À mesure que les systèmes s’éloignent des réseaux matériels sécurisés et centralisés, les points de contact potentiels pour les cybercriminels augmentent de façon exponentielle. (iStock)
À mesure que les cyber-expositions continuent d’évoluer, les souscripteurs immobiliers (ainsi que ceux des autres lignes d’assurance traditionnelles) sont de moins en moins disposés à inclure une couverture pour les dommages physiques causés par une cyberattaque. L’intolérance réglementaire croissante de la soi-disant « cyber-cyber silencieuse », menée par les mesures prises par la Prudential Regulation Authority du Royaume-Uni et la Lloyd’s de Londres, signifie que tous les assureurs du Lloyd’s doivent bientôt inclure explicitement ou exclure la cyber-couverture malveillante et non malveillante. Avec le durcissement du marché, la majorité des gammes de produits optent pour ce dernier, laissant de nombreux assurés qui comptaient auparavant sur la cyber-couverture dans leurs polices tous risques, avec un écart de couverture important.
D’autres régulateurs devraient emboîter le pas, l’agence de notation Fitch ayant déjà annoncé qu’elle commencerait à intégrer la gestion du cyber-risque non affirmatif dans ses notations. Par la suite, l’ampleur de cet écart de couverture devrait se creuser dans les années à venir.
La croissance de l’IoT signifie plus d’opportunités pour les hackers
La vitesse et la capacité accrues de la 5G joueront un rôle important dans la croissance des technologies IoT (Internet des objets), dont beaucoup sont en cours de développement pour une utilisation dans des bâtiments intelligents et des environnements opérationnels. Malheureusement, dans la course au développement rapide d’appareils intelligents, la sécurité et la sécurité publique peuvent souvent être une réflexion après coup. Selon un rapport de McKinsey, le nombre mondial d’appareils connectés à l’IoT devrait passer à 43 milliards d’ici 2023, soit près du triple du nombre en 2018. À mesure que les systèmes s’éloignent des réseaux matériels sécurisés et centralisés, les points de contact potentiels pour les cybercriminels augmentent de façon exponentielle tandis que la portée de ce qui doit être protégé et surveillé par les fonctions de sécurité est également étendu.
D’autres progrès technologiques offrent également de nouvelles opportunités aux cybercriminels. Les systèmes de gestion de bâtiment intelligents, par exemple, peuvent contrôler une myriade de fonctions, des systèmes de gicleurs, ascenseurs, vidéosurveillance, chauffage et climatisation, à la protection contre les tempêtes, aux systèmes d’alerte précoce et de sécurité – le tout sur un seul système géré de manière centralisée, ce que de nombreux pirates sont bien. équipé pour détourner. Le simple fait d’activer un système de gicleurs pourrait avoir un impact dramatique sur une entreprise, qui, bien que manquant potentiellement du glamour d’une cyberattaque imaginée par un blockbuster hollywoodien, pourrait néanmoins être très dommageable.
Environnements technologiques opérationnels menacés
De même, les usines de fabrication, les services publics et de nombreux autres secteurs industriels sont de plus en plus automatisés. Leurs environnements de technologie opérationnelle (OT), essentiellement la technologie utilisée pour faire fonctionner les choses (usines, centrales électriques, équipements des installations, etc.), ont souvent été conçus avant même que la cybersécurité ne soit prise en compte. Compte tenu des avantages d’efficacité qui découlent de la convergence des environnements de technologie de l’information (TI) et OT, l’interconnectivité OT est devenue courante au cours de la dernière décennie. Ces systèmes désormais connectés, souvent dépourvus des fonctionnalités de cybersécurité les plus élémentaires, peuvent facilement devenir des canards pour les cybercriminels.
Ce n’est pas de la science-fiction, ça se passe maintenant. Lors d’une attaque récente, des pirates ont eu accès au système de contrôle d’une aciérie allemande, provoquant la défaillance de composants de l’usine, entraînant des dommages à un haut fourneau. Un logiciel déployé dans un système de pipeline turc a arrêté les alarmes et augmenté la pression du pipeline, ce qui a finalement provoqué une explosion. Et il y a quelques années, des logiciels malveillants auraient arrêté les systèmes d’instrumentation de sécurité d’une usine pétrochimique en Arabie saoudite. La connectivité accrue de la technologie opérationnelle, l’utilisation de l’IoT pour contrôler les systèmes critiques et les exemples croissants de logiciels malveillants ciblant l’environnement OT signifient que des exemples futurs et plus dommageables d’attaques similaires semblent inévitables.
De plus, ce ne sont pas seulement les biens traditionnels qui sont menacés. Cette dépendance accrue à l’égard de la technologie se répercute sur tous les aspects de la société d’aujourd’hui – depuis cargaison, bateaux, grues, excavatrices et bornes de recharge pour véhicules électriques. Tout équipement doté d’une technologie connectée peut exposer les entreprises à des dommages physiques potentiellement importants qui pourraient ne plus être couverts par leurs polices tous risques existantes.
Les entreprises doivent mieux se préparer aux cyberattaques physiques
Alors que les violations de données et attaques de ransomware sont aujourd’hui largement compris dans toutes les industries, la prise de conscience générale des dommages physiques que les cyberattaques peuvent causer reste préoccupante. Cela est en partie lié aux exigences réglementaires. Dans de nombreux pays, les entreprises sont légalement tenues de signaler les violations de données, ce qui a tendance à faire la une des journaux lorsque de grandes entreprises révèlent qu’elles ont été victimes d’une attaque. Les articles dans les médias augmentent la sensibilisation générale au risque, comme cela a été démontré en 2017 lorsque Attaques NotPetya et WannaCry fait des noms familiers de logiciels malveillants et de ransomwares. En revanche, peu de pays ou de régulateurs exigent des entreprises qu’elles signalent les dommages matériels résultant d’une cyberattaque. De tels incidents font donc rarement la une des journaux, laissant les chefs d’entreprise et la population dans l’ignorance des leçons que de tels exemples pourraient enseigner.
Même pour les assureurs, il est difficile de se faire une idée de la totalité des dommages matériels liés à la cybersécurité. Par exemple, dans le passé, lorsqu’un cyberincident causait une perte physique dans le cadre d’une police de propriété tous risques traditionnelle, la perte pourrait très bien ne pas avoir été identifiée comme un incident cyber-lié ou enregistrée comme telle. Par la suite, cela laisse les assureurs sans données historiques sur ces types de réclamations. Ce manque de données historiques approfondies sur les pertes n’est cependant pas différent des premiers jours du cyber-marché des dommages non physiques, même si une connectivité accrue de l’IoT à l’avenir, les souscripteurs doivent veiller à ne pas trop se fier aux événements historiques comme guide pour l’avenir dans cet espace.
Ce qui est plus important, c’est de modéliser l’exposition à l’avenir, en fonction de l’environnement actuel et de s’assurer que les souscripteurs sont à l’écoute des subtils changements d’interconnectivité dans le domaine physique qui se produisent à mesure que nous avançons dans l’avenir.
Les progrès technologiques s’accompagnent d’une commodité et d’une efficacité accrues, mais elles apportent également de la complexité et des risques. Beaucoup de connaissances ont été acquises depuis les débuts de la cyber-assurance et la mise en commun de ces connaissances dans une approche consultative et partenariale, entre assureur, courtier et cyber-experts externes, contribuera à combler l’écart de couverture pour nos clients, leur permettant de saisir pleinement les opportunités disponibles. à eux pour assurer une couverture continue de cette exposition en évolution.
Camilla Walker est cyber-souscripteur chez Canopius. Elle a rejoint le (ré) assureur mondial des lignes spécialisées à la suite de la fusion avec AmTrust chez Lloyds en 2019. Basée à Londres, les responsabilités de Camilla comprennent le développement de solutions sur mesure pour des clients couvrant toutes les facettes du paysage cyber et technologique, allant des PME aux grandes multinationales. Avant de rejoindre Canopius, Camilla a été souscripteur de cyber et de propriété intellectuelle chez Liberty Specialty Markets.
En relation:
