Государственный наблюдатель предупредил, что частные страховые компании все чаще отказываются от покрытия ущерба от крупных кибератак, в результате чего американские предприятия сталкиваются с «катастрофическими финансовыми потерями», если не будет найдена другая модель страхования.
Растущая проблема покрытия кибер-рисков изложено в новом отчете от Счетной палаты правительства (GAO), которая требует от правительства оценки необходимости федерального варианта киберстрахования.
Отчет основан на оценках угроз, проведенных Агентством национальной безопасности (АНБ), Управлением директора национальной разведки (ODNI), Агентством кибербезопасности и безопасности инфраструктуры (CISA) и Министерством юстиции для количественной оценки риска кибератак на критическую инфраструктуру, выявления уязвимые технологии, которые могут быть атакованы, и ряд субъектов угроз, способных их использовать.
Ссылаясь на ежегодная оценка угроз В опубликованном ODNI отчете говорится, что хакерские группы, связанные с Россией, Китаем, Ираном и Северной Кореей, представляют наибольшую угрозу для инфраструктуры США — наряду с некоторыми негосударственными субъектами, такими как организованные киберпреступные группировки.
Учитывая широкий и все более квалифицированный круг субъектов, желающих атаковать американские организации, количество киберинцидентов растет с тревожной скоростью.
«Несмотря на то, что федеральные агентства не имеют исчерпывающей инвентаризации инцидентов кибербезопасности, — говорится в отчете, — несколько ключевых федеральных и отраслевых источников показывают (1) рост большинства типов кибератак в Соединенных Штатах, включая те, которые затрагивают критически важную инфраструктуру, и ( 2) значительные и растущие затраты на кибератаки».
В 2016 году американские предприятия и государственные органы пострадали в общей сложности от 19 060 инцидентов в четырех основных категориях — программы-вымогатели, утечка данных, компрометация деловой электронной почты и атаки типа «отказ в обслуживании» — с общей стоимостью 470 миллионов долларов, согласно анализу GAO. сообщает ФБР. В 2021 году произошло 26 074 инцидента, а общая стоимость составила около 2,6 миллиарда долларов.
В отчете также упоминаются конкретные инциденты, которые оказали побочное воздействие на экономику в целом, в частности кибератака на колониальный трубопровод это привело к отключению операции по транспортировке топлива на 5500 миль. В этой атаке оператор трубопровода заплатил выкуп в размере 4,4 миллиона долларов. хакерам — несмотря на советы правоохранительных органов о том, что требования о выкупе всегда следует отклонять.
Напуганные возможностью покрытия таких больших убытков, частные страховщики уходят с рынка, исключая некоторые кибератаки самого высокого уровня из сферы действия страховых полисов. Хотя утечки данных и атаки программ-вымогателей, как правило, по-прежнему покрываются, в отчете отмечается, что «частные страховщики предпринимают шаги для ограничения своих потенциальных убытков от системных кибер-событий», отказываясь покрывать убытки, понесенные в результате кибервойны или преднамеренного нападения на инфраструктуру.
По данным Министерства финансов США, некоторые страховщики также снижают свои риски, снижая максимальную сумму, которую будет выплачивать полис в случае кибератаки, и/или увеличивая премии в попытке защитить себя от убытков. Есть еще одно свидетельство того, что некоторые страховые компании полностью отказываются от покрытия в инфраструктурных секторах, обнаружило GAO, посчитав риск атаки слишком высоким.
В целом, в отчете GAO предлагается, чтобы CISA и Федеральное страховое управление провели оценку того, требуют ли вышеуказанные факторы ответных мер федерального страхования по аналогии со страхованием банковских депозитов FDIC и Национальной программой страхования от наводнений.
