Der kræver mere end forsikring at sikre sig mod cyberangreb

Når cyberkriminelle ’kidnapper’ systemer og data ved at kryptere dem og derefter kræver en løsesum, er regningen gennemsnitligt på 2,1 mio. kroner ifølge en undersøgelse foretaget af Mimecast. Og ofte meget mere. Det seneste eksempel er angrebet som har ramt RealMæglerne, der vurderer omkostningerne til 10 mio. kroner, og ransomware-angreb udgør en betydelig økonomisk trussel mod danske virksomheder.

Truslen har bidraget til øget interesse for cyberforsikring, som traditionelt set har dækket alt fra løsesum og håndtering af sikkerhedshændelser til PR-arbejdet med at genoprette et beskadiget omdømme i kølvandet på et angreb.

Men truslen har udviklet sig så drastisk i løbet af 2021 i både antal, løsesum og kompleksitet, at markedet for cyberforsikring ændrer sig hastigt. Her hos Finans kunne man i december læse om prisstigninger på flere hundrede procent, markant dårligere dækning og øgede krav til virksomhedernes cybersikkerhed.

Parløbet mellem ransomware og cyberforsikring, som vi kender det, ser ud til at være fortid. Hvis virksomheder skal opretholde forretningskontinuitet og trives i en virkelighed, hvor ransomware-angreb er et grundvilkår, er de nødt til at sadle om.

Et paradigmenskift i cyberforsikring

Det har altid været en usikker strategi at bruge cyberforsikring som værktøj til at håndtere risikoen for ransomwareangreb. Man kan argumentere for, at cyberforsikring har bidraget til stigningen i antallet af angreb, fordi de gør det nemmere for virksomheder at betale løsesummerne. Når man betaler løsesummen, stimulerer man de cyberkriminelles forretningsmodel og sætter fut under den onde ransomware-cirkel.

Ofte har cyberforsikringer skabt en falsk tryghed i mange organisationer, hvilket har resulteret i utilstrækkelige cyberforsvar. De fleste succesfulde angreb sker, fordi virksomheder undlader at implementere helt grunlæggende og relativt simple sikkerhedsforanstaltninger.

Desuden har det aldrig været meningen, at cyberforsikring skulle stå alene som værktøj i håndtering af cyberrisici. Det er en sidste udvej til at komme nogenlunde igennem et angreb, der truer virksomhedens økonomi.

Forsikringsselskaberne har læst skriften på væggen efter de massive tab udløst af ransomware-angreb. I dag får du ikke en cyberforsikring medmindre du har en passende opsætning af backup-løsninger, SIEM-systemer, sikkerhedspolitikker, patch management-procedurer osv. Forsikringsselskaberne begrænser forsikringsdækninger, hæver priser og kræver i nogle tilfælde, at forsikringstageren betaler halvdelen af løsesummen – også selvom virksomheden er kvalificeret til at få en forsikring.

Backup er ikke længere nok

Indtil for ganske nylig blev backupløsninger anset for at være det vigtigste tiltag mod ransomware. Det gav nemlig virksomheder muligheden for at ignorere de cyberkriminelles krav om løsesum og gendanne data fra en backup i stedet.

De kriminelle har imidlertid udvidet deres metode, så de ikke længere nøjes med at kryptere data. I dag stjæler de data og truer med at lække eller sælge dem, hvis ofrene ikke betaler. Antallet af ofre for den nye metode er steget med svimlende 935 pct. sidste år.

Denne form for dobbeltafpresning har en række uheldige konsekvenser, som en backup ikke kan løse. Blandt andet risikerer man, at forretningskritisk information havner hos konkurrenterne, at de cyberkriminelle afpresser med den samme data igen og igen og at interessenter mister tillid til organisationen. Du gambler nemlig ikke kun med din egen virksomheds data – du gambler også med dine kunders, partneres og medarbejderes data – og tillid.

Fokus på forebyggelse - ikke genopretning.

Derfor er det nødvendigt, at danske virksomheder anlægger en proaktiv tilgang til arbejdet med cybersikkerhed og ikke forlader sig på forsikring og backup. Fokus skal være på forebyggelse, så angrebet enten kan afvises ved ”hoveddøren” eller hurtigt opspores og isoleres hvis det trænger indenfor. Det kræver kontant, og dyb indsigt i, hvad der foregår i virksomhedens it-infrastruktur gennem overvågning af systemerne og systematisk analyse af al sikkerhedsinformation i realtid.

Danske virksomheder bør tage ved lære af paradigmeskiftet indenfor cyberforsikring: Lave de nødvendige risikoanalyser af deres cybersikkerhed, indarbejde cybersikkerhed i den grundlæggende forretningsstrategi og foretage de nødvendige investeringer. Kun på den måde kan de komme på forkant med de cyberkriminelle.

Jesper Zerlang