Stare al passo con l’evoluzione dei rischi informatici era già molto complesso prima che la pandemia, con la diffusione massiva dello Smart Working e il conseguente aumento delle esposizioni digitali, li rendesse una minaccia ancora più sfidante per qualsiasi tipologia di organizzazione. Lo dimostra anche il trend dei sinistri: nel 2019 il valore dei soli ransomware, una delle tipologie di cyber risk che ha visto il maggiore incremento, ha raggiunto globalmente i 170 miliardi di dollari. Nel recente white paper “Ransomware: a threat not to be ignored”, Tokio Marine HCC ha analizzato le ultime evoluzioni del mercato alla luce della propria esperienza, con l’obiettivo di fornire uno strumento utile alla gestione dei rischi digitali. Partendo dal report, ANRA e Tokio Marine HCC hanno discusso in una tavola rotonda dell’evoluzione dei cyber risk e dei trend dei sinistri negli ultimi mesi, con un focus sui settori più esposti, per dare alcuni consigli utili ai risk e insurance manager.

Le ultime tendenze dei sinistri dimostrano quanto velocemente questa tipologia di rischio stia evolvendo: se nel 2018 i crimini informatici hanno rappresentato per l’economia globale un costo di circa 600 miliardi di dollari, si prevede che nel 2021 tale cifra arrivi a un trilione di dollari (rapporto McAfee). Solo in Italia, i costi relativi al cyber crime sono aumentati del 50% rispetto a due anni fa. Gli esperti di TMHCC riportano che alla fine del 2020 il mercato globale delle assicurazioni Cyber ​​ha raggiunto circa 7,5 miliardi di dollari (+ 25% di crescita annuale). La quota dell’Europa continentale è intorno al 20%, circa 1,5 miliardi di dollari, meno di Stati Uniti e Canada (40%) e Regno Unito (27%), mentre il mercato italiano detiene una quota compresa tra il 5-10%.

“Il Covid-19 potrebbe in qualche modo sembrare una sorta di ransomware” commenta ironicamente Alessandro De Felice, Presidente ANRA e Chief Risk Officer di Prysmian Group “le sue conseguenze dirompenti sono qualcosa di mai visto negli ultimi anni, e sicuramente contribuiscono ad aumentare il rischio cyber”. Come hanno reagito le aziende italiane? Considerando quelle che hanno avuto la possibilità di riconvertire in remoto le proprie attività, quindi gli uffici e non – ad esempio – gli stabilimenti, De Felice individua due diversi cluster: “Le organizzazioni più mature ma anche alcune PMI virtuose erano già strutturate almeno in parte per lo smart working, quindi dotate di solide infrastrutture IT e security by design. Altri si sono dovuti attrezzare velocemente, a volte in modo improvvisato, per implementare il telelavoro, partendo dalle cose più elementari come l’acquisto di dispositivi per passare poi all’aggiornamento delle infrastrutture IT. In molti di questi casi – come evidenziato dall’Osservatorio Cyber ​​Security del Politecnico di Milano – si sono create falle di sicurezza. Infine, le aziende più piccole e meno attrezzate, paradossalmente, si sono salvate proprio a causa del loro basso livello di digitalizzazione”. Nel 2020 si è registrato un ampiamento delle tipologie di attacchi: non più solo furti di dati o ransomware, ma anche episodi di spionaggio industriale, phishing e furto di identità, fino alla più banale – ma efficace, dal momento che l’errore umano resta una delle cause più frequenti di successo di un attacco – la frode via e-mail. In questa situazione, i board hanno capito subito che dovevano investire più risorse e finanziamenti nella sicurezza informatica, oltre che rafforzare il dialogo tra Risk Managers, Compliance e Security.

“La pandemia ha accelerato un cambiamento già in atto” conferma Riccardo Aggio, Financial Lines and M&A, Cyber ​​& Crime Specialist di Aon Italy “Mi riferisco alla crescente attenzione alla digitalizzazione e agli asset intangibili, che sono il valore principale di ogni azienda, anche in un settore come quello manifatturiero, e questo è diventato particolarmente evidente negli ultimi mesi”. Riprendendo quanto menzionato da De Felice, Aggio spiega che le aziende oggi stanno investendo di più nella sicurezza informatica ma lavorando allo stesso tempo sulla formazione e la sensibilizzazione delle proprie persone, per mitigare un rischio che non è possibile eliminare del tutto. La situazione è più complessa di quanto possa sembrare superficialmente: non sono state colpite solo le coperture cyber, perché il silent cyber – il cyber risk latente in altre coperture assicurative – è trasversale, può comportare danni in qualsiasi altra area. 

Quale sarà il futuro del cyber in Italia? Il mercato italiano ha livelli di maturità estremamente diversi, un panorama eterogeneo, quindi è fondamentale avere un quadro chiaro delle architetture e dei sistemi della propria azienda. Assessment è la parola chiave, il primo passo, e non può più essere affidato solo al reparto IT o sicurezza, ma deve nascere dal lavoro di squadra con il Risk Manager e i responsabili di Governance e Compliance, in un’ottica integrata. Gli assicuratori, da parte loro, devono effettuare una corretta valutazione del portafoglio del cliente, che deve anche essere supportato fornendo suggerimenti per l’implementazione di modalità per aiutare a far fronte alle crisi. Assicuratori, broker e aziende dovranno lavorare insieme partendo da un approccio risk based e cercando di modellare formulazioni più progettuali e comprensibili, senza zone d’ombra, in un settore che in prospettiva si preannuncia sempre più sfidante.