Passos para minimizar o impacto do ciber-risco no risco sistêmico.

Os ataques SolarWinds (2020) e Kronos (2021) tocaram o alarme de que o risco sistêmico é considerável. Milhares de empresas de diversos setores sentiram o impacto quando um ataque de ransomware comprometeu a nuvem privada da Kronos. As consequências generalizadas levantaram a questão crucial da responsabilidade do fornecedor e de quem era responsável pela perda após esse incidente.

O risco sistêmico é abrangente e provém principalmente de duas fontes: o uso difundido de tecnologias padrão e a natureza integrada de nossas economias globais. Reguladores prudentes estão preocupados com os riscos sistêmicos associados à agregação e acumulação. O risco agregado surge quando há uma dependência de toda a indústria em relação a um número limitado de provedores de tecnologia, resultando em um cenário em que uma única interrupção pode simultaneamente paralisar várias entidades. Por exemplo, se uma tecnologia crítica ficar offline, inúmeros bancos que dependem dela podem ser paralisados. Por outro lado, o risco de acumulação refere-se a vulnerabilidades sistêmicas compartilhadas devido à adoção de tecnologia comum dentro de uma indústria. Um exemplo seria vários bancos expostos à mesma vulnerabilidade de dia zero, que, se explorada, poderia causar danos generalizados.

O risco sistêmico surge tanto interna como externamente à organização e representa um efeito multiplicador na escala e no alcance de um incidente cibernético. Isso significa que as organizações individuais podem sofrer perdas financeiras significativas se os riscos sistêmicos não forem gerenciados de forma eficaz. Não é de surpreender, então, que a tarefa de gerenciar o risco sistêmico tenha se tornado uma das principais prioridades para a indústria de seguros. À medida que as ameaças cibernéticas evoluem, os modelos de quantificação de riscos e o planejamento de cenários estão sendo aprimorados para determinar com precisão o perfil de risco de uma organização. Isso informa a extensão da cobertura de seguro cibernético necessária para proteger contra possíveis perdas decorrentes de riscos sistêmicos. Assim como rastrear o caminho de uma tempestade, a modelagem de eventos cibernéticos extremos pode expor o risco agregado e prever a probabilidade de um ataque. A inteligência de dados, incluindo um mapa detalhado da infraestrutura tecnológica da organização (infraestrutura interna e de fornecedores terceirizados), ajuda a fornecer insights sobre o nível de conectividade, a sofisticação dos atores maliciosos e a consideração de mecanismos de segurança padrão que servem de base para os modelos de risco.

A pesquisa do grupo de Prática de Resseguro Cibernético da Aon indica que o impacto do ataque NotPetya em 2017, um exemplo primordial de um cenário de acumulação, representa apenas uma pequena fração da devastação potencial que poderia ser causada por ataques cibernéticos semelhantes, porém em maior escala. Imagine as possíveis consequências: A Aon prevê que um único ataque cibernético significativo e bem-sucedido poderia potencialmente afetar até 20% das organizações em todo o mundo. É um pensamento assustador. Previsivelmente, as seguradoras estão mais cautelosas ao emitir apólices e conscientes do potencial de pagar no futuro. Embora a taxa média de perda do setor tenha apresentado uma pequena diminuição de 67% para 66%, três quartos das 20 principais seguradoras viram suas taxas de perda mudarem em mais de 5%, tanto para cima quanto para baixo. Em resposta ao aumento da frequência de sinistros nos anos anteriores, as seguradoras passaram a exigir controles de segurança aprimorados para as empresas seguradas em 2022. Impulsionadas pelo aumento da frequência de sinistros nos anos anteriores, as seguradoras exigiram controles de segurança aprimorados para as empresas em 2022. Empresas que não investiram e não aprimoraram sua segurança viram restrições contratuais ou aumento de recusas de cobertura.

Existem mais exclusões no risco cibernético, e o risco agregado impulsiona o endurecimento ou a subscrição adicional. A frequência de perdas continua a diminuir desde o pico em 2021, mas ainda está mais alta do que em 2019. Em uma nota preocupante, a frequência de ataques de ransomware registrou um aumento acentuado, aumentando 49% no primeiro trimestre de 2023. Com uma frequência de sinistros melhorada e o ambiente de taxas sem precedentes que surgiu em 2022, prevemos um crescimento robusto do mercado. Isso sugere que o seguro cibernético pode se tornar um segmento de produto altamente lucrativo nos próximos anos.