Natura del Rischio Cibernetico/Informatico

• Il rischio informatico, o cyber risk, è un rischio di tipo operativo associato alle perdite economiche inflitte ad una organizzazione dalla mancata confidenzialità, disponibilità di integrità di informazioni e/o sistemi informativi, propri o di terzi.
• La sua origine può essere:
  • Accidentale. Sono eventi che si verificano indipendentemente dalla volontà di tutti i soggetti coinvolti (Esempio - spegnimento del Server)
  • Deliberata (Esempio - Cyber crime). sono eventi che derivano da azioni volontarie di soggetti allo scopo di raggiungere obiettivi personali di varia natura (Esempio - furto di dati sensibili)
• Il danno economico ad una organizzazione può derivare da malfunzionamenti del proprio sistema IT od essere conseguenza di malfunzionamenti di altri sistemi su cui non si ha il controllo.
• Il rischio cyber può avere caratteristiche sistemiche, al pari del rischio finanziario. Casi isolati possono ripercuotersi su scala ben maggiore.

Conseguenze potenziali di un evento cibernetico (accidentale e/o deliberato)

• Interruzione dell'attività;
• Danno reputazionale / di immagine;
• Diffusione di informazioni sensibili (Clienti, pazienti, impiegati, fornitori)
• Violazione informazioni finanziarie, violazione conti bancari;
• Violazione proprietà intellettuali;
• Perdite quote di mercato;
• Appropriazione identità;
• Azioni legali da terzi;
• altro ..

Due tipologie di coperture (danni):

• Assicurazione primaria diretta che risarcisce chi si assicura (danni ad asset informatici, interruzione attività, danno reputazionale, estorsione. furto, ecc..)
• Assicurazione RC Terzi (violazione dati sensibili, costi forensi, azioni legali, indennizzi a terzi)

I Rami assicurativi interessati dal rischio Cyber:

• Le polizze tradizionali con cui mettere in relazione la copertura Cyber o da analizzare in ottica Cyber prima di prendere delle decisioni sono:
  • Polizza Incendio;
  • Polizza Danni Indiretti o Business Interruption;
  • Polizza Elettronica;
  • RC Generale - Responsabilità civile Generale;
  • RC Professionale - Responsabilità civile Professionale;
  • RC Prodotti - Responsabilità civile per prodotto difettoso;
  • D&O - Responsabilità degli Amministratori e dei Dirigenti.

Spesso i testi di polizza non considerano o escludono in maniera specifica le problematiche ICT (Tecnologie dell'Informazione e della Comunicazione) correlate.

• Una copertura Cyber è di solito strutturata in macro-moduli attivabili o meno, generalmente riguardanti:
  • Responsabilità civile verso Terzi, tipicamente per violazione della Privacy o utilizzo non autorizzato della infrastruttura informatica;
  • Costi di reazione indennizzabili a fronte di sinistro;
  • Danni indiretti.

Esempio non esaustivo di Requisiti minimi di sicurezza informatica per l'operatività della garanzia Cyber Risk:

1. backup dei Dati con una frequenza almeno settimanale ed assicurare che tali backup siano archiviati in ambienti separati dalla Rete.
2. presenza,  costantemente attivo ed aggiornato, di un software anti-malware a protezione del proprio Sistema Informatico.
3. presenza di password d'accesso (minimo 8 caratteri inclusi caratteri alfanumerici con aggiornato almeno trimestrale delle stesse) al proprio Sistema Informatico ed alla Rete ed al FIREWALL.
4. presenza di password d'accesso alla rete WIFI (tecnologia WPA2).
5. utilizzo di un Sistema Operativo oggetto di periodico aggiornamento da parte della software-house licenziante, al momento della stipula de contratto.

   Nel caso di utilizzo di apparecchiature elettroniche mobili:

1. Blocco automatico con password (dopo massimo 15 minuti) dell'apparecchiatura elettronica mobile.
2. i Dati contenuti nei supporti di memorizzazione dell'apparecchiatura (ad esclusione della RAM) inerenti all'attività siano protetti con sistemi di criptazione.
3. connessione BLUETOOTH non visibile e configurata per la connessione solo con apparecchiature esplicitamente autorizzate. 

Tra le altre cose il Regolamento Europeo 679/2016 (GDPR) ha previsto l'istituzione di una NUOVO soggetto del trattamento dei dati all'interno del sistema PRIVACY, il D.P.O. (Data Protection Officer) il Responsabile della protezione dei Dati, quindi volendo una NUOVA figura professionale.