlungsdaten oder andere nicht öffentliche Bewertungsdaten verletzt wurden. Sie gehen davon aus, dass sich der Verstoß auf öffentlich verfügbare Finanzberichtsinformationen und möglicherweise veraltete Protokolle sowie deren Systemkonfigurationsinformationen beschränkte. In diesem Fall scheint es nicht so zu sein, dass die Kriminellen nach persönlich identifizierbaren Informationen gesucht haben. Sie waren auf der Suche nach sensiblen Geschäftsdaten, über die die NAIC in Hülle und Fülle verfügt.

Das ist die Sache mit Cyberangriffen. Sie suchen nicht nur nach Sozialversicherungsnummern, Zahlungsinformationen oder anderen Arten von Daten, die wir mit diesen Verstößen in Verbindung bringen. Sie sind auf der Suche nach vielfältigeren Informationen, und dieses Risiko wird sich weiterentwickeln, da immer mehr Systeme miteinander verbunden sind. Die Kriminellen suchen nicht nur deshalb nach Schwachstellen, weil sie schnell an Geld kommen wollen.

Manchmal ist der Bruch der Punkt. Bei den Daten, nach denen sie suchen, geht es darum, andere Menschen darüber zu informieren, dass sie in dieses bestimmte System eindringen können. Manchmal geht es bei dem Verstoß darum, die Systeme, gegen die sie verstoßen haben, zu üben und eine Übersicht darüber zu erstellen. Ob es Ihnen gefällt oder nicht, es gibt eine ganze Wirtschaft, die auf Cyberkriminalität basiert.

Und dann ist da noch der lange Schwanz

Auch die Störung des Betriebsablaufs gehört dazu. Mittlerweile haben Sie wahrscheinlich von Ransomware-Angriffen gehört, bei denen die Kriminellen Systeme oder Daten sperren, bis sie ein Lösegeld für einen Freischaltschlüssel erhalten. Nachdem dieses Risiko einige Jahre lang zunahm, haben sich die Reaktionen von der schnellen Zahlung des Lösegelds auf das Zurücksetzen und Wiederherstellen alter Backups verlagert. Bei der NAIC-Verletzung haben die Kriminellen das System nicht gesperrt, aber die NAIC musste dies tun, damit sie beurteilen konnten, was passiert ist, herausfinden konnten, wie sie ihre Systeme stärken und ihre Partner davon überzeugen konnten, dass das System sicher genug ist, um weiterhin damit interagieren zu können.

Hier schwenken wir ein wenig, um über Deckungen zu sprechen. Was als Cyber-Vorfall beginnt, der möglicherweise durch eine Cyber-Police gedeckt ist (oder auch nicht), entwickelt sich schnell zu einem Geschäftseinkommensvorfall, der mit noch geringerer Wahrscheinlichkeit durch eine Versicherungspolice gedeckt wird. Es ist sicherlich nicht durch ihre Geschäftseinkommens- und Sonderausgabenrichtlinie abgedeckt. Hier verschärfen sich die Probleme des Unternehmens.

Ohne angemessene Absicherung wird das Unternehmen am Ende geschlossen, weil seine Systeme aufgrund eines Cyber-Vorfalls heruntergefahren werden mussten, und es erholte sich nie wieder, weil es mehrere finanzielle Auswirkungen hatte, als jemand in sein System eindrang und nicht einmal die Art von Daten anfasste, an die wir normalerweise denken.

Themen
Cyber