Digitalisering og økt bruk av sammenkoblede systemer endrer virksomheters risikoeksponering. Cyberhendelser er ikke lenger nødvendigvis begrenset til IT-systemer, data eller digitale verdier. Når teknologi i stadig større grad styrer fysiske prosesser og kritisk infrastruktur, kan et digitalt angrep få direkte fysiske og økonomiske konsekvenser.
De nylige cyberangrepene mot dagligvarebutikker i Europa illustrerer denne utviklingen. Et stort antall butikker skal ha blitt berørt etter at angripere fikk tilgang til internett-tilkoblede styringssystemer for kjøle- og fryseanlegg, herunder 700 dagligvarebutikker kun i Frankrike. Ved å manipulere innstillingene og utløse langvarige avrimingssykluser steg temperaturene, med ødelagte matvarer, driftsforstyrrelser og behov for rengjøring og sikker gjenoppstart av anleggene som konsekvens.
Hendelsen synliggjør et stadig mindre tydelig skille mellom cyberrisiko og tradisjonell eiendomsrisiko. Angrepsvektoren var digital, mens konsekvensene var fysiske og økonomiske.
Økt digitalisering gir endret risikoeksponering
Sammenkoblede teknologier er i dag integrert i en rekke sentrale virksomhetsprosesser. Innen detaljhandel gjelder dette blant annet kjøling, ventilasjon, oppvarming og bygningsstyring. Det samme prinsippet gjelder imidlertid langt bredere, fra produksjonsutstyr og maskiner til annen operasjonell infrastruktur. I maritim sektor, der sentrale funksjoner om bord på moderne fartøy er avhengige av digitale systemer, kan eksempelvis navigasjon, fremdrift og andre operative funksjoner utstettes.
Teknologien gir betydelige effektivitetsgevinster, men innebærer samtidig nye sårbarheter. Et angrep mot et digitalt styringssystem kan påvirke fysiske prosesser, skade eller sette utstyr ut av funksjon, ødelegge varer og i ytterste konsekvens stanse virksomhetens drift.
Risikovurderingen bør derfor ikke begrenses til hvilke typer cyberangrep en virksomhet kan bli utsatt for. Et like sentralt spørsmål er hvilke konsekvenser en kompromittering av virksomhetens digitale systemer faktisk kan få.
Det innebærer blant annet å forstå hvilke kritiske fysiske prosesser som er digitalt styrt, hvordan systemene er sammenkoblet og hvilke skadeforløp som kan oppstå dersom teknologien manipuleres eller settes ut av drift. Risikoeksponeringen må med andre ord vurderes på tvers av det tradisjonelle skillet mellom cyber og eiendom.
Nye problemstillinger for forsikring og skadeoppgjør
Når en cyberhendelse resulterer i fysisk skade og driftsavbrudd, oppstår også mer komplekse problemstillinger for forsikringsselskaper, risikostyrere og skadebehandlere.
Hendelsesforløpet kan involvere både digitale og fysiske årsaksfaktorer, samtidig som de økonomiske konsekvensene kan bestå av flere ulike tapskomponenter. Årsakssammenheng, skadeårsak og forsikringsvilkårenes konkrete ordlyd blir derfor sentrale ved vurderingen av hvilke tap som omfattes av den aktuelle forsikringsdekningen.
Dette understreker betydningen av at cyberhendelser vurderes tverrfaglig og at både tekniske, fysiske og økonomiske konsekvenser kartlegges tidlig i skadeforløpet.
Beredskap som verktøy for å redusere konsekvensene
Et mer sammensatt risikobilde stiller samtidig større krav til beredskap. Når et cyberangrep raskt kan utvikle seg til fysisk skade og driftsavbrudd, er effektiv respons avhengig av mer enn håndtering av den underliggende IT-hendelsen. Skadeomfanget må identifiseres, videre tap begrenses og de økonomiske konsekvensene dokumenteres og vurderes.
Crawford & Company har spesialisert kompetanse på håndtering og begrensning av skade etter cyberrelaterte hendelser på vegne av forsikringsselskap. Gjennom et globalt nettverk av eksperter og dedikerte Incident Managers kan Crawford & Company bistå med blant annet kartlegging av cyberrelaterte skader, tapsbegrensning, vurdering av økonomisk driftsavbrudd, personvernrelaterte problemstillinger og regulatoriske krav. Døgnåpent skadeinntak og koordinerte rapporterings- og skadeprosesser legger samtidig til rette for rask respons når en hendelse oppstår.
I et kontinuerlig skiftende trusselbilde er det ikke tilstrekkelig forstå hvor virksomheten er eksponert, men også hvilke konsekvenser et angrep kan få, og hvordan disse konsekvensene skal begrenses og håndteres når hendelsen inntreffer.
God beredskap innebærer i først omgang å minimere virksomhetens risikoeksponering løpende. Enkle beredskapstiltak kan begrense risikoen betraktelig, herunder sikkerhetsoppdateringer, flerfaktorautentisering, brannmur, antivirus og styrking av de ansattes sikkerhetsbevissthet. Forsikring som gir rask tilgang til spesialisert hendelseshåndtering bør også være en integrert del av virksomhetens cyberberedskap.
Øystein Gunleiksrud
Nordic Lead Cyber, Lawyer
oystein.gunleiksrud@crawco.no
+47 41410052
Saråk Walizadeh
Incident Manager & General Adjuster, Associate lawyer
sarak.walizadeh@crawco.no
+47 46787801