Especialistas da Howden nos EUA alertam que exclusões cibernéticas podem deixar outros tipos de perdas decorrentes de violações ou hacks sem seguro
Um ataque cibernético a uma concessionária de água ou fábrica pode rapidamente resultar em alegações de lesões corporais, custos de limpeza de poluição e responsabilidade de terceiros. No entanto, a maioria das políticas cibernéticas são escritas para excluir essas perdas.
Os riscos ganharam destaque este ano, depois de o FBI e a Agência de Protecção Ambiental terem alertado que intervenientes maliciosos estavam a atacar tecnologia operacional em serviços de água e águas residuais. Empresas de serviços públicos em pelo menos sete estados relataram incidentes desde 27 de julho.
Algumas empresas de serviços públicos perderam a pressão da água e outras sofreram inundações, e o FBI alertou que a baixa pressão poderia permitir que águas subterrâneas não tratadas penetrassem nas tubulações. A campanha levantou questões sobre se os ataques às concessionárias de água poderiam reavivar o debate sobre a exclusão da guerra cibernética.
Em 1º de outubro, o NIST publicou orientações discutindo os recentes ataques e enfatizando que os hackers tinham como alvo específico dispositivos que gerenciam os processos físicos de tratamento e armazenamento de água.
As consequências físicas criam um problema de seguro diferente de uma violação de dados ou pagamento de ransomware, disse Juliet White (foto à esquerda), chefe de cibersegurança da Howden NÓS.
“Os danos materiais e corporais estão se tornando uma questão cada vez mais importante para o mercado enfrentar devido a esses tipos de eventos”, disse White. “Existem outras soluções no mercado para isso, mas precisamos ter certeza de que elas funcionam em conjunto para que ninguém olhe para sua política cibernética para cobertura de GL ou cobertura ambiental.”
Por que a infraestrutura envelhecida aumenta os riscos
Os equipamentos legados nessas instalações acrescentam um imenso desafio. A tecnologia operacional destas instalações – sistemas que operam fisicamente bombas, válvulas e processos de tratamento – muitas vezes não consegue suportar a monitorização moderna da rede, disse White. Os serviços públicos também podem enfrentar restrições regulamentares nas ferramentas de monitorização.
“Na verdade, as concessionárias de água ainda estão bastante segregadas de sua tecnologia operacional e de sua infraestrutura de TI, o que, em alguns aspectos, é positivo para prevenir e minimizar danos e danos reais (durante um ataque cibernético)”, disse ela.
“Mas as concessionárias de energia elétrica, por exemplo, fundiram mais de suas redes de TI e TO. Portanto, existe agora essa ponte entre a tecnologia voltada para a Internet e que poderia impactar a tecnologia operacional.”
Leia mais: O que acontece quando os ataques cibernéticos quebram mais do que apenas redes?
A mesma exposição também pode se aplicar a algumas fábricas, disse Jared Dubrowsky (foto à direita), líder de transações ambientais na Howden EUA. Nas instalações de fabricação, sistemas acessíveis remotamente podem controlar processos e válvulas que, se manipulados, podem causar liberação.
Ele ofereceu um exemplo hipotético de um invasor abrindo uma válvula em uma fábrica que manuseava amônia anidra. Dependendo das circunstâncias, disse ele, uma liberação poderia levar a alegações de exposição, reclamações de lesões corporais e remediação em propriedades vizinhas.
Uma refinaria poderia enfrentar um cenário diferente se uma válvula controlada remotamente fosse aberta e o petróleo ou outro produto chegasse a um curso de água. Numa instalação de água potável, a manipulação dos níveis químicos também pode criar um incidente de poluição.
O que os corretores devem revisar
De acordo com White, os corretores devem garantir que as concessionárias mapeiem seus fornecedores terceirizados críticos, definam os controles e seguros que esses fornecedores devem ter e modelem o que uma violação do fornecedor significaria para as operações. Sobre os controles de risco cibernético, ela disse que os fundamentos ainda são os mais importantes.
“Às vezes nos adiantamos ao falar sobre novas tecnologias e todas essas áreas em evolução e desenvolvimento, quando muito se resume a: Você tem gerenciamento de acesso adequado, tanto físico quanto relacionado à rede?” Branco disse. “Você tem autenticação multifatorial para acesso a sistemas confidenciais?”
A tarefa maior é uma revisão coordenada de todo o programa de seguros. As equipes de seguros devem realizar uma ampla revisão das políticas patrimoniais, GL, cibernéticas, D&O e ambientais “para garantir que haja uma compreensão clara da intenção da cobertura, de quaisquer exclusões que sejam relevantes e de como todos esses produtos de seguros funcionarão juntos para fornecer alívio” em um evento, disse White.
“Se as duas linhas de cobertura não conversam e explicam isso ao cliente, esse é o maior problema”, acrescentou Dubrowsky.
Os corretores também devem examinar como uma política cibernética trata a interrupção dos negócios quando um operador desliga sistemas por precaução ou muda para operações manuais. White disse que a distinção entre um ataque activo e um encerramento preventivo pode ser importante, dependendo da linguagem política. O seguro cibernético não é padronizado, observou ela, e as operadoras usam formulários e termos diferentes.
Um desligamento destinado a evitar um incidente pode beneficiar a organização, mas a perda de interrupção resultante não é automaticamente coberta. White disse que o texto precisa de um exame minucioso para estabelecer qual proteção um determinado cliente adquiriu.
“Estamos em um ponto de inflexão na indústria, onde muitas dessas exposições estão se misturando e há um componente tecnológico em cada uma delas”, disse White. “Como corretores, precisamos educar e fornecer insights e dados realmente bons para ajudar os clientes a tomar decisões informadas sobre sua transferência de risco e sua tolerância ao risco.”
