Già da diversi anni si parla con più attenzione di cyber security e cyber insurance, con imprenditori ed esperti a trovare il giusto equilibrio fra rigidità normative da rispettare e compliance tecniche da seguire.

Al centro di tutto vi è la necessità di controllare – nel tentativo ultimo di azzerarlo – il rischio informatico connesso alla sicurezza delle informazioni. Informazioni che includono dati e segreti di business parimenti alle informazioni sui dati personali di clienti e utenti in ragione della protezione della privacy.

In passato il focus era rivolto principalmente a definire un perimetro di sicurezza che includeva risorse e dinamiche tecniche, mentre oggi fattori di procedura e comportamento di dipendenti, manager e professionisti vengono riposte al centro tra i fattori più importanti che riguardano la sicurezza.

Il portare sul cloud gran parte delle informazioni e dei tool ha permesso l’accesso a tali strumenti e dati anywhere and everywhere, ossia sempre e comunque e da qualunque dispositivo. Se da una parte questo produce un vantaggio notevole per accelerare processi e lo sviluppo del business, dall’altra espone a una maggiore consapevolezza di protezione riguardo a possibili data breach.

E più le organizzazioni sono meno strutturate e più è elevato il rischio informatico a cui vanno incontro. Rischio da cui deriva un pericoloso danno di immagine oltre a una perdita di business immediato.

Come accennavamo prima, azzerare un rischio informatico è un obiettivo finale difficilmente raggiungibile in pieno, per cui si preferisce parlare più di controllo. Troppo complessi i sistemi, troppo raffinati gli schemi di attacco. Ed è questo il momento in cui si può parlare di cyber insurance, ovvero polizze adeguate per la copertura del patrimonio aziendale in conseguenza a un attacco informatico.

In questa sede ci limiteremo a riassumere le tre principali categorie di rischio che la cyber insurance va a considerare: 

  1. Danni materiali diretti, ossia il furto o la distruzione (dolosa o accidentale) di hardware per la conservazione e/o l’accesso alle informazioni, quali server, PC, tablet e smartphone;
  2. Danni materiali indiretti, ossia i danni provocati a componenti hardware o macchinari che ne impediscono il corretto funzionamento (basti pensare a eventi catastrofici che possono distruggere una server farm, o malfunzionamenti elettrici che possono provare corto circuiti in dispositivi in azienda);
  3. Danni immateriali, vale a dire tutti le possibili cause di corruzione dell’insieme logico dei dati e delle informazioni, e che possono essere derivate da azioni dirette (una cancellazione volontaria di un database da parte di un dipendente poco attento) o azioni indirette (virus e malware).