Versicherungen haben generell einen schlechten Ruf, und doch kann (und sollte) die Beziehung zwischen einem Unternehmen und seinem Versicherer im Bereich der Cyberversicherung alles andere als feindlich sein.
Es ist weitaus klüger, Ihren Cyberversicherer als Partner zu betrachten, damit Sie die vielfältigen Tools, branchenweiten Informationserhebungen und das umfassende Fachwissen nutzen können, das diese Versicherer zu bieten haben. Wir erörtern hier, wie Cyber als einzigartiges Spezialgebiet in der Versicherungswelt funktioniert und welche spezifischen Fähigkeiten und Dienstleistungen ein erstklassiger Cyberversicherer bieten sollte.
Moderator: Mike Curran, VP of Global Talent, Tanium
Gast: Peter Hedberg, VP of Cyber Underwriting, Corvus Insurance
Shownotes
Weitere Informationen zur Cyberversicherung finden Sie in unseren Artikeln in Focal Point, Taniums preisgekröntem Online-Magazin für Cybernachrichten, sowie in diesen weiteren nützlichen Ressourcen.
- Freunden Sie sich mit Ihrem Cyberversicherungsagenten an, Teil 1—Why Warum es wichtig ist | Focal Point
- Freunden Sie sich mit Ihrem Cyberversicherungsagenten an, Teil 2—The Schritte, die Sie jetzt unternehmen sollten | Focal Point
- Die Kosten für Cyber-Versicherungen sind stark gesunken. Was ist los? | Focal Point
- 5 Mythen – und Realitäten – rund um Cyber-Versicherungen | Focal Point
- Wie der Ukraine-Krieg die Cybersicherheitsversicherung beeinflusst | Focal Point
- Muss der Abschluss einer Cyber-Versicherung wirklich so mühsam sein? | Tanium
- Risikobewertungen, die Ihren Weg zur Cyber-Versicherungszeichnung erleichtern können | Tanium (Datenblatt)
- Organisationen, die Tanium gemeinsam mit ihren Cyber-Versicherungsanbietern nutzen – Die Kraft der Gewissheit | Tanium (Whitepaper)
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
"Anders als eine Sachversicherung, die man zu Jahresbeginn abschließt, [ins Regal stellt] und hofft, diesen Anruf nie tätigen oder sich damit befassen zu müssen, ist Cyber eine fortlaufende Kommunikation zwischen einem Versicherer und dem Versicherungsnehmer. Es ist eine Beziehung, die in der Versicherungsbranche einzigartig ist – und das liegt daran, dass sich das Risiko und die Exposition im Laufe des Jahres ständig weiterentwickeln."Peter Hedberg, VP Cyber-Underwriting, Corvus Insurance
Mike Curran: Versicherungsagenten werden oft mit Zahnärzten verglichen: Sie sind notwendig, werden aber manchmal mit schmerzhaften Eingriffen und Ereignissen in Verbindung gebracht. Hallo, ich bin Mike Curran, VP of Global Talent hier bei Tanium, und heute werden wir in Let's Converge darüber sprechen, wie und warum Sie Ihren Cyber-Versicherer kennenlernen sollten.
Wenn ein Angriff stattfindet, herrscht oft ein ziemliches Chaos, und das ist nicht der richtige Zeitpunkt, um eine Beziehung zu Ihrem Versicherer aufzubauen. Heute ist Peter Hedberg bei mir zu Gast. Peter ist VP of Cyber Underwriting bei Corvus Insurance. Peter verfügt über mehr als 20 Jahre Erfahrung. Corvus wird von einer Plattform für künstliche Intelligenz unterstützt, die eingesetzt wird, um Cyber-Risiken in der Umgebung ihrer Kunden zu scannen und zu erkennen. Darauf werden wir gleich noch eingehen. Aber zunächst einmal: Herzlich willkommen im Podcast, Peter.
Peter Hedberg: Danke, dass ihr mich eingeladen habt.
Curran: Wir nennen diesen Podcast „Wie und warum man sich mit seinem Cyber-Versicherer anfreunden sollte", und wir werden noch auf das Wie eingehen, aber fangen wir mit dem Warum an. Warum sollten Unternehmen Kontakte knüpfen und ihren Cyber-Versicherer kennenlernen?
Hedberg: Ich denke, Versicherungen sind wie der Zahnarzt – jemand, den man nicht allzu oft aufsuchen möchte. Und ich glaube, wenn es darum geht, mit Versicherungen und Versicherungsmaklern umzugehen, sagen die Leute: Das ist jemand, der mein Geld nimmt und mir ein Stück Papier gibt. Das ist die häufigste Kritik an Versicherungen, und ich verstehe sie. Es gibt eine lange Geschichte der Versicherungsbranche, die zeigt, dass Menschen nicht den Mehrwert erhalten haben, den sie erwartet hatten.
Cyber ist in dieser Hinsicht eine echte Ausnahme, und anders als bei einer Sachversicherung, bei der man zu Jahresbeginn eine Police abschließt, sie ins Regal stellt und hofft, nie anrufen oder sich damit befassen zu müssen, ist Cyber ein fortlaufender Dialog zwischen dem Versicherer und dem Versicherungsnehmer. Es handelt sich dabei um eine Beziehung, die in der Versicherungsbranche einzigartig ist – und das liegt daran, dass sich das Risiko und die Exponierung im Laufe des Jahres kontinuierlich weiterentwickeln.
Ich nenne Ihnen ein gutes Beispiel: Wir führen umfangreiche aktive Scans in unserem Versicherungsbestand durch. Ein Sachversicherer kommt nicht zwischendurch vorbei, um Gebäude zu überprüfen. Das interessiert ihn nicht. Sie haben keine Investition darin getätigt. So gehen sie nicht vor. Sie tun es einmal im Jahr, während wir monatlich, vierteljährlich und bei neu auftretenden Risiken scannen. Im März 2021 wurde die On-Premises-Microsoft-Exchange-Sicherheitslücke veröffentlicht. Wir konnten alle unsere Kunden scannen, herausfinden, wer von dieser Schwachstelle betroffen war, und uns während der Laufzeit der Police mit ihnen in Verbindung setzen. Ich habe zwar keinen vertraglichen Mechanismus, um ihre Einhaltung durchzusetzen, aber ich kann Ihnen sagen, dass viele von ihnen mich zurückgerufen und gesagt haben: Das war mir nicht bekannt, vielen Dank. Und sie haben den Patch eingespielt.
Das ist also ein aktiver Stil des Risikomanagements, den man bei vielen anderen Versicherungsarten so nicht wirklich sieht.
Curran: Das ist interessant. Wenn Sie davon sprechen, dass Cyberversicherungsunternehmen über Tools verfügen, erzählen Sie uns ein wenig über die Tools, die Sie einsetzen, und wie Sie diese verwenden.
Hedberg: Wir führen viele externe Scans durch, und Sie wären überrascht, was wir aus diesen Scans gewinnen können. Wir können kritische Schwachstellen finden, insbesondere beim Remote-Desktop, der nach wie vor ein sehr großes Risiko darstellt, vor allem bei öffentlich zugänglichen Ports. Wir können herausfinden, welche Art von E-Mail-Gateway Sie verwenden, ob Sie überhaupt eines verwenden oder ob Sie einfach die native Filterung Ihres E-Mail-Dienstes nutzen. All das fließt in eine Bewertung ein, und diese Bewertung wird für uns in einen Tarif umgerechnet. Was sich hinter der Firewall befindet und aus offensichtlichen Sicherheitsgründen nicht gescannt werden kann, lässt sich in einem Antrag weitgehend abfragen. Daher mussten wir das traditionelle Underwriting mit unseren technischen Möglichkeiten verbinden, um zu einer Preisgestaltung für unsere Versicherungsnehmer zu gelangen.
Curran: Peter, erzählen Sie mir von Pixel-Tracking-Software und warum sie ein Problem darstellt.
Hedberg: Das ist eine sehr gute Frage. Ich denke, dass im Bereich Cyber derzeit ein großer Fokus auf dem liegt, was wir als Erstparteienrisiko bezeichnen – also Ransomware, Netzwerkunterbrechungen, entgangene Geschäftseinnahmen und all diese Dinge. Leider beobachten wir jedoch einen Anstieg dessen, was wir als Drittparteienrisiko bezeichnen. Und das ist ein Risiko, das von der Klägerseite ausgeht. Sehr kreative Anwälte beginnen nun, obskure und wenig bekannte Gesetze zu nutzen, um Klagen einzureichen, insbesondere Sammelklagen. Sie zielen auf Gesetze ab, die sogenannte private Klagerechte beinhalten, die es Klägern ermöglichen, Schadensersatz zu fordern oder lediglich einen Verstoß gegen ein Gesetz gegenüber einer dritten Partei geltend zu machen.
Eines der prominenten Beispiele, das wir inzwischen sehen, ist Pixel-Tracking-Software. Der Grund, warum sie gefährlich ist, liegt darin, dass viele Organisationen sie verwenden, ohne zu wissen, dass sie sie verwenden. Möglicherweise haben sie mit einem Marketingberater oder einer Werbeagentur zusammengearbeitet, die diese Software eingesetzt hat, ohne sie darüber zu informieren, da sie schlicht als Standard gilt.
Was Pixel-Tracking-Software also tut, ist, die Bewegungen und die Navigation von Nutzern auf einer Website zu verfolgen. Wenn die IP-Adresse eines Nutzers ermittelt werden kann, lässt sich daraus verhältnismäßig [leicht] eine Identität ableiten. Die Herausforderung dabei ist, insbesondere im Gesundheitswesen: Wenn Sie sich auf einer Gesundheitswebsite befinden und Ihre IP-Adresse bekannt ist und Sie beispielsweise nach Knieoperationen oder dem jeweiligen Fachgebiet eines Krankenhauses suchen, könnte das eine Diagnose über Sie und Ihre Identität preisgeben. Und diese Informationen werden gesammelt und für Marketingzwecke verwendet. Sie haben also gewissermaßen Gesundheitsinformationen über sich preisgegeben, ohne wirklich eingewilligt zu haben. Oder wenn Sie eingewilligt haben, dann in eine sehr lange Datenschutzerklärung auf einer Website, die Sie nicht lesen werden und die Ihnen wahrscheinlich nicht klar genug dargelegt wurde.
Wenn Sie also bemerken, dass Websites heutzutage sehr darauf bedacht sind, Ihnen mitzuteilen, dass sie ein Cookie auf Ihrer Website platzieren werden, sofern Sie dies wünschen, und Sie diese Auswahl treffen. Nun, das ist ein Prozess, der bei Pixel-Tracking-Software seit sehr langer Zeit nicht stattgefunden hat. Niemand hat jemals offengelegt, dass er dies tut. Wir beobachten daher einen starken Anstieg dessen, was wir als Klagen wegen unrechtmäßiger Datenerhebung bezeichnen. Das beschränkt sich nicht nur auf Pixel. Dieses Thema beherrscht derzeit die meisten Schlagzeilen, aber wir haben auch Probleme mit der biometrischen Datenerfassung, insbesondere bei Herstellern, bei denen Mitarbeiter per Fingerabdruck oder Iris-Scan eingestempelt werden und dergleichen.
Und auch hier sind die Offenlegungen einfach nicht umfassend genug. Und so ist die Klägerseite leider – ich nenne sie die rechtlichen Hacker. Ich habe also meine Hacker und dann habe ich meine rechtlichen Hacker, und die sind dabei sehr, sehr kreativ.
Leider führt das zu mehr Verlusten, die wir so nicht wirklich erwartet haben. Es ist schwer, dafür einen Preis festzulegen, und es ist auch schwer, es zu versichern. Die große Frage, die wir uns jetzt stellen, lautet: Welche Daten erheben Sie? Warum erheben Sie diese Daten? Wie lange speichern Sie diese, und brauchen Sie sie wirklich?
Ich glaube, es gibt das Gefühl, dass Daten Öl sind, oder? Es ist das neue Öl, also lasst uns so viel davon sammeln wie möglich. Aber das stimmt nicht – ich meine, es ist die neue Haftung.
Curran: Gibt es bestimmte Branchen, die anfälliger für Pixel-Tracking-Software sind?
Hedberg: Derzeit sind es bis zu einem gewissen Grad Finanzinstitute, aber eigentlich ist es das Gesundheitswesen. Der Fokus liegt auf dem Gesundheitswesen, und wie Sie wahrscheinlich in den Nachrichten gesehen haben, ist das Gesundheitswesen auch weiterhin ein Ziel für Ransomware. Leider sind Gesundheitsorganisationen also von beiden Seiten betroffen – sowohl von der ersten als auch von der dritten Partei.
Curran: OK. Interessant. Ich nehme an, dass Cyber-Versicherer ein Team bereithalten, falls ein Angriff stattfindet. Wie setzt sich dieses Team zusammen? Wer wird zuerst angerufen und wie wird das Team eingesetzt? Wenn ein Angriff stattfindet, welche Art von Team würden Sie mit dem Fall betrauen?
Hedberg: Ja, absolut. Das ist mein erster öffentlicher Hinweis. Es wird wahrscheinlich noch ein paar geben, aber wenn Sie einen Ransomware-Angriff oder einen Vorfall haben, sollte Ihr erster Anruf wahrscheinlich an Ihren IT-Leiter gehen – sofern dieser nicht bereits involviert ist –, um zu beurteilen, was vor sich geht. Der zweite Anruf sollte jedoch an Ihren Versicherer gehen. Leider gibt es viele Situationen, in denen Menschen aus gutem Grund sehr verängstigt sind. Sie rufen ein Forensikunternehmen an, um herauszufinden, was vor sich geht. Sie häufen einen enormen Arbeitsaufwand an und bringen uns dann all diese Kosten mit den Worten: Hier, Sie sind der Versicherer, Sie zahlen.
Leider funktioniert das mechanisch gesehen nicht so. Wir pflegen Beziehungen zu mehreren Anbietern. Wir haben mit ihnen Vorzugskonditionen vereinbart, pflegen langjährige Beziehungen zu ihnen und haben sie bereit, diese Arbeit sofort aufzunehmen. Sie profitieren nicht nur von den Konditionen, die wir ausgehandelt haben, sondern auch davon, dass wir sie sorgfältig geprüft haben, um sicherzustellen, dass sie gute Arbeit leisten werden.
Jedes einzelne IT-Unternehmen, mit dem Sie zusammenarbeiten, jeder interne oder externe Rechtsberater, mit dem Sie zusammenarbeiten, wird Ihnen sagen, dass er ein Experte auf diesem Gebiet ist. Statistisch gesehen ist das wahrscheinlich nicht der Fall. Die Unternehmen, die wir geprüft und mit denen wir Vereinbarungen getroffen haben, sind daher Firmen, von denen wir wissen, dass sie die Arbeit erledigen werden – und das zu einem sehr angemessenen Preis. Damit wird dieses Team einbezogen. Die erste Person, die einbezogen wird, sind wir. Wir verweisen dann auf das, was wir als Breach Counsel oder Breach Coach bezeichnen – das ist in der Regel ein Anwalt. Eine Anwaltskanzlei wird beauftragt und fungiert dann als Generalunternehmer. Sie ermitteln alle Risiken – sind wir hinsichtlich der Datenschutzhaftung exponiert? Sind Daten gefährdet? Und wie hoch ist das Lösegeld und wer fordert es? Und dann ziehen wir Forensiker und Datenforensiker hinzu.
Curran: OK.
Hedberg: Im weiteren Verlauf eines Schadensfalls können wir Buchprüfungsforensiker einschalten, um den tatsächlichen Einkommensverlust zu ermitteln. Aber ja, das ist typischerweise das Dreieck: wir als Versicherer, der Breach Coach und dann die Forensiker. Das ist es, was das Team bildet, das sich mit der Lösung dieser Probleme befasst.
Curran: Interessant. Also, Peter, nehmen wir an, ich bin ein Kunde. Wie kann ich sicher sein, dass das Team, das Sie zur Bewältigung des Angriffs empfehlen werden, das beste Team ist? Ich meine, wie überprüfen Sie kontinuierlich die Personen, die Sie als bevorzugte Anbieter einsetzen, sei es im Bereich Bedrohungsmanagement oder welche Funktion auch immer? Wie gehen Sie bei der Überprüfung des von Corvus empfohlenen Teams vor?
Hedberg: Es basiert wirklich auf der Beziehung – der Dauer dieser Beziehungen und der Erfahrung, die diese Personen einbringen. Cyber-Sicherheit existiert mittlerweile lange genug, dass wir uns mit der Kompetenz bestimmter Personen sehr gut vertraut gemacht haben. Ob sie nun den Namen auf ihrer Visitenkarte ändern, das verstehe ich und das ist in Ordnung, aber wir kennen diese Teams und wissen, wie gut sie arbeiten. Das ist unsere Aufgabe als Versicherer: Wir pflegen diese Beziehungen, damit Sie nicht selbst alle überprüfen müssen.
Außerdem noch ein weiterer Hinweis an alle Versicherungsnehmer: Die Beziehungen, die wir haben, verstecken wir nicht hinter einer Art Firewall. Sie sind herzlich eingeladen zu erfahren, wer diese sind. Wir haben eine Liste bevorzugter Anbieter, die wir als unser Panel bezeichnen und die wir einsetzen. Sie können jederzeit danach fragen, und wir werden es Ihnen zur Verfügung stellen. Und wenn es einen gibt, mit dem Sie eine besondere Beziehung haben oder den Sie im Voraus sichern möchten, sind das Vereinbarungen, die in der Regel getroffen werden können.
Curran: Als Kunde kann ich mir vorstellen, dass sie diese Transparenz und die Schnelligkeit, die ein eingespieltes Team mitbringt, sehr schätzen würden – was zu Beginn eines Angriffs besonders wichtig sein wird. Aber wie offen sind Kunden insgesamt für Vorschläge, und stoßen Sie auf Widerstand – besonders wenn es der erste Angriff ist, den sie erlebt haben? Ich meine, Angriffe passieren regelmäßig, aber wenn es der erste Angriff ist – wie offen sind Kunden dann für Vorschläge?
Hedberg: Ich finde das eigentlich sehr interessant. Es hat eine Entwicklung stattgefunden. Am Anfang haben die meisten unserer Kunden gesagt: „Zahlt das Lösegeld, tut, was auch immer nötig ist, um uns wieder zum Laufen zu bringen. Und wir waren diejenigen, die zurückgekommen sind und gesagt haben: „Sie müssen das Lösegeld nicht zahlen; die Integrität Ihrer Backups ist ausreichend. Wir haben keine ausreichende Datenexfiltration festgestellt, die uns zu der Einschätzung veranlasst, dass Sie für einen Löschschlüssel zahlen müssen." Es schien also, dass wir als Versicherer kein Lösegeld zahlen wollten, weil es die Kosten erhöhen würde. Aber das war wirklich nicht der Fall. Es war einfach eine klügere Verwendung Ihres Geldes, Ihr System mit dem wiederherzustellen, was wir jetzt haben.
Was jetzt passiert ist, ist, dass die öffentliche Wahrnehmung bezüglich der Zahlung von Lösegeld wirklich negativ geworden ist, und ich kann es ihnen nicht verdenken. Mit diesen Lösegeldzahlungen werden Bomben gekauft, um Ukrainer zu töten. Das ist gewissermaßen das, was gerade passiert. Eine der Situationen, mit denen wir jetzt konfrontiert sind, ist, dass wir Versicherungsnehmer haben, die das Lösegeld nicht zahlen wollen, während wir tatsächlich empfehlen, das Lösegeld zu zahlen, weil die Integrität der Daten auf ihrer Seite nicht gut genug ist und ihr Geschäft möglicherweise beeinträchtigen könnte. In manchen Fällen ergibt es tatsächlich am meisten Sinn, das Lösegeld zu zahlen. Wenn wir also gerade über Reibungspunkte sprechen, geht es wirklich darum, ob man zahlt oder nicht. Und ich habe keine allgemeingültige Antwort für Sie, denn jeder einzelne Umstand und jede Situation erfordert derzeit eine andere Antwort.
Curran: Ja, das kann ich mir vorstellen. Wir haben also ein wenig über das Warum gesprochen. Kommen wir nun zum Wie. Welcher Makler ist der richtige, und welche Fragen sollte ich einem Cyber-Versicherer stellen, wenn ich erste Gespräche führe?
Hedberg: Einen guten Makler für diesen Bereich zu finden, ist etwas schwieriger, als man vielleicht denkt. Es ist ein sehr neues Versicherungsgebiet.
Die meisten Versicherungsmakler verfügen über sehr gute Kenntnisse in den Bereichen allgemeine Haftpflicht, Sachversicherung, Kfz-Versicherung und allen traditionellen Versicherungssparten. Sie sollten einen Makler wählen, der über eine Spezialabteilung verfügt. Spezialversicherungen sind ein sehr kleines Segment der Versicherungsbranche, decken aber ab, was wir als die attraktiven Bereiche bezeichnen: Directors-and-Officers-Haftpflicht, Haftpflicht für Beschäftigungspraktiken, berufliche Haftpflicht oder das, was wir E&O nennen. Ein weiterer Bereich, den sie abdecken, ist Cyber. Sie sollten also sicherstellen, dass Ihr Makler über entsprechende Fachkenntnisse verfügt oder eine Person benennt, die als sein Cyber-Experte fungiert.
Wenn sie ihr Handwerk verstehen, werden sie außerdem in der Lage sein, viele technische Fragen zu beantworten. Sie stellen also nicht einfach nur Ihren Versicherungseinkäufer oder Ihren CFO vor sie hin; Sie können Ihren IT-Leiter mit ins Zimmer bringen und ein ziemlich fachkundiges Gespräch darüber führen, was in diesem Antrag steht. Ein Zeichen für einen wirklich guten Makler ist, wenn er bei diesen Themen in die Tiefe gehen kann, denn das ist heutzutage eine technische Angelegenheit.
Früher war das die Domäne der Finanzabteilung. Sie kaufte die Versicherung. Es war ihr nicht unbedingt wichtig, was andere Abteilungen über die Auswirkungen dieser Versicherung dachten. Es ging darum, was gut für das Unternehmen ist, was der Preis ist und wie die Konditionen aussehen. Dieses Gespräch muss jetzt auch die IT-Abteilungen einbeziehen, daher brauchen die Makler Mitarbeiter, die mit IT-Leitern sprechen können. Das ist eine Kompetenz, die sich bei den Maklern jetzt stärker herauszubilden beginnt, aber wenn Sie nach einem guten Makler suchen, ist das genau das, worauf Sie achten sollten. Jemanden, der auf der Maklerseite diese Gespräche führen kann.
Curran: Ja, das macht sehr viel Sinn, wenn man bedenkt, wie einzigartig jeder Angriff ist. Es gibt natürlich einige Gemeinsamkeiten, aber jeder Angriff wird je nach der IT-Umgebung des Kunden einzigartig sein. Man braucht also jemanden, der die Zwiebel schälen kann. Das ergibt also durchaus Sinn.
Sehen Sie bei Unternehmen viele Risikoverantwortliche, die diese Position früher typischerweise nicht hatten? Ist das etwas, das Sie vermehrt auf dem Markt beobachten?
Hedberg: Ja, die Führungsebene wird langsam ziemlich voll. Es gibt jetzt viel mehr Stühle.
Curran: Ja, der CRO ist nicht der Chief Revenue Officer, sondern auch der Chief Risk Officer – nicht nur der Umsatzverantwortliche. Nicht wahr?
Hedberg: Ja, wir müssen diese Bezeichnungen irgendwann auch standardisieren. Ich freue mich sehr darüber, dass die Disziplin des CISO nun in Unternehmen Einzug hält. Früher waren es der IT-Direktor und dann der Chefjurist, die einen Teil der Datenschutzverantwortung trugen, aber jetzt übernimmt der CISO gewissermaßen eine hybride Rolle mit diesen Aufgaben und macht die Unternehmenssicherheit zu einem Thema auf Vorstandsebene.
Ich glaube, dass Vorstände die IT viele Jahre lang als Kostenstelle betrachteten – das sind eben die Kosten, um Menschen Computer in die Hand zu geben und die Arbeit zu erledigen. Jetzt, nach all diesen hochkarätigen Vorfällen, erkennen die Vorstände, dass auch sie einem enormen Risiko ausgesetzt sind. Daher möchten sie sicherstellen, dass sie eine Person im Vorstand haben, die diese Sprache spricht und mit der Sicherheitshygiene der Organisation betraut ist. Es freut mich zu sehen, dass sich daraus eine eigene Disziplin entwickelt. Leider gibt es auf dem Markt einen Mangel an CISOs – wenn Sie also Sicherheitsanalyst sind und das anstreben möchten… – denn es ist eine Sache, Sicherheitsanalyst zu sein, aber eine ganz andere, in einem Vorstand zu sitzen und all diese Verantwortung zu tragen.
Ein CISO zu sein ist schwer. Sie sind der Torwart der Branche, verstanden? Sie werden nicht gelobt, wenn Sie täglich Ihren Job machen und [das Unternehmen] sicher ist. Sie werden einen massiven Rückschlag erleiden, wenn Sie aus irgendeinem Grund doch gehackt werden. Es ist nicht fair: Diese Leute stehen jeden Tag auf, leisten hervorragende Arbeit und werden dafür in der Regel nicht gelobt. Denken Sie also kurz über die Psychologie dahinter nach.
Curran: Das ergibt durchaus Sinn.
Das führt uns zu der Frage, was in ruhigen Zeiten passiert, wenn man nicht angegriffen wird, keine Anrufe bekommt und man seinen Job als CISO einfach macht. In welchem Rhythmus sollte man mit seinem Cyber-Versicherer in Kontakt bleiben, wenn keine Krise vorliegt?
Hedberg: Nun, viele Cyber-Versicherer bieten inzwischen Online-Tools an, die Selbstbewertungen ermöglichen und mir kontinuierliche Berichte liefern. Ich würde das Gespräch von Ihrem Versicherer initiieren lassen. Ich glaube nicht, dass Sie derjenige sein müssen, der sich meldet, obwohl ich es für sinnvoll halte, sich einzuloggen, um den aktuellen Score und das entsprechende Feedback zu überprüfen. Ich denke jedoch, dass man sich auf einen guten Versicherer verlassen kann, der sich meldet, wenn es nötig ist.
Sie sollten also proaktiv handeln, wenn der Versicherer Bedenken geäußert hat, zum Beispiel: „Ich benötige EDR, das innerhalb von 60 Tagen eingesetzt wird, damit diese Bedingungen weiterhin gelten." OK, setzen Sie das EDR ein. Aber generell gesehen sehen wir zuerst die Schadensmeldungen. Wir sehen die problematischen Dinge, und wenn wir der Meinung sind, dass sie für Ihre Organisation relevant sind, werden wir uns mit Ihnen in Verbindung setzen. Wir werden diese E-Mail senden. Wir werden sagen: Hey, wir haben gescannt. Wir glauben, dass Sie eine Log4j Schwachstelle haben, oder wir glauben, dass Sie derzeit MOVEit als Dateiübertragungsprotokoll, also als Software, verwenden. Vertrauen Sie mir, wir werden uns melden. Das ist unsere Aufgabe. Wir sind auch die Risikomanager.
Curran: Perfekt. Von Ihrer Position aus beobachten Sie, wie mehrere Branchen mit Angriffen umgehen und … Unternehmen versuchen, Angriffe zu verhindern. Welche Trends würden Sie für die nächsten ein bis drei Jahre speziell für die Cyberversicherung als zunehmend bedeutsam einschätzen? … [Im Vergleich zu] vor drei Jahren ist das heutige Umfeld ein anderes, und offensichtlich haben geopolitische Ereignisse dazu erheblich beigetragen. Aber was sehen Sie für die Zukunft? Es gibt natürlich das Unbekannte, aber abgesehen davon, was sehen Sie für die Zukunft der Cyberversicherungsbranche?
Hedberg: Ich denke, dass zwei Dinge eintreten werden. Ich glaube, dass Ransomware zunehmend zu einem Schadensfall werden wird. Sie wird bis zu einem gewissen Grad versicherungsmathematisch vorhersehbar werden. Ich glaube nicht, dass sie verschwinden wird. Wir erhöhen unsere Standards. Die Angreifer finden einen neuen Weg, und das ist leider dieses Katz-und-Maus-Spiel, das wir mit ihnen spielen. Und so wird es in dieser Hinsicht weiterhin Gegner geben.
Ich denke, wir werden bald etwas beobachten – und glauben Sie mir, wenn man mit operativen Mitarbeitern spricht, sagen diese immer, man solle die IT nicht das Unternehmen leiten lassen. Aber es gibt eine auffällige Ausnahme.
Ich denke, die IT wird zunehmend stark in das Datenmanagement eingebunden werden. Wie viele Daten speichern wir? Warum speichern wir sie? Sind sie relevant? Gibt es dafür einen geschäftlichen Grund? Wenn wir sie nicht benötigen, müssen wir sie löschen.
Ich denke, ein wesentlicher Aspekt bei der Absicherung Ihrer Drittpartei-Haftung besteht derzeit darin, Daten, die Sie nicht benötigen, einfach zu löschen. Und ich denke, viele Organisationen, insbesondere im operativen Bereich, wollen es nicht loswerden, weil sie wieder glauben, dass es einen geschäftlichen Nutzen oder einen Bedarf dafür gibt. Wissen Sie, es ist Öl. Ich denke also, dass wir dort einige Spannungen erleben werden.
Und ich denke, wir werden sehen, dass die Klägeranwälte kreativer werden. Ich meine, sie haben bereits einige frühe Erfolge mit Pixel erzielt und wieder mit obskurer Gesetzgebung: dem Datenschutzgesetz für Videos oder alten Abhörgesetzen aus dem 1960s. Wir beobachten also zunehmend viel Aktivität in diesem Bereich, und ich glaube nicht, dass das so bald enden wird. Das ist also die Richtung, in die ich es sich entwickeln sehe.
Curran: Ja, dem würde ich zustimmen. Ich denke, das Horten von Daten scheint ziemlich verbreitet zu sein. Sie nutzen die Daten nicht, sie sind für Ihr Unternehmen nicht von Nutzen, aber sie befinden sich trotzdem in Ihrer Umgebung. Das auszusortieren – ich denke, die DSGVO und einige dieser anderen Regelungen erzwingen solche Maßnahmen, aber je mehr Datenhygiene, wie Sie sagen, stattfindet, desto geringer wird das Risiko für das Unternehmen sein. Das ergibt also durchaus Sinn.
Gibt es noch etwas, das Sie heute über Cyber-Versicherungen mitteilen möchten – wo sie aktuell stehen und wohin sie sich entwickeln?
Hedberg: Es gibt derzeit viele Möglichkeiten bei der Cyber-Versicherung. Wenn Ihr Makler zu Ihnen zurückkommt und Ihnen ein Angebotsblatt zeigt, werden Sie dort sehr unterschiedliche Preise sehen. Lassen Sie sich von ihnen beraten, welcher Versicherer der richtige ist. Wir arbeiten täglich mit diesen Agenten zusammen und präsentieren, was wir tun und warum wir es besser machen – oder warum wir beispielsweise Hersteller gegenüber dem Gesundheitswesen bevorzugen und warum wir uns möglicherweise auf diesen Bereich spezialisiert haben. Seien Sie also nicht überrascht, wenn Sie bei den zurückkommenden Angeboten gewisse Unstimmigkeiten in den Zahlen feststellen. Der Markt ist nach wie vor sehr... Ich würde es vielfältig nennen. Es gibt eine Vielzahl von Versicherern mit unterschiedlichen Anforderungen.
Curran: Es klingt, als würden Sie nicht nur Cyberversicherungen anbieten, sondern auch viel Aufklärungsarbeit bei Unternehmen leisten.
Hedberg: Ja, das tun wir. Und das ist wiederum ein wesentliches Unterscheidungsmerkmal gegenüber anderen Versicherungsarten. Wir haben ein großes Interesse daran, dass die Menschen, die gerade zuhören, und unsere Versicherungsnehmer aktiv eingebunden sind.
Curran: Verstanden. Vielen Dank, Peter. Ich schätze Ihre Zeit heute sehr.
Hedberg: Gern geschehen.
Curran: Ich habe mit Peter Hedberg gesprochen, VP of Cyber Underwriting bei Corvus Insurance.
Wenn Sie mehr erfahren möchten, besuchen Sie Focal Point, Taniums preisgekröntes Online-Magazin für Cyber-Nachrichten. Links zu Artikeln finden Sie in den Show Notes. Oder besuchen Sie Tanium.com/p für Publikationen.
Um weitere Gespräche mit den führenden Unternehmensverantwortlichen und Sicherheitsexperten von heute zu hören, abonnieren Sie Let's Converge in Ihrer bevorzugten Podcast-App. Und wenn Ihnen diese Episode gefallen hat, geben Sie uns bitte eine Fünf-Sterne-Bewertung.
Danke fürs Zuhören. Wir freuen uns darauf, in der nächsten Episode von Let's Converge weitere Cyber-Einblicke mit Ihnen zu teilen.
