A maioria das pequenas empresas não sabe que o seguro cibernético cobre erros humanos ou fornece resposta a incidentes, conclui o CFC
As pequenas e médias empresas classificam agora a cibersegurança como o seu maior risco empresarial, mas muitas compreendem mal as ameaças que enfrentam e o que o seguro cibernético cobre, de acordo com uma nova investigação da CFC.
O primeiro estudo global da seguradora especializada sobre pequenas e médias empresas (PMEs), A desconexão do seguro cibernéticofocado em empresas com receitas abaixo de US$ 25 milhões. Quase um em cada dois apontou os ataques cibernéticos e as violações de dados como o maior risco para os negócios, à frente dos danos materiais, perda de pessoal e erros profissionais. Quase três em cada cinco experimentaram um evento cibernético nos últimos três anos.
Julgando mal as ameaças
A conscientização não se traduziu em uma imagem precisa do risco. Apenas 30% das PME identificaram o phishing e a engenharia social como uma grande ameaça, 30% citaram o ransomware e apenas 28% reconheceram o erro humano como um risco significativo.
Isso contrasta com a experiência de sinistros do próprio CFC. O ransomware é responsável por 64% dos custos de sinistros cibernéticos e o erro humano contribui para 75% dos sinistros cibernéticos.
Entendendo mal a capa
A pesquisa também encontrou uma confusão generalizada sobre o que o seguro cibernético faz. Cerca de 74% das PME não perceberam que esta abrange incidentes causados por erro humano. Outros 68% não sabiam que inclui proteção proativa de segurança cibernética, 61% não sabiam que fornece suporte de resposta a incidentes e 68% não sabiam que oferece suporte jurídico e regulatório.
“A desconexão do seguro cibernético é, em última análise, uma lacuna educacional”, disse Lindsey Maher, chefe de desenvolvimento cibernético global do CFC.
Maher disse que a indústria passou uma década construindo consciência sobre o risco cibernético e que a próxima década precisava se concentrar em transformar essa consciência em resiliência. Ela pediu conversas mais simples sobre o que o seguro cibernético realmente faz e mais ênfase nos resultados do que na terminologia.
IA adiciona pressão
O estudo concluiu que 68% das PME esperam que a IA aumente o seu risco cibernético nos próximos dois a três anos. A CFC disse que as empresas estão adotando ferramentas de IA mais rapidamente do que adaptando sua proteção, criando uma lacuna entre a integração da IA e a prontidão para a IA.
Isso se encaixa em pesquisas mais amplas. Hiscox descobriram este mês que os gestores de risco em empresas multinacionais veem as ameaças cibernéticas e a fraude possibilitada pela IA como a combinação mais forte de riscos conectados e como os principais impulsionadores de uma perturbação mais ampla dos negócios.
Empresas seguradas relatam mais confiança
As PME seguradas relataram uma confiança muito maior. Cerca de 94% disseram estar confiantes na gestão do risco cibernético, em comparação com 61% das empresas não seguradas. Nove em cada 10 PME seguradas afirmaram ter planos de continuidade de negócios e a CFC afirmou que tinham 23 vezes mais probabilidade de ter uma estratégia cibernética formal.
Esses números mostram uma associação em vez de causa e efeito. As empresas que já levam o ciberespaço a sério podem ter maior probabilidade de adquirir seguros em primeiro lugar. Mesmo assim, as seguradoras exigem cada vez mais controlos e oferecem serviços de prevenção como parte da cobertura, o que pode reforçar a preparação após a compra.
A CFC vem agregando esses serviços aos seus próprios produtos. Recentemente, atualizou sua política de resposta cibernética proativa para pequenas e médias empresas, adicionando proteção executiva, redação afirmativa de IA e um período mais longo de indenização por interrupção de negócios.
Para os corretores, as descobertas apontam para uma mudança na forma como o ciberespaço é vendido. A batalha da sensibilização foi largamente vencida, por isso o desafio agora é explicar o que o produto realmente cobre. Muitos clientes PME não sabem que o erro humano, a resposta a incidentes e o apoio jurídico estão normalmente incluídos, e esses são, muitas vezes, exactamente os pontos que influenciam uma decisão.
A lacuna de ameaça é igualmente útil. Quando os clientes subestimam o ransomware e o erro humano, os corretores podem usar os dados de sinistros para mostrar de onde realmente vêm as perdas. Com a IA adicionando novas incertezas, analisar se as políticas abordam os ataques impulsionados pela IA também está se tornando parte da conversa.
