USA:s vakthund är orolig att cyberförsäkringen inte kommer att täcka "katastrofala cyberattacker"

Cyberförsäkringsmarknaden har mognat snabbt de senaste åren men den kan komma till korta när det gäller vissa stora attacker, har den amerikanska regeringens utgiftsvakt varnat.

US Government Accountability Office (GAO) har krävt ett federalt svar på försäkring för "katastrofala" cyberattacker mot kritisk infrastruktur. En fungerande försäkringsmarknad är avgörande för företag, konsumenter och, som GAO ​​framhåller, för kritiska infrastrukturoperatörer. 

GAO, som granskar trillioner dollar den amerikanska regeringen spenderar varje år, varnar för att privata försäkringsbolag och den amerikanska regeringens officiella terrorismriskförsäkring – Terrorism Risk Insurance Program (TRIP) – kanske inte kan täcka katastrofala ekonomiska förluster till följd av cyberattacker.

"Cyberattacker kanske inte uppfyller programmets kriterier för att bli certifierade som terrorism, även om de resulterade i katastrofala förluster. Till exempel måste attacker vara våldsamma eller tvångsmässiga för att bli certifierade”, sa GAO.

Ransomware och försäkring är en knepig fråga på grund av nycklarna som är involverade i tillskrivning. Medan ransomware mestadels drivs av cyberbrottslingar, har vissa incidenter som kostat offer miljontals dollar officiellt hänförts av västerländska regeringar till regeringarna i Ryssland, Nordkorea och Kina.  

Vissa försäkringsbolag har använt dessa officiella tillskrivningar för att undvika utbetalningar till offer eftersom dessa incidenter i domstol kan tolkas som en krigshandling, vilket cyberförsäkringar inte täcker. Försäkringar täcker visserligen terrordåd, men dessa har också klausuler som begränsar täckningen till certifierade våldshandlingar.  

"Regeringens försäkring får endast täcka cyberattacker om de kan betraktas som "terrorism" enligt dess definierade kriterier," sa GAO i ett uttalande.

Frågan om försäkring är nu ett större bekymmer för den amerikanska regeringen efter Rysslands pågående invasion av Ukraina, som den befarar kan sporra till cyberattacker från Kreml-stödda hackare på amerikanska organisationer som svar på amerikanska sanktioner mot Ryssland och ryska företag. 

Så vad ska USA och GAO göra, på nationell nivå, när marknaden för cyberförsäkringar för företag kan misslyckas med att stödja företag?

"Alla federala försäkringssvar bör innehålla tydliga kriterier för täckning, specifika krav på cybersäkerhet och en dedikerad finansieringsmekanism med eftergifter från alla marknadsaktörer," sade GAO.

Som GAO ​​noterar, avgränsar vissa försäkringsbolag sina försäkringar för att skydda sig mot incidenter som orsakar systemproblem. Försäkringsbolag täcker inte attacker som tekniskt sett kan falla inom kategorin krigföring, till exempel. 

GAO säger att TRIP är "regeringens bakstopp för förluster från terrorism". I kombination med cyberförsäkring ger de visst skydd men "båda begränsade i sin förmåga att täcka potentiellt katastrofala förluster från systemiska cyberattacker". 

"Cyberförsäkring kan kompensera kostnaderna från några av de vanligaste cyberriskerna, såsom dataintrång och ransomware", säger GAO. 

"Men privata försäkringsbolag har vidtagit åtgärder för att begränsa sina potentiella förluster från systemiska cyberhändelser. Till exempel utesluter försäkringsbolag täckning för förluster från cyberkrigföring och infrastrukturavbrott. TRIP täcker bland annat förluster från cyberattacker om de anses vara terrorism. Cyberattacker kanske inte uppfyller programmets kriterier för att bli certifierade som terrorism, även om de resulterade i katastrofala förluster. Till exempel måste attacker vara våldsamma eller tvångsmässiga för att bli certifierade.”

GAO rekommenderar Cybersecurity and Infrastructure Security Agency (CISA), cybersäkerhetsmyndigheten för federala myndigheter, bör samarbeta med direktören för Federal Insurance Office för att "ta fram en gemensam bedömning för kongressen om i vilken utsträckning riskerna för landets kritiska infrastruktur från katastrofala cyberattacker, och de potentiella finansiella exponeringarna till följd av dessa risker, motiverar ett federalt försäkringssvar."