Asuransi dunia maya sering dilihat oleh para pemimpin bisnis sebagai jaminan moneter bahwa meskipun peretas membobol jaringan mereka dan mencuri data mereka, mereka masih dapat melarikan diri tanpa cedera finansial.
Namun premis ini baru-baru ini diguncang setelah Lloyd’s of London, sindikat asuransi terbesar di dunia, mendefinisikan kembali kebijakannya untuk tidak lagi melindungi serangan cyber negara-bangsa. Ada tantangan lain yang juga dihadapi sektor asuransi siber di tahun mendatang.
Kami berbicara dengan Julia O’Toole, CEO MyCena Security Solutions yang menawarkan solusi segmentasi akses dan manajemen enkripsi yang mudah diterapkan bagi organisasi untuk melindungi jaringan mereka dari penyusup, dan Gerry Kennedy, CEO Observatory Strategic Management, konsultan mitigasi risiko yang melibatkan dengan klien untuk menganalisis dan mengatasi kerentanan.
BN: Bagaimana kondisi asuransi siber saat ini?
GK: Pasar asuransi siber terus berkembang karena perusahaan asuransi semakin memahami ancaman, tetapi periode kebingungan kini berkembang menjadi periode aksi dan pengetatan kebijakan.
Penanggung mulai menyadari keberadaan dunia maya di mana-mana dan sekarang memahami dampak yang sangat kinetik yang dapat ditimbulkan oleh serangan dunia maya.
Menanggapi hal ini, mereka memperbarui kebijakan mereka untuk membuatnya lebih jelas tentang apa yang mereka lakukan dan tidak definisikan sebagai aman. Segera kita akan mulai melihat perusahaan asuransi menetapkan dengan tepat tindakan teknis apa yang harus diadopsi perusahaan untuk melindungi aset mereka. Jika mereka tidak mengambil langkah-langkah ini, mereka tidak akan mendapatkan asuransi.
BN: Masalah apa yang menjadi faktor risiko terbesar bagi perusahaan asuransi dunia maya saat ini?
GK: Salah satu kekhawatiran terbesar pemegang polis saat ini adalah mereka tidak tahu apakah harus mempercayai perusahaan asuransi lagi. Organisasi sangat terpukul setelah COVID dan ada kekhawatiran yang meningkat bahwa perusahaan asuransi tidak akan membayar ketika terjadi kesalahan. Hal ini diperparah oleh fakta bahwa para konsultan sekarang mengatakan kepada pelanggan mereka untuk tidak membeli asuransi dunia maya hari ini, dan mengatakan untuk membelanjakan anggaran mereka untuk alat pertahanan saja.
Menanggapi meningkatnya ketidakpastian ini, perusahaan asuransi perlu lebih transparan dan memperbarui kebijakan untuk memenuhi kebutuhan bisnis dunia maya saat ini. Ini akan mengembalikan kepercayaan ke industri, tetapi juga akan memaksa organisasi untuk mengadopsi alat yang lebih kuat untuk melindungi data mereka.
BN: Perubahan kebijakan apa yang perlu dilakukan oleh perusahaan asuransi dunia maya untuk melindungi industri dan menyelamatkannya dari keruntuhan?
GK: Penanggung perlu memahami di mana mereka sekarang, dan apa yang perlu mereka lakukan untuk membawa mereka ke tempat yang mereka inginkan. Beberapa polis asuransi yang ada saat ini dikembangkan pada pertengahan abad lalu, jadi langkah pertama adalah memperbaruinya agar sesuai dengan lanskap digital saat ini.
Cyber sangat dapat diasuransikan tetapi harus dilakukan dengan benar. Penanggung berada dalam bisnis bahaya, dan mereka perlu mendefinisikan dengan jelas apa yang mereka pertanggungkan serta pengecualiannya.
Beri nama bahayanya dan tentukan seperti apa seharusnya keamanan dengan menjelaskan solusi dan alat yang dibutuhkan organisasi untuk mengamankan jaringan mereka. Penanggung tidak boleh kabur.
BN: Ancaman siber apa yang menciptakan risiko terbesar bagi perusahaan asuransi siber?
JOT: Di balik hampir setiap serangan dunia maya saat ini terdapat kredensial karyawan yang dikompromikan. Ini berarti bahwa perusahaan asuransi harus memiliki kontrol keamanan yang lebih ketat tentang bagaimana organisasi mengamankan kredensial akses mereka.
Organisasi sering menjadi sasaran melalui karyawan mereka menggunakan penipuan phishing, dan ketika seorang karyawan ditipu, mereka menyerahkan kredensial akses jaringan mereka. Penjahat memasuki jaringan, dan dari sana, karena begitu banyak organisasi menggunakan solusi sistem masuk tunggal yang berarti tidak ada hambatan keamanan begitu mereka berada di dalam jaringan, mudah bagi mereka untuk bergerak secara lateral, meningkatkan hak istimewa, mencuri data, dan menyebarkan ransomware.
Penanggung perlu menekan penyebab utama pelanggaran ini dan menambahkan ke kebijakan mereka perlunya kredensial karyawan untuk dikontrol dengan cermat oleh organisasi, bukan karyawan. Itu berarti menuntut agar kredensial dienkripsi sehingga tidak dapat dicuri oleh musuh, dan bahwa seluruh akses jaringan perusahaan tersegmentasi sehingga setiap pintu digital diamankan dengan kata sandi kuat yang dibuat secara acak dan independen untuk mencegah pergerakan lateral.
BN: Risiko dunia maya apa yang perlu ditangani oleh bisnis untuk membantu mereka mencapai asuransi dunia maya di masa depan?
JOT: Meskipun banyak bisnis memahami bahwa kredensial adalah penyebab utama pelanggaran, mereka tidak tahu cara mengatasi masalah ini dengan cara yang benar. Ketika dunia mulai menghubungkan TI dan OT mereka secara besar-besaran ke jaringan, itu membuat dua kesalahan penting yang harus kita bayar hari ini. Pertama, saat Anda bekerja di tempat fisik, Anda diberi kunci ke berbagai situs dan ruangan. Namun saat Anda bekerja secara digital, tiba-tiba Anda membuat kunci — kata sandi — untuk semua sistem dan data yang perlu Anda akses. Itu berarti perusahaan tidak lagi memiliki kendali atau visibilitas atas aksesnya sendiri. Hilangnya kontrol kata sandi akses ini harus dikembalikan.
Kedua, saat Anda bekerja di tempat fisik, Anda memiliki banyak pintu untuk dibuka dari satu tempat ke tempat lain. Jika Anda bekerja di lokasi nuklir misalnya, Anda tidak bisa hanya membuka satu pintu untuk langsung menuju ke reaktor. Anda harus membuka kunci pintu akses yang berbeda. Namun saat Anda bekerja secara digital, tiba-tiba dengan akses masuk tunggal Anda dapat membuka semua pintu sekaligus. Artinya, perusahaan tidak lagi memiliki lapisan akses, segmentasi, dan ketahanan, karena semuanya telah digabungkan menjadi satu titik akses. Hal ini terjadi saat Anda menerapkan teknologi Single Sign-on, seperti pengelola kata sandi akses tunggal, solusi Identity Access Management (IAM), atau Privileged Access Management (PAM). Solusi ini menghilangkan kebutuhan karyawan untuk mengingat banyak kata sandi, tetapi dengan melakukan itu, memudahkan penjahat untuk hanya menemukan satu kata sandi, misalnya melalui phishing — untuk mendapatkan semuanya sekaligus.
Risiko semakin diperburuk ketika orang mulai menggunakan biometrik identitas mereka, karena ini adalah data pribadi yang tidak dapat diubah. Ketika biometrik dikompromikan, mereka tidak dapat dihapus atau diubah, membuat orang berisiko mengalami pencurian identitas dan kematian digital.
Untuk mencapai cakupan di masa mendatang, organisasi perlu memperbaiki kedua masalah ini.
BN: Perubahan asuransi siber apa lagi yang dapat kita harapkan di masa mendatang?
GK: Harapan ganti rugi penuh atas kerugian akan hilang, kecuali jika organisasi meningkatkan kewajiban mereka untuk menjaga keamanan aset mereka. Organisasi perlu memetakan masalah dunia maya yang paling memprihatinkan mereka dan kemudian menunjukkan kepada perusahaan asuransi apa yang mereka lakukan untuk melindungi mereka, karena ini akan menjadi satu-satunya cara untuk mencapai pertanggungan di masa depan. Saat mendemonstrasikan bagaimana organisasi melindungi aset mereka, mereka perlu menunjukkan vendor dan layanan terkelola yang bekerja sama dengan mereka dan bagaimana mereka membuat organisasi lebih aman dan lebih sulit dilanggar
JOT: Sudah lama datang tetapi perusahaan asuransi akhirnya mulai sadar akan risiko siber yang meluas dan sistemik. Ancaman ini bukannya tidak dapat diasuransikan, tetapi panduan baru yang terkait dengan domain digital-fisik kembar saat ini harus ditambahkan ke dalam kebijakan. Bagian penting dari ini akan berfokus pada akses jaringan karyawan, yang mengarah pada keamanan IT dan OT, dan pentingnya organisasi yang menggunakan akses jaringan terenkripsi dan segmentasi akses jaringan.
Kredit Gambar: FuzzBones/Shutterstock
