Cyber risk: cos’è e qual è il contesto

Il cyber risk è il rischio di incorrere in perdite economico/finanziarie a seguito del verificarsi di eventi accidentali o di azioni dolose inerenti i sistemi informatici, siano essi hardware, software, banche dati, eccetera. Com’è facile intuire si tratta di una classificazione molto ampia e generica che racchiude non solo le conseguenze di atti criminali o dolosi, ma anche le conseguenze dell’imprudenza o di eventi accidentali. In particolare, mentre le ripercussioni sulle tecnologie di eventi apparentemente scollegati dal contesto informatico (es: guasto elettrico, fulmine, ecc.) sono via via più numerose a seguito della sempre più capillare diffusione di strumenti informatici, è tuttavia il contesto del dolo e del crimine informatico a vivere una vera e propria esplosione.

Cyber risk e gap assicurativo

Nonostante la crescente consapevolezza sul cyber risk, è presente ancora un vasto gap assicurativo. Se si confrontano i beni materiali ed i beni immateriali nei paesi EMEA, questi ultimi sono più esposti del 38% rispetto ai beni materiali in termini di protezione assicurativa. Circa la metà delle perdite potenziali (49%) sui beni materiali è coperta dall’assicurazione, mentre tale percentuale si attesta solo all’11% per quanto concerne i beni immateriali. Emerge, quindi, un’evidente discrasia tra la gravità del rischio informatico e le tutele poste in essere.

I rapporti sulla sicurezza informatica

Come abbiamo detto in precedenza, secondo l’annuale Global Risks Perception Survey, il cyber risk è una delle principali minacce che l’umanità dovrà affrontare nei prossimi anni. Secondo i dati emersi dal report 2019, la percezione della gravità delle minacce cibernetiche è seconda solo alla devastazione dei cambiamenti climatici. Nel grafico sottostante infatti, i cyber attacchi si posizionano nel quadrante ad elevata probabilità di realizzazione e ad elevato impatto economico.

Cyber risk: global risk landscape

A livello mondiale, quindi, emerge una crescente preoccupazione nei confronti dei rischi informatici, accelerati dal progresso tecnologico e dai cambiamenti normativi (es: GDPR). Secondo il Rapporto dell’Associazione Italiana per la Sicurezza Informatica, Clusit 2020, l’anno appena concluso è stato quello della discontinuità, che ci ha portato verso una nuova dimensione di rischio ed ha elevato sensibilmente la gravità della minaccia.

Secondo il presidente del Clusit Gabriele Faggioli, “gli attaccanti non sono più “hackers”, e nemmeno gruppetti effimeri (più o meno pericolosi) di “artigiani” del cybercrime: sono decine e decine di gruppi criminali organizzati transnazionali che fatturano miliardi, multinazionali fuori controllo dotate di mezzi illimitati, stati nazionali con i relativi apparati militari e di intelligence, i loro fornitori e contractors, gruppi state-sponsored civili e/o paramilitari ed unità di mercenari impegnati in una lotta senza esclusione di colpi, che hanno come campo di battaglia, arma e bersaglio le infrastrutture, le reti, i server, i client, i device mobili, gli oggetti IoT, le piattaforme social e di instant messaging (e la mente dei loro utenti), su scala globale, 365 giorni all’anno, 24 ore al giorno. Una situazione di inaudita gravità, che mette in discussione ed a repentaglio tutti i presupposti sui quali si basa il buon funzionamento dell’Internet commerciale e di tutti i servizi (online e offline) che su di essa fanno affidamento.“

A livello globale emergono, quindi, 2 tendenze: da un punto di vista quantitativo assistiamo all’incremento del numero degli attacchi e, da quello qualitativo, all’innalzamento della loro severità.

Cyber risk: aumento attacchi rilevanti report Clusit 2020

La cyber insurance e la nuova sfida per le assicurazioni

Considerato quanto esposto fin qui, è facile comprendere che il mercato assicurativo del cyber risk potrebbe essere uno dei mercati più ricchi del prossimo futuro. Secondo un articolo apparso di recente sul Sole 24 ore dal titolo “Cyber risk la sfida delle assicurazioni“, il tema delle polizze legate ai rischi cyber è ben noto agli assicuratori da diverso tempo, ma la categoria si trova in grave difficoltà e lo si intuisce dall’approccio.

Molte assicurazioni tendono, infatti, a considerare il tema come separato da qualsiasi assicurazione tradizionale e lo interpretano come creazione di polizze “tecnologiche”.

Quest’approccio, tuttavia, non è corretto in quanto non considera la pervasività della tecnologia e, quindi, il fatto che non si tratta di una mercato verticale, ma orizzontale. Data la sempre maggiore diffusione di dispositivi connessi ad internet (nelle auto, nelle smart cities, nelle case, ecc.), il rischio cyber, infatti, sarà sempre più un elemento da inserire nelle abituali polizze danni.

Per quanto riguarda specificatamente le aziende, il rischio informatico sarà sempre più legato alle implicazioni sui processi di business. Per questo motivo, occorrerà sviluppare competenze nuove, in grado di comprendere non solo i contesti tecnologici e normativi (es: GDPR), ma anche l’eventuale impatto in termini patrimoniali e gli strumenti necessari alla sua tutela.