Antihackverzekeringen in trek na cyberaanvallen

Reuters weet te melden dat er steeds meer vraag is naar antihackverzekeringen. De zogenaamde 'network risk insurance' bestaat al zo'n drie jaar, maar groeit naar verwachting enorm in de komende periode. Hoewel het bedrag dat hiermee gemoeid is nu nog maar zo'n 100 miljoen dollar bedraagt, zal het rond 2005 opgelopen zijn tot 2,5 miljard dollar. Net als dat mensen ander soort verzekeringen hebben, zal ook de antihackverzekering binnenkort normaal worden, aldus een ingewijde. Er wordt echter nog wel betwijfeld in hoeverre dergelijke polissen nut hebben, aangezien veel gevallen buiten de voorwaarden vallen en daardoor niet vergoed worden:

At the same time, some security experts questioned whether insurance policies would be effective, given that many of them exclude more incidents than they cover, given the unpredictability of where and how an attack could come. Still, the hacker insurance field got a big boost on Jan. 1, when many existing commercial general liability policies expired and were replaced by policies that contain explicit exclusions for hacker-related losses, attorney Robert Steinberg of Latham & Watkins in Los Angeles told clients in a recent brief.

"Particularly given the post-Sept. 11 climate, fears about how such vulnerabilities and attendant magnitudes of loss might impact on national security have reached a critical mass," Steinberg wrote. "That hacking represents a danger to any industry and any type of business is by now a veritable truism."

Reacties (28)

[Anoniem: 48534]

Hier een bericht van iemand die dit soort verzekeringen verkoopt, ontwikkelt en afsluit:

Een verzekering tegen hackers kan de volgende zaken vergoeden:

- de kosten voor het herverkijgen van verloren gegane data (denk aan het opnieuw in laten kloppen van de data of het inhuren van gespecialiseerde bedrijven die van harddisks die zijn gewist nog wat data kunnen halen - daar was laatst ook een nieuwspost over)
- de schade die het bedrijf lijdt door stilstand van de onderneming (Wegvallen omzet, verlies klanten etc..)

Er zijn, in tegenstelling tot wat het bericht stelt, geen bijzondere beperkende voorwaarden. Alle hack-pogingen zijn gedekt, ongeacht hoe uitgevoerd. Het enige dat een verzekerde hoeft aan te tonen is het verlies van data. Uiteraard moet er wel een redelijk vermoeden bestaan dat er daadwerkelijk een hackpoging is geweest, maar dit is veelal uit de firewall-logs en de logs van ISP's te achterhalen.

De door Reuters aangehaalde verzekeringsbedrijven zijn bijna allemaal Amerikaans en die zijn veel meer geschrokken van 9-11 dan de Europese bedrijven. Die sluiten wel van alles en nog wat uit, wij dus niet.

Uiteraard is er met een verzekering te frauderen, maar stilstand van je onderneming is natuurlijk makkelijk aan te tonen, evenals de verloren gegane data. Dat laat je niet voor je lol even weghalen door een ingehuurde hacker, want daarmee breng je ook de continuïteit van je bedrijf in gevaar.

Voorts eisen verzekeraars vanzelfsprekend voorzorgsmaatregelen. Iedereen vindt het ook volstrekt normaal dat je een alarm op een Ferrari of BMW 730 schroeft, dus: Firewalls, het binnen redelijke tijd implementeren van patches en updates en een stringente back-up procedure lijken me geen vreemde eisen van de verzekeraar.

Voorts bestaat er ook nog zoiets als een verzekering tegen virussen, maar daarmee zijn de verzekeringsbedrijven zeer terughoudend, omdat de impact van een "goed" virus enorm kan zijn. Maar het kán wel.

De premie vaststellen is voor verzekeraars niet zo erg moeilijk. Je kunt de kosten die je moet maken om de data weer terug te krijgen inschatten en je kunt de vaste lasten en netto winst van een onderneming gewoon uit de jaarcijfers halen. Daarna kun je dus inschatten wat het risico is en een adequate premie vaststellen. Daarmee is al ervaring opgedaan en is de risicopremie vast te stellen. Dit blijft uiteraard vakwerk voor mensen met verstand van verzekeren EN verstand van computers.

Overigens zal zo'n systeembeheerder door verzekeraars geen nalatigheid worden verweten. Uiteraard volgt er geen uitkering als blijkt dat een verzekerde patches die meer dan een jaar oud zijn niet heeft geïnstalleerd Dit is echter niet genoeg om de beheerder aansprakelijk te stellen en de schade te verhalen. Waarschijnlijk krijgt de beheerder wel een pittig gesprekje met de directie….

[ScuL]

mag ik weten welke maatschappij deze dekking verstrekt

[AlterEgo]

Wordt de systeembeheerder nu aansprakelijk gesteld wegens nalatigheid door de verzekeraar als er toch iets mis gaat en de verzekering moet uitkeren

[Anoniem: 74727]

Ik ben bang dat niet alleen de systeembeheerder nalatigheid wordt verweten maar dat ook het bedrijf niet uitgekeerd krijgt:

Er is om 11.41 bij u ingebroken terwijl er om 11.38 al een patch te downloaden was om het lek te dichten. U heeft dus zelf de deur open laten staan....

[Anoniem: 62082]

als jij kan bewijzen dat je met jou bandbreedte die patch niet kon binnen krijgen op 3 minuten dan kunnen ze niks doen hoor!!!

[Webdoc]

Goede vraag... maar wat nou als een bedrijf helemaal geen systeem beheerder heeft? Of als die met vakantie is en het systeem wordt aangevallen met een tot nu toe onbekende exploit? Dan kan je die sysadmin moeilijk aansprakelijk stellen lijkt me...

[Anoniem: 47550]

Opzich wel een goed idee aangezien dat ik aanneem dat systeembeheerders hun boxen binnen een redelijke termijn moeten patchen en de machines waarbij dit niet gebeurt is zijn niet verzekerd! Zou wel een mooie stok achter de deur zijn voor systeem en netwerk beheerders.

[MRic3]

ahmmm mag ik dit bericht van gisteren even onder de aandacht brengen...

Microsoft vergeet eigen servers te patchen

Zelfs degene die weten (okay dan, denken te weten) hoe het moet doen het nog niet goed

[Marlibica]

Ik vind dat heel betrekkelijk. Ik zou dan als systeembeheerder niet verantwoordelijk willen zijn voor de gevolgen van het installeren van de patch. Het zal niet de eerste keer zijn dat een patch meer ellende geeft dan goed doet.

[Anoniem: 65368]

lijkt me zeer handig... (voor grote multinationals dan)

Alleen is het niet gemakkelijk te frauderen hiermee?

[Webdoc]

Ja nu je het zo zegt... hoe kan je er zeker van zijn dat een werknemer niet even een maatje in Afghanistan effe belt - of ie even alles kan platleggen (na alles uiteraard te hebben gebackupped) ? Alsof die insurance company even naar Afghanistan kan reizen en daar die dude bij de kraag kan grijpen of uberhaupt enig ovezicht of tegenbewijs kan brengen... mooi niet... en company lekker cashen op de verzekering!

Het klinkt allemaal wel HEEL makkelijk. Zeker als je een (ex)hacker bent is dit volgens mij binnen 1 week onachterhaalbaar te plannen.

[Anoniem: 58180]

Dat is met een brandverzekering idem, en met allerlei verzekeringen. Als jij iemand huurt om jouw huis te fikken, oke die gast moet dan nog uit verwegistan overkomen...

[Webdoc]

Nee maar bij een huisbrand is het een beetje verdacht als er nul verkoolde stereo, bed, bank en tafel in staat. "Joa! ik dacht OPEENS laat ik even NU alles weghalen"

Met DATA is het heel anders. Die hoef je niet ergens stiekem op te bergen, past allemaal op een CD die je desnoods in je onderbroek kan doen

Je bent dus niets ECHT kwijt, terwijl als je een huisbrand voor de cash doet je al je spullen opnieuw moet kopen. Daarom is dus veel "makkelijker"

Nou maar hopen dat ik niemand op ideeën breng

[Bor]

De verzekering zit zo in elkaar dat ze bijna nooit hoeven uit te betalen. Het ligt bijna altijd aan jou heb ik gelezen. Je moet namelijk aan erg veel voorwaarden voldoen. Ook komt er een groot onderzoek na een eventuele hack. Komt er nog bij dat bij een echt goede hack men meestal niet eens doorheeft DAT men gehacked is.

[Anoniem: 55933]

Je kan die premie voor de verzekering beter uitgeven aan een nieuwe/extra/betere systeembeheerder, of bijscholing voor je medewerkers of de systeembeheerder.
Denk ik dan .

[miw]

Zelfs al heb je je eigen zaakjes 200% op orde dan ben je nog steeds afhankelijk van anderen. De recente problemen met de SQL exploit tonen dit weer eens aan. Een paar lui die een patch niet installeren en het netwerk heeft er flink last van. De schade is dan nergens te verhalen. Op zich niet zo'n gek idee om dan iets van een verzekering-achtige regeling te hebben.

[typhon]

Maar welke schade heeft een hack aanval. Bestanden koop je niet terug. Alleen materiele schade kan worden betaald...En zover ik weet is er geen hacker die een computer kan mollen.

Die verzekering zou dus alleen de schade van klanten die niet komen van het bedrijf kunnen vergoeden onder beplaalde voorwaarden (dus de informatie de het bedrijf had voor het virus die kwijt is en daardoor klanten verliezen). Alleen hoe kun je daar een prmie voor vaststellen...

Weet iemand hoe zo'n verzekering werkt?

[MBV]

SoftFSB exploit: fsb naar 400 MHz?

[Anoniem: 64699]

En als de antihackverzekering nu gehacked wordt?

[MRic3]

Hmmm... dat gaat nooit werken.. Bewijs het maar eens, een goede hacker laat geen sporen na.. en waneer is het een hack??.. als een secetaresse haar inlog naam en password weggeeft aan de 'help desk'???

Nee, da wor niks...

[Utopia437]

Ja hoor natuurlijk kun u zich verzekeren tegen waterschade; met uitzondering van schade door hevige regenval, rivieren die buiten hun oevers treden, ondergrondse waterstromingen, en waterleidingen die kapot gaan. En oh ja als u zelf de kraan laat aan staan dan moet u dat ook uit eigen zak betalen. Dat is dan 12 euro per maand.

[KnEuTeR]

Er wordt echter nog wel betwijfeld in hoeverre dergelijke polissen nut hebben, aangezien veel gevallen buiten de voorwaarden vallen en daardoor niet vergoed worden

waarschijnlijk als je van de software niet de aller-aller nieuwste update hebt, is het al niet meer verzekerd, maar zeggen ze dat het de systeem beheerders fout is. En als je een DDoS attack krijgt, zeggen ze dat je toch op ze minst een goede firewall moes hebben.

worden weer een hoop rechtzaken