Cyber Risk: Rischi e Tutele per le Imprese

Транскрипт

1 Cyber Risk: Rischi e Tutele per le Imprese COME RIDURRE IL DANNO PROVOCATO DA UN EVENTO CYBER: IL SUPPORTO FINANZIARIO OFFERTO DAL PARTNER ASSICURATIVO." Gianluigi Lucietto, ARM CEO Corbo Rosso Corporation Vice Presidente A.Ri.M.As. Contatti: [email protected] mobile: Palazzo Bonin Longare Vicenza 26 febbraio 2015

2 Chi Come Cosa Quando Perché Dove 2

3 3

4 4

5 Le piccole e medie aziende Italiane quando navigano in internet visto che hanno un antivirus e un firewall si sentono protette adeguatamente In realtà il più delle volte sono vulnerabili alle minacce cyber che evolvono e si migliorano continuamente visto il contenutissimo investimento necessario per attaccare efficacemente. 5

6 Evento/Sinistro Cosa succede quando un evento accade Crono-operatività per ritorno alla normalità produttiva Step 0 Step 1 Step 2 Step 3 Step 4 Step 5 Step 6 2h/xh 2h/yh 2h/zh (Tipo Evento; Profondità Evento; Tipo attività Compromessa 2h/xxh n.d. Tempo Attività Produttivia in % t0 t1 t2 t3 t4 t5 t6 Inizio attività contingenti Neutralizzazione degli effetti Messa in sicurezza Evento Cosa succede raccolta informazioni su quanto accade Aumento protezioni Ripresa attività Inizio stima danni 6 t 0 t 6 Tempo

7 Ma tutto questo quanto ci costerà? t 0 t 6 Per quantificare correttamente quanto costerà dobbiamo capire quanto vale quello che vogliamo proteggere non è facile! 1- Pensiamo al peggiore degli eventi Identificazione 2- Pensiamo a quanto potrebbe durare la minaccia e la conseguente interruzione dell attività - Misurazione 3- Pensiamo alle risorse sia umane che economiche che dobbiamo mettere a disposizione per la difesa - Trattamento 4- Pensiamo all implementazione delle difese e dei piani di risposta - Implementazione 5- Quali informazioni devono essere raccolte e come devono essere poi comunicate 188 $ per record violato in media senza incident plan 42 $ per record risparmiati in media se c è un incident plan Source INetU post breach survival guide 7

8 Ma tutto questo quanto ci costerà? Chi pensa ai TERZI danneggiati per un evento da noi subito? Pensiamo al peggiore degli eventi Identificazione Pensiamo a quanto potrebbe durare la minaccia e la conseguente interruzione dell attività - Misurazione Pensiamo alle risorse sia umane che economiche che dobbiamo mettere a disposizione per la difesa - Trattamento Pensiamo all implementazione delle difese e dei piani di risposta - Implementazione Quali informazioni devono essere raccolte e come devono essere poi comunicate 8

9 I costi possono essere suddivisi in due grandi classi Danno diretto o proprio Danno a terzi Danno da Interruzione attività AAA CERCASI FONDI 9

10 L assicurazione - strumento di finanziamento del rischio Oggi ci sono sempre più Assicuratori (sebbene siano comunque sempre pochi) che sono disposti ad assicurare i Cyber Risks o meglio gli effetti degli eventi Cyber. Le coperture assicurative supportano finanziariamente l azienda colpita sia per Danno diretto o proprio Danno a terzi Danno da Interruzione attività 10

11 **ATTENZIONE** Dopo aver compreso bene da cosa e come vogliamo proteggerci, nella scelta del contratto assicurativo che non è gratuito dobbiamo fare due cose altrettanto bene: Leggere bene cosa è INCLUSO e cosa è ESCLUSO, soprattutto cosa è escluso Leggere bene le DEFINIZIONI di polizza e chiedere spiegazione sulla terminologia utilizzata 11

12 Danni Assicurati - Costi e Spese Danni al sistema informatico dell /all assicurato causati da: Atti dolosi informatici (sabotaggi, craker), Virus informatico, Uso non autorizzato delle risorse e/o di rete dell Assicurato, anche quando tale uso non autorizzato sia il risultato di furto di una valida e completa credenziale personale di accesso al sistema (es. nome utente e password), Denial of service (D.O.S.), La perdita o il furto di un file del sistema informatico dell assicurato (contratti progetti ecc ), Estorsione informatica, Comunicazioni di crisi e servizi di consulenza, Danni ai terzi Violazioni della privacy, Violazione obbligo di riservatezza, Violazione dei diritti d autore, Diffusione dati personali, E il danno da interruzione delle attività? 12

13 Facciamo altri esempi di infrastrutture critiche Centro logistico di smistamento prodotti Le casse elettroniche della grande distribuzione organizzata Centro di controllo e monitoraggio impianti Gestionale del Magazzino, Gestionale ordini Controllo impianti di un Ospedale 13

14 Generalmente il danno da incendio nella Polizza Incendio è assicurato se derivante da un e-risk è escluso! E-risk (danno da virus informatico) Si precisa altresì che non sono compresi tutti i danni, anche indiretti, - ivi comprese le perdite di software, microchip, circuiti integrati, programmi o altri dati informatici causati o risultanti da: virus informatici di qualsiasi tipo; accesso e utilizzo dei sistemi informatici da parte di soggetti, dipendenti o meno dell Assicurato, non autorizzati dall Assicurato stesso; cancellazione, distruzione, alterazione, riduzione di funzionalità operativa o disponibilità di software, programmi o dati informatici da qualunque causa derivanti; anche se causati da atti dolosi, atti di terrorismo e/o sabotaggio organizzato e anche se dai suddetti eventi derivi un danno che sarebbe, altrimenti, coperto ai sensi di polizza. 14

15 Sono sempre comunque esclusi: OMISSIS i danni da o riconducibili a smagnetizzazione, errata registrazione o cancellazione di dati; i danni o le perdite consequenziali direttamente o indirettamente causati, costituiti o derivanti da: A) funzionamento o malfunzionamento di Internet o di sistema analogo, o di qualsiasi intranet o rete privata o sistema analogo, B) deterioramento, distruzione, distorsione, cancellazione o altri danni o perdite relativamente a dati, software o qualsiasi di programmazione o repertorio di istruzioni, C) perdita totale o parziale dell uso o della funzionalità di dati, codifiche, programmi, software, computer o sistema informatico o altro dispositivo basato su qualsiasi microchip o logica integrata, e qualsiasi conseguente incapacità o impossibilità dell'assicurato di volgere l'attività. La presente clausola non incrementa ne estende la copertura prevista dalla presente polizza. I danni o le perdite consequenziali di cui ai suddetti punti A, B e C sono esclusi dall indennizzo, a prescindere da ogni altra causa che vi abbia contribuito contemporaneamente o in qualsiasi altra sequenza temporale. 15

16 In caso di danno a Terzi, alcune Compagnie lo escludono altre non lo escludono Da una Polizza R.C. Terzi presente sul mercato OMISSIS derivanti direttamente o indirettamente, da attività di Information & Communication Technology, in tale fattispecie si intende inclusa l attività svolta via Internet, nonché l attività conseguente alla fornitura di servizi e/o consulenza informatica; 16

17 Attenzione a non far confusione con le coperture oggi già da tempo disponibili sul mercato Polizza elettronica Polizza All Risks Polizza Informatica ANIA danni materiali e diretti all hardware con possibile estensione alla garanzia supporto dati e maggiori costi danni materiali e diretti, (danni e-risk sempre esclusi) le garanzie delle polizze elettroniche con estensioni relative a virus, spese extra, responsabilità civile generale e contrattuale, frode informatica, fabbricati, arredo, denaro, l offerta è ridotta ad un gruppo limitato di assicuratori Cyber crime? 17

18 Il partner assicurativo La Compagnia di Assicurazione Come scegliere Deve essere scelto perché ha una buona conoscenza dei rischi che assicura È in grado di offrire un supporto all assicurato nell identificazione e misurazione del rischi Offre un supporto attivo durante il sinistro Ha la capacità finanziaria di supportarci Costa poco spendi poco, hai poco! 18

19 Grazie per l attenzione Gianluigi Lucietto, ARM A.D. Corbo Rosso Corporation Vice Presidente A.Ri.M.As. [email protected] Mobile: