Cyberforsikring for alle penga?

Transkript

1 Cyberforsikring for alle penga? Per Håkon Meland SINTEF IKT NHOs pensjons- og forsikringskonferanse November 2014 Teknologi for et bedre samfunn

2 Informasjonssikkerhet i SINTEF Fagområder Programvaresikkerhet Nettverkssikkerhet Informasjonskontroll Innebygd personvern som vi anvender innen Nettsky og programvareutvikling Helse- og velferdsteknologi Integrerte operasjoner olje and gass Kritisk infrastruktur kraftsektoren, luftfart, vann- og avløp Teknologi for et bedre samfunn 2

3 Teknologi for et bedre samfunn 3

4 Eksistert siden 2012 Oppdaget 3. april 2014 Offentlig kjent 7. april 2014 Etterlater seg ingen spor Kostnad? Teknologi for et bedre samfunn 4

5 A special report on cyber-security: Defending the digital frontier. The Economist, 12th July 2014 Teknologi for et bedre samfunn 5

6 Cyberforsikring the transfer of financial risk associated with network and computer incidents to a third party [1] 1. Böhme, B & Schwartz, G. Modeling Cyber-Insurance: Towards A Unifying Framework (2010) Teknologi for et bedre samfunn 6

7 Cyberforsikring 100 % 90 % 80 % 70 % 60 % 50 % 40 % 30 % Gjenværende risiko Forsikret Tiltak Identifisert 20 % 10 % 0 % Trusselbilde Håndtering Teknologi for et bedre samfunn 7

8 Cyberforsikring den raskest voksende nisjeforsikringen [1] 31% av alle bedrifter har, 39% planlegger å kjøpe i nær fremtid [2] "Insurers can t afford not to be in this thing [3] 1. Future Tense (2014): The $10 Million Deductible: Why the cyberinsurance industry is a mess. 2. The Wall Street Journal (2013): Cyberinsurance: A Buyer s Guide 3. New York Times (2014): Cyberattack Insurance a Challenge for Business Teknologi for et bedre samfunn 8

9 Teknologi for et bedre samfunn 9

10 Utfordringer med cyberforsikring Teknologi for et bedre samfunn 10

11 Manglende språkstandard Cyber policies are still the Wild West of insurance policies Selena J. Linde, Perkins Coie LLP Chickowski, E. 10 Things IT Probably Doesn't Know About Cyber Insurance, InformationWeek, Oct 2014 Teknologi for et bedre samfunn 11

12 Forholdet mellom forsikringsbransje og bedrifter Manglende innsikt i hva som gjør et IT-system sikkert Problemer med å definere krav til kunder Manglende innsikt i hva som gjør et IT-system sikkert Ikke gode til å dokumentere tiltak Future Tense (2014): The $10 Million Deductible: Why the cyberinsurance industry is a mess. Teknologi for et bedre samfunn 12

13 Gyldighet i tid ~400 dager dager? dager Teknologi for et bedre samfunn 13

14 Når og hvordan si ifra? Til hvem? Teknologi for et bedre samfunn 14

15 Globale og distribuerte systemer??????? Teknologi for et bedre samfunn 15

16 Hvilke hendelser dekkes? Aktivt tyveri VS mistet data (30%) Tapt omdømme $180 billion (Forrester Research Inc) Teknologi for et bedre samfunn 16

17 Erstatningsbeløp? Teknologi for et bedre samfunn 17

18 Security economics a) Kostnad preventive tiltak b) Kostnad reaktive tiltak (>a) c) Tap (c>>a+b) d) Kostnad forsikring (d>a+b) e) Erstatning (e<c) a) Kostnad for angrep b) Gevinst (b>>a) c) Straff (c<<a+b) Teknologi for et bedre samfunn 18

19 Bagnato A., Kordy B., Meland P. H., Schweitzer P. Attribute decoration of attack defense trees. International Journal of Secure Software Engineering (IJSSE) 2012;3:1-35. Teknologi for et bedre samfunn 19

20 Argumentum Cyberforsikring er et godt tiltak! Fastsettelse av premie regnes som en av de største utfordringene [1] Relativt nytt marked, trenger modning Bli bedre på å samle inn data om hvilke tiltak som fungerer for å hindre sikkerhetshendelser. NB: rask teknologisk utvikling! Bli bedre på å vurdere kostnad/effekt for sikkerhetstiltak (røykvarsler eller sprinkleranlegg?). Lage sikkerhetsprofiler for IT-systemer bindeledd mellom bedrifter og forsikringsbransje 1. The Cyber Security Policy and Research Institute (2014): Insurance for Cyber Attacks: The Issue of Setting Premiums in Context Teknologi for et bedre samfunn 20

21 Følg bloggen vår infosec.sintef.no twitter.com/sintef_infosec 21 Teknologi for et bedre samfunn