I årets funn fra Ateas IT-sikkerhetsundersøkelse, Bevissthet og Beredskap, ser vi et tydelig skifte: Cyberforsikring er i ferd med å gå fra å være noe «noen få» har, til å bli en del av virksomheters grunnberedskap.
Andelen virksomheter med cyberforsikring har økt fra 19 til 27 prosent på bare ett år. I offentlig sektor er økningen særlig markant (fra 9 til 21 prosent), mens privat sektor øker fra allerede høye 27 til 35 prosent. Dette er ikke tilfeldig. Tallene forteller en historie om modenhet, men også om bekymring.
Fra teknisk problem til forretningsrisiko
I mange år ble cyberangrep omtalt som et IT-problem, noe som kunne løses med bedre brannmurer, flere patcher og strengere tilgangsstyring. I dag vet vi bedre. Cyberangrep handler om økonomi, om drift, om tillit, og i ytterste konsekvens om samfunnskritiske funksjoner.
Når flere virksomheter nå tegner cyberforsikring, er det et tegn på at ledelsen i større grad erkjenner dette. Et vellykket angrep kan føre til produksjonsstans, tap av data, bøter, erstatningskrav og betydelig omdømmetap. Cyberforsikring blir dermed et økonomisk sikkerhetsnett, på linje med andre forsikringer vi for lengst har tatt for gitt.
Et oppgjør med tidligere år
Det interessante er ikke bare at tallene øker, men hvor raskt det skjer.
Ser vi dette opp mot tidligere år, er kontrasten tydelig. For få år siden var cyberforsikring noe man diskuterte, men sjelden prioriterte. Argumentene var mange: «Vi er for små», «vi er ikke et interessant mål», «vi har gode tekniske tiltak». I offentlig sektor var det i tillegg ofte usikkerhet knyttet til anskaffelser, kost/nytte og ansvar.
At offentlig sektor nå mer enn dobler andelen med cyberforsikring på ett år, tyder på et mentalt skifte. Flere har opplevd, enten selv eller gjennom andre, at angrep faktisk skjer. Ikke bare mot «de store», men også mot kommuner, etater og virksomheter med begrensede ressurser, men stor samfunnsbetydning. Samtidig er dette også et resultat av at forsikringsselskapene har blitt tydeligere. Mens cyberforsikring tidligere var en enkel avsjekk i et skjema, stiller forsikringsselskapene nå sikkerhetskrav til virksomheter som ønsker å investere i cyberforsikring.
Forsikring som katalysator for bedre sikkerhet
Det er viktig å være klar over at cyberforsikring sjelden gis uten krav til virksomheten. For å få dekning må virksomheter dokumentere tilfredsstillende sikkerhetstiltak, etablerte rutiner og beredskap. For mange krever dette forbedringer, og i noen tilfeller kan søknaden bli avslått.På den måten fungerer cyberforsikring som en katalysator for et bedre sikkerhetsarbeid.
Den tvinger frem spørsmål som:
Har vi oversikt over verdiene våre? Har vi rutiner for hendelseshåndtering? Har vi testet beredskapen vår?
Og her møter vi et velkjent funn fra Bevissthet og Beredskap: Mange har planer, men få øver.
Et nødvendig, men ikke tilstrekkelig tiltak
La det være helt klart: Cyberforsikring er ikke en erstatning for godt sikkerhetsarbeid. Det er et supplement. En del av en helhetlig beredskap som også må inkludere forebygging, kompetanse, øvelse og ledelsesforankring.
Men nå, når tallene viser at flere tar de økonomiske konsekvensene av cyberangrep på alvor, er dette svært positivt. Det viser ansvarlighet, både overfor egen virksomhet og overfor samfunnet rundt. Spørsmålet fremover er ikke om man bør ha cyberforsikring, men hvordan man bruker den riktig. Som et sikkerhetsnett, og ikke som en sovepute.
