Col­ma­re le la­cu­ne con l’as­si­cu­ra­zio­ne cy­ber

La consapevolezza è certamente aumentata negli ultimi anni. Quando nel 2017 abbiamo introdotto l’assicurazione cyber presso la Vaudoise, solo poche PMI sapevano dell’esistenza di soluzioni assicurative in questo settore. Da allora, la sicurezza informatica è diventata un tema importante per i dirigenti di molte aziende. Il problema è che, sebbene molte persone siano consapevoli della minaccia, praticamente nessuno sa come proteggersi nel modo giusto e dove trovare supporto. Inoltre, in tanti non sanno nemmeno in cosa consista un’assicurazione contro i rischi informatici.

Non attribuirei questa particolarità a un settore specifico. Nel settore delle PMI, la nostra clientela spazia da avvocati e studi medici a imprese di artigiani. È però certo che le grandi aziende hanno più capacità per affrontare questo problema. Dispongono di una gestione completa del rischio e reparti IT che si occupano di sicurezza informatica. 

È tuttora raro che le aziende ci chiedano specificamente un’assicurazione cyber. La maggior parte delle aziende non è nemmeno a conoscenza di questa offerta. Il nostro compito è quello di informarle in modo proattivo riguardo a questa lacuna assicurativa e spiegare loro esattamente cosa copre l’assicurazione cyber. Ed è proprio questa la sfida per noi assicuratori: anche per noi il rischio è piuttosto nuovo e il nostro compito è quello di creare un know-how nella vendita in grado di offrire un’elevata qualità della consulenza, sia al momento della stipulazione dell’assicurazione sia in caso di sinistro. Un certo processo di maturazione è necessario pure per noi assicuratori. Si aggiunge poi il fatto che per poter stipulare un’assicurazione, un’azienda deve disporre di un minimo di misure di protezione. Potremmo denominare questo aspetto «igiene informatica».

Insieme ai nostri specialisti IT interni e ai partner esterni, abbiamo sviluppato alcuni standard minimi che ci aspettiamo dalle PMI e che stabiliamo come obblighi nelle polizze. Tra questi ci sono gli aggiornamenti regolari, l’installazione di programmi antivirus, la modifica regolare delle password e, naturalmente, il backup dei dati. Senza queste misure di base, è molto difficile che una PMI trovi un assicuratore. 

Sì, un marchio del genere potrebbe essere utile. Tuttavia, sarebbe importante concordarsi su un unico marchio che possa essere utilizzato in tutta la Svizzera o in tutta Europa. Al momento sono in circolazione diversi marchi difficili da confrontare. Esiste una certificazione ISO per le grandi aziende, che però per le PMI non funziona e sarebbe troppo costosa. Un marchio cyber dovrebbe funzionare come un nutri-score, che è comprensibile per i consumatori finali. 

Per i «rischi cattivi», ossia i clienti che investono poco nella sicurezza informatica, i prezzi rimangono elevati o addirittura è difficile trovare un assicuratore disposto ad assicurarli. I «rischi buoni», ossia i clienti con misure di prevenzione complete, attualmente hanno talvolta la possibilità di rinnovare le loro polizze a condizioni più favorevoli. I prezzi sono però molto volatili. 

«Il rischio informatico è ancora relativamente nuovo e gli assicuratori dispongono di pochi dati e modelli di rischio.»

Sì, ne risentiremmo sicuramente. Gli incidenti come il guasto informatico globale di CrowdStrike fanno lievitare i costi dei sinistri, che a loro volta hanno un impatto sui prezzi, tanto per gli assicuratori quanto per i riassicuratori. Un altro esempio sono gli attacchi alle amministrazioni locali, che hanno portato alcuni assicuratori a ritirarsi da questo settore. Il rischio informatico è ancora relativamente nuovo e gli assicuratori dispongono di pochi dati e modelli di rischio. Ecco perché i prezzi varieranno ancora in questo mercato. 

Il rischio informatico può assumere dimensioni simili a quelle di una pandemia. Se un attacco informatico paralizza l’infrastruttura di un intero Paese, gli ingenti danni che ne derivano, come in caso di pandemia, non possono più essere assicurati. Gli assicuratori possono essere d’aiuto nell’evasione dei sinistri e mettere a disposizione la loro rete. Tuttavia, i danni potenziali supererebbero le capacità degli assicuratori. 

Le due minacce principali sono il phishing e il ransomware. Con i ransomware, in particolare, spesso si dimentica che i danni non sono causati solo dagli attacchi ai propri sistemi, ma anche dagli attacchi a fornitori terzi. Prendiamo il caso Winbiz: quando il fornitore di software è stato vittima di un attacco informatico, migliaia di clienti non hanno potuto accedere ai propri sistemi contabili per settimane. Nemmeno le misure di prevenzione individuali possono essere d’aiuto di fronte a queste dipendenze. 

«Una buona sicurezza informatica, come un sistema immunitario, può però scongiurare molti attacchi e proteggere così le attività aziendali.»

Di principio può capitare a tutti. Una buona sicurezza informatica, come un sistema immunitario, può però scongiurare molti attacchi e proteggere così le attività aziendali.

La Svizzera ha uno standard molto elevato quando si tratta di proteggerci dai danni materiali. Dobbiamo raggiungere questo standard anche in ambito informatico, ma, al momento, la Svizzera è ancora molto lontana da questo obiettivo; deve quindi recuperare. Se le aziende in Svizzera non hanno un buon livello di sicurezza, questo pone in svantaggio la piazza economica per l’intero Paese. Le aziende non si insediano in Svizzera se devono lavorare con il timore che i fornitori e i partner siano poco preparati contro i rischi informatici. 

In caso di attacco informatico, è importante agire rapidamente e adottare le misure necessarie con un fornitore di servizi IT specializzato in sicurezza informatica o tramite la compagnia di assicurazione. In situazioni di emergenza gravi, ci si può rivolgere anche alla polizia, la cui priorità però non è rimediare all’interruzione dell’attività, bensì trovare i colpevoli. Negli ultimi anni, gli assicuratori hanno maturato una certa esperienza e un know-how nella gestione degli attacchi informatici e possono avvalersi di una rete di specialisti. Il nostro settore può e deve svolgere un ruolo di consulenza e di supporto, anche nell’ambito della prevenzione.