Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Norweski gigant z branży aluminium – Norsk Hydro – zaatakowany. Globalna sieć firmy nie działa. Ransomware LockerGoga?
Norsk Hydro to największy producent aluminium w Europie i jeden z największych na świecie (wytwarzający również energię), zatrudniający około 35 000 pracowników. Dzisiaj została podana do publicznej wiadomości informacja o cyber-ataku na firmę.
Norsk Hydro – atak
Wiele mediów spekuluje, że jest to ransomware (LockerGoga). Firma podsumowała obecny status w formie konferencji prasowej, a jej przedstawiciele odpowiedzieli na kilka dodatkowych pytań (zostało wskazane wprost, że ransomware to jedna z teorii).
Firma publikuje informacje o statusie na Facebooku, na razie wiemy że:
- dotkniętych zostało wiele zakładów w Norwegii i część poza jej granicami
- „the entire worldwide network is down affecting production and office operations”
- firma posiada względnie świeże kopie zapasowe
- firma posiada ubezpieczenie od cyber-ataku
- produkcja odbywa się na razie normalnie (po przełączeniu na mechanizmy manualne)
–ms
> firma posiada ubezpieczenie od cyber-ataku
O, to jest ciekawe, o takiej opcji nie słyszałem. Może materiał na kolejny artykuł? Ile to kosztuje, przed czym ubezpiecza, jakie są warunki, itp.
obadaj ostatni breach w marriocie – tam AFAIR też mieli cyber ubezpieczenie i miało nawet wypłacać jaką ogromną $ (do wygooglania/potwierdzenia)
Ostatnio sam się tym zainteresowałem i nawet otrzymałem kilka wycen od tzw. ryzyk cybernetycznych. Kilka Towarzystw oferuje taki rodzaj ochrony ubezpieczeniowej także w Polsce, jednakże każde z nich wymaga złożenia odpowiedniego wniosku a wniosek liczy kilka stron :)
Nasz broker podesłał Nam wniosek z TU Chubb. Wiem, że TU Hestia także ma w ofercie takie ubezpieczenia. Oferta zawierała sporo pozycji od błędów człowieka poprzez naruszenie danych.
PS Ciekawostka: zakres terytorialny ubezpieczenia:
– Cały świat z wyłączeniem USA I Kanady
Ubezpieczenia cyber istnieją od lat 90. Produkt powstał w USA i jest to też największy rynek globalny (przeszło 85% światowej składki z tego typu produktów).
W Polsce można zawrzeć ubezpieczenie z lokalnym ubezpieczycielem (bez wychodzenia na rynek poza Polską) od ok 2015 r. Obecnie oferta bardzo się rozszerzyła i cyberpolisy oferują:
– TUiR Allianz SA
– Chubb European Group SE Spółka Europejska Oddział w Polsce
– Colonnade Insurance Société Anonyme Oddział w Polsce
– STU Ergo Hestia SA
– Findia Sp. z o.o. (coverholder rynku Lloyd’s)
– Leadenhall Polska S.A. (również coverholder rynku Lloyd’s)
– PZU SA
– TUW Medicum
– TUW PZUW
Cena zależy najczęściej od branży, wielkości generowanych obrotów, ilości posiadanych rekordów. Nie bez znaczenia jest też ocena „higieny IT” w spółce, którą ubezpieczyciel dokonuje poprzez zadane pytania we wniosku (mowa tutaj o kwestii np. polityki zmiany haseł co 30 dni, robienia back-upów czy częstości dokonywania aktualizacji oprogramowania)
Spółka ze średnio ryzykownej branży (wielkościowo MSP) dla sum ubezpieczenia 0,5 mln PLN – 1 mln PLN zapłaci składkę od 2000 PLN do 5000 PLN. Wszystko zależy również od zakresu ubezpieczenia jaki ma zawierać polisa. Najczęściej duże podmioty, płacą składki w wysokości kilkunastu-kilkudziesięciu tys. PLN za sumy ubezpieczenia 5-10-20 mln PLN
Skrótowo zakres ubezpieczenia może obejmować:
– odpowiedzialność cywilną i koszty obrony w postępowaniach cywilnych z tytułu naruszenia prywatności
– kary administracyjne i koszty obrony w postępowaniach regulacyjnych w związku z RODO
– koszty reakcji na cyberincydent i zarządzanie kryzysowe
– odpowiedzialność cywilną i koszty obrony w postępowaniach cywilnoprawnych w związku z naruszeniem bezpieczeństwa informacji
– pokrycie kosztów i wymuszonych płatności w związku z atakiem (klasyczny ransomware)
– odpowiedzialność multimedialną za szkody spowodowane poprzez publikacje np. w mediach społecznościowych, na stronach internetowych itp.
– koszty odtworzenia danych i utracony zysk w związku z przestojem wywołanym atakiem (w przypadku ostatniego ubezpieczyciele często wymagają, aby posiadać plan ciągłości działania)
Wyłączenia ochrony najczęściej dotyczą:
– działania umyślne, które doprowadziły do powstania szkody
– korzystanie z nielegalnego oprogramowania lub brak
licencji na posiadane oprogramowanie, które doprowadziło do szkody
– gromadzenie danych w sposób nieuprawniony
– roszczeń i okoliczności już istniejących lub znanych przed zawarciem umowy ubezpieczenia
Cyber insurance to w ostatnich latach najszybciej rosnąca gałąź ubezpieczeń. W Polsce tego typu polisy oferuje na razie tylko kilku ubezpieczycieli.
Zwykle obejmuje trzy sekcje: straty własne (uszkodzenie mienia, utrata zysku), odszkodowania względem osób trzecich (np. związane z wyciekiem danych wrażliwych) i assistance (ustalenie przyczyny szkody, sposobu ograniczenia jej zasięgu, postępowania po szkodzie, zawiadomienie wszystkich właściwych 'organów’, itp.). Zwykle przed zawarciem ubezpieczenia jest wymagany 'audyt’ systemu IT i procedur. Już to daje często ciekawe wnioski.
Marriott, a dokładniej Starwood miał polisę na kilkaset milionów $. Wg. mojej wiedzy trochę za mało :-).
Możesz jeszcze sprawdzić Maersk i NonPetya – ponad $300m
Trafna uwaga z tym artykułem o ubezpieczeniach :)