bảo hiểm an ninh mạng
Trong thời gian qua, ngay tại Việt Nam chúng ta cũng có thể thấy rõ sự gia tăng của tội phạm mạng trong khi nền kinh tế đang gặp khó khăn vì dịch Covid. Vì thế, khi tình hình kinh doanh gặp khó khăn thì các doanh nghiệp càng phải chú ý đến bảo hiểm an ninh mạng. Trong một diễn biến khác, một số người lại cho rằng bảo hiểm an ninh mạng khuyến khích mã độc tống tiền vì chúng biết nạn nhân sẽ được công ty bảo hiểm chi trả. Tuy nhiên, điều đó dường như chưa được nhận bởi các chứng cứ thực tế. Tội phạm sử dụng mã độc tống tiền ít có khả năng lựa chọn nạn nhân dựa trên tiêu chí họ có mua bảo hiểm an ninh mạng hay không. Thường là những cơ sở ít chú ý tới an ninh mạng sẽ bị tấn công trong khi những tổ chức mua bảo hiểm an ninh mạng luôn là những nơi mà vấn đề an ninh bảo mật được lãnh đạo quan tâm. Vì thế, có thể nói bảo hiểm an ninh mạng là cấu phần giá trị trong chiến lược an ninh mạng của các doanh nghiệp. Như chúng ta đã biết ở phần đầu, khách hàng mua bảo hiểm an ninh mạng không chỉ được bồi thường khi sự cố xảy ra mà còn được hỗ trợ nâng cao an ninh (cả trước và sau khi sự cố an ninh xảy ra). Vì thế, công ty bảo hiểm chính cung cấp sản phẩm bảo hiểm an ninh mạng là chính đối tác cần thiết với mọi doanh nghiệp trong hoàn cảnh hiện nay. Về phía mình, các doanh nghiệp cần hiểu rõ rủi ro của mình, phạm vi bảo hiểm cần thiết để có thể lựa chọn sản phẩm bảo hiểm phù hợp. Và cũng cần lưu ý là trong khi số vụ tấn công mạng có xu hướng tăng lên từng ngày, các công ty bảo hiểm sẽ phải xem xét lại mức phí bảo hiểm. Điều đó có nghĩa là những doanh nghiệp chọn mua bảo hiểm sớm sẽ tiết kiệm được chi phí. Mặt khác, khi tội phạm mạng ngày càng phát triển, nhắm tới cả các cơ quan chính phủ và các tổ chức phi lợi nhuận thì những tổ chức này cũng cần xem xét nghiêm túc vấn đề hoàn thiện chiến lược an ninh bảo mật của mình với bảo hiểm an ninh mạng.
Mặt khác, rủi ro an ninh mạng rất khó dự đoán vì các doanh nghiệp trong bất kỳ ngành nào cũng thường có xu hướng che đậy các sự cố để bảo vệ thương hiệu của họ, điều này gây khó khăn cho việc hiểu rõ mức độ thực tế của tội phạm mạng. Khi có các quy định bắt buộc về báo cáo sự cố, các tổ chức có thể bị phạt nặng nếu cố tình che giấu và điều đó thậm chí có thể khiến họ bị từ chối bảo hiểm. Các tổ chức / doanh nghiệp muốn mua bảo hiểm an ninh mạng cũng như các công ty môi giới, công ty bảo hiểm cần hiểu rõ tầm quan trọng của việc hợp tác trong quá trình đánh giá rủi ro. Bảo hiểm an ninh mạng có một điểm khác biệt căn bản với các sản phẩm bảo hiểm khác – điều mà Symantec gọi là “nghịch lý định giá bảo hiểm”. Nghịch lý này nói rằng nếu một công ty bị tội phạm mạng tấn công và phản ứng một cách mạnh mẽ, nghiêm túc thì công ty đó sẽ được chuẩn bị tốt hơn và ít có nguy cơ bị tấn công hơn trong tương lai. Vì thế công ty bảo hiểm có thể giảm phí cho những tổ chức / doanh nghiệp từng bị tấn công nhưng đã phản ứng một cách phù hợp thay vì tăng phí hay từ chối bảo hiểm. Ngược lại, những khách hàng tổ chức muốn mua bảo hiểm an ninh mạng nên công khai những sự cố an ninh từng gặp và biện pháp khắc phục đã triển khai thay vì che giấu chúng.
Các công ty bảo hiểm cũng cần nêu rõ những điều mà bảo hiểm an ninh mạng không thể đem tới cho khách hàng, dù với mức phí nào đi nữa:
• Bảo vệ khỏi rủi ro về danh tiếng: công ty bảo hiểm có thể bồi thường cho những sự cố an ninh mạng xảy ra với khách hàng nhưng những thiệt hại mà sự cố gây ra với thương hiệu của khách hàng sẽ không thể khôi phục một cách dễ dàng.
• Làm rủi ro biến mất: Bảo hiểm an ninh mạng hay bất kỳ loại sản phẩm bảo hiểm nào khác chỉ có thể giúp khách hàng chuyển giao rủi ro chứ không thể làm cho chúng biến mất. Vì thế, tổ chức được bảo hiểm vẫn cần triển khai các biện pháp giảm thiểu rủi ro phù hợp.
• Thay thế chương trình an ninh thông tin: Các biện pháp kiểm soát an ninh mạnh là điều kiện tiên quyết để có thể mua bảo hiểm an ninh mạng. Không công ty bảo hiểm nào dám cấp bảo hiểm cho một khách hàng không quan tâm đến việc giảm thiểu rủi ro, dù với mức phí lớn đến đâu.
Tài liệu tham khảo
1.https://cybersecurityventures.com/cyberinsurance- report-2017/ 2.https://securityintelligence.com/posts/whats-new-in- the-2019-cost-of-a-data-breach-report/ 3.https://www.varonis.com/blog/cybersecurity- statistics/ 4.https://www.cio.com/article/3065655/what-is-cyber- insurance-and-why-you-need-it.html 5.https://www.jdsupra.com/legalnews/failure-to- procure-cyber-insurance-30412/
6.Commonality of risk assessment language in cyber insurance (báo cáo của ENISA - Cơ quan an toàn mạng và bảo mật thông tin của Liên minh châu Âu, tháng 11/2017).