Corretores que avaliam como as apólices cyber respondem à inteligência artificial enfrentam um problema prático: pode ser difícil estabelecer se um invasor usou IA, o que torna complicado aplicar qualquer tentativa de separar essas ameaças da cobertura cyber.
Esse é o argumento de Dan Law, chefe da área de cyber da HSB. Ele acredita que as ameaças cibernéticas relacionadas à IA pertencem ao seguro cyber, mesmo com o setor debatendo o grau de explicitação com que as apólices devem tratar a tecnologia.
“Temos cobertura de IA incorporada ao nosso formulário primário de apólice como ele é hoje, e a temos desde que lançamos esse formulário. Seja de forma silenciosa ou afirmativa, acho que isso precisa ser tratado dentro de uma apólice cyber. Não acho que seja possível separar as duas coisas”, afirmou Law.
A posição coloca o texto da apólice no centro da discussão sobre a colocação do seguro. Um cliente que sofre um incidente de ransomware (sequestro de dados com pedido de resgate) pode saber como seus sistemas foram comprometidos sem saber quais ferramentas o atacante usou para desenvolver ou executar o ataque.
“Não é fácil dizer que a IA foi fundamental para a forma como esse agente de ameaça operou. Então, na ausência de poder separar essas coisas, a cobertura precisa estar em uma apólice cyber”, disse Law.
Ao revisar coberturas, portanto, os corretores precisam distinguir entre um invasor que usa IA para comprometer um cliente e um sinistro envolvendo o produto com IA do próprio cliente ou uma decisão de negócios baseada em IA. A pergunta relevante é como o texto da apólice responde ao evento específico, incluindo eventuais exclusões que possam afetar a indenização.
A IA muda a conversa de subscrição
Law vê a IA ampliando a capacidade dos atacantes de explorar fragilidades, inclusive combinando vulnerabilidades menos críticas para obter acesso a uma empresa. Os defensores também estão usando a tecnologia para identificar vulnerabilidades e melhorar a segurança. A perspectiva de ataques mais autônomos levanta ainda outra preocupação: o volume de incidentes que empresas e seguradoras poderão enfrentar.
“Isso aumentaria a capacidade do agente de ameaça de atacar empresas sem precisar estar com os dedos no teclado”, observou Law. “Certamente, se você turbinar as capacidades deles, a escala e o volume de incidentes que vemos poderiam mudar drasticamente.”
Na HSB, as expectativas de controles de segurança permaneceram, em linhas gerais, consistentes nos últimos 18 meses. A autenticação multifator é um requisito básico, enquanto a detecção e resposta em endpoints (EDR), incluindo a forma como essas ferramentas são gerenciadas, é particularmente importante em vários setores.
Esses requisitos estão inseridos em um mercado de seguro cyber competitivo. Law descreveu capacidade abundante e oportunidades contínuas para os compradores, ao lado de ajustes mais seletivos em preços e apetite de subscrição.
Saúde, serviços profissionais e indústria seguem como segmentos desafiadores do ponto de vista da rentabilidade, segundo Law. A dependência de plataformas de software e de provedores terceirizados aumenta a complexidade da subscrição desses negócios.
Encontrar a cobertura cyber certa
O ritmo de desenvolvimento de produtos também dá trabalho aos corretores que avaliam qual oferta é adequada a uma pequena empresa ou a uma conta do middle market (empresas de médio porte).
Law afirmou que os corretores precisam dedicar tempo a entender a terminologia de cobertura, que está em mudança, e os serviços de segurança oferecidos por diferentes seguradoras. As empresas menores podem valorizar particularmente esses serviços por não terem conhecimento interno em cibersegurança.
“Não é tão simples quanto pegar algo na prateleira”, disse Law. “É preciso entender bem os diferentes mercados e onde cada um pode se encaixar melhor.”
A interrupção de negócios merece atenção especial, pois responde por perdas em alguns incidentes de ransomware, e empresas menores podem não ter fôlego financeiro para suportar uma paralisação prolongada. Mas a redução nos pagamentos de resgates não elimina o dano financeiro causado pela interrupção das operações.
Questionado sobre como estruturar a cobertura de interrupção de negócios contingente (decorrente de falhas em terceiros), Law acrescentou: “Acho que eles precisam focar muito nos limites, em como a cobertura funciona, em como ela de fato opera para reembolsar o segurado pelo sinistro.”
Com informações de Insurance Business.
Leia mais:
