Cyberinsurance: misurare il rischio umano può rivoluzionare le polizze

Negli ultimi anni sempre più aziende stanno sottoscrivendo polizze assicurative per proteggersi dalle perdite derivanti dagli attacchi informatici. Le compagnie assicurative, da parte loro, chiedono un certo livello di protezione ai propri clienti, traducibile in soluzioni robuste, monitoraggi continui e piani di risposta agli attacchi ben definiti. In tutto questo c’è però una componente che è difficile da prendere in considerazione e misurare: il rischio umano.

Tony Anscombe di Welivesecurity ricorda che dipendenti e manager rimangono l’anello debole nel mondo della cybersecurity: possono fare errori, agire con superficialità, essere vittime di campagne di social engineering e anche danneggiare l’azienda in maniera deliberata.

Le assicurazioni devono quindi trovare un modo per contemplare il livello di rischio umano durante le loro valutazioni sulla polizza; per Anscombe, si tratta di una sfida del tutto simile a quella del mondo finanziario, dove gli istituti devono calcolare il livello di rischio di ogni cliente per valutare i termini e le condizioni dei prestiti.

Con la diffusione dell’intelligenza artificiale, la possibilità di valutare il rischio umano nella cybersecurity potrebbe diventare realtà. Ogni utente, spiega Anscombe, potrebbe avere un rating di “responsabilità” basato sui suoi modelli di comportamento e sulle sue interazioni online. “Con sufficienti informazioni, una previsione basata sui dati potrebbe dire se una persona cliccherà su un link di phishing, allegherà dati non cifrati a un’email o avrà delle abitudini di ricerca dubbie“.

Usando il rating è più semplice anche per le aziende misurare la propria postura di sicurezza e investire in iniziative per migliorarla, per esempio formando i dipendenti sugli aspetti su cui sono più carenti.

Anscombe evidenzia un aspetto molto importante di questa modalità di valutazione: i rating devono essere protetti adeguatamente e mai resi pubblici in quanto i cyberattaccanti potrebbero usarli per identificare le persone più suscettibili agli attacchi, affinando le proprie campagne. A quel punto la definizione di un rating avrebbe l’effetto contrario a quello desiderato, rendendo l’azienda ancora più vulnerabile.

La possibilità di misurare con più precisione il rischio umano potrebbe portare a una svolta significativa nel mondo della cybersecurity e rendere le aziende più resilienti.