0
0
As apólices de seguro cibernético normalmente têm linguagem de “exclusão de guerra” ou “exclusão de atos hostis” incorporadas a elas. Esta linguagem essencialmente diz que as seguradoras não podem se defender contra atos de guerra. No primeiro trimestre deste ano, os mercados de seguros cibernéticos já estavam apertando as disposições de exclusão da guerra para negar a cobertura. À luz da invasão russa da Ucrânia — e das consequências cibernéticas antecipadas — os profissionais de segurança devem rever sua cobertura de seguros cibernéticos com o objetivo de determinar lacunas de cobertura.
Uma breve história de exclusões de guerra
Antes de explorar o risco cibernético que a guerra russa contra a Ucrânia levanta, é importante entender a história das exclusões da guerra cibernética.
Muitas empresas se tornaram danos colaterais durante o amplo lançamento da NotPetya contra a Ucrânia em 2017. As seguradoras começaram a utilizar cláusulas de “exclusão de guerra” em suas apólices na tentativa de excluir a cobertura para infecções por malware NotPetya. NotPetya foi projetado por um governo para prejudicar outro governo como um ato de guerra, o raciocínio foi, de modo que uma seguradora não deve ser responsável por danos.
Cláusulas de exclusão de nova guerra
Mais cedo este ano, o Lloyd’s of London lançou quatro novas variações de cláusulas de exclusão de guerra cibernética e operação cibernética, cada uma com diferentes níveis de cobertura disponíveis para um segurado. Outras operadoras de seguros cibernéticos seguiram o exemplo, e as exclusões de guerra no seguro cibernético agora podem ser vistas como uma linguagem contratual mais apertada.
Essas exclusões preveem que a seguradora “não cobrirá nenhuma perda, dano, responsabilidade … direta ou indiretamente ocasionada por, ou acontecendo através ou em consequência de uma guerra ou uma operação cibernética” (ver A Exclusão de Lloyd nº 1). Cada um desses termos é fortemente definido — com guerra significando “o uso da força física por um Estado contra outro Estado … se a guerra ser declarada ou não. O termo “operação cibernética” é definido como “o uso de um sistema de computador por ou em nome de um Estado para interromper, negar, degradar, manipular ou destruir informações em um sistema de computador de ou em outro estado”.
A questão então se torna: Como se determina a atribuição de uma operação cibernética ou guerra a outro estado? As políticas do Lloyd fornecem um método para isso, incluindo determinar se o “governo de um Estado (incluindo seus serviços de inteligência e segurança)” faz atribuição “a outro Estado ou àqueles que agem em seu nome”.
Assim, se uma nova ameaça de malware é atribuída a um governo, e uma empresa é atingida por causa da dificuldade em conter esse malware, uma seguradora cibernética pode negar cobertura.
Como navegar pelo cenário de seguros cibernéticos
Aqui está um conselho para navegar efetivamente no cenário de seguros cibernéticos.
1. Não especule
Ao relatar uma reclamação, tenha cuidado para informar apenas o que você sabe. Por exemplo, se sua empresa for atingida por ransomware, não especule quem será o ator de ameaças se você não sabe. Se a atribuição de uma nova ameaça não foi feita, tenha cuidado para não adivinhar que ela surge de um conflito global em curso. Com todo o seguro cibernético, as palavras importam — especialmente as palavras dos profissionais de segurança que trabalham com uma reivindicação. O que você acha, reporte ou especula pode ser usado como base para negação de cobertura.
2. Obtenha seus próprios especialistas independentes
Como advogado de segurança cibernética, minha recomendação para uma empresa atingida por uma nova variante de malware ou ransomware é contratar um advogado separado e além de um advogado nomeado por sua operadora de seguros. Enquanto um advogado de seguro cibernético nomeado por uma seguradora representa você, esse advogado de seguro cibernético eticamente não pode entrar com uma ação contra sua operadora ou facilmente tomar uma posição contrária à sua operadora. É melhor ter um advogado independente ao seu lado, mesmo que a empresa deva pagar por esse advogado fora do bolso, para ajudá-lo com o processo.
3. Não assuma nada sobre cobertura até receber uma carta de cobertura
Existem muitas operadoras de seguro cibernético que fazem a coisa certa e querem prover seus segurados. No entanto, até que você tenha uma carta de cobertura da própria operadora – não apenas a palavra do seu corretor de seguros – não assuma que você tem cobertura completa.
4. Esteja preparado: Reveja sua cobertura e plano de jogo com antecedência
A revolta global causada pela agressão da Rússia à Ucrânia provavelmente gerará muitas batalhas de cobertura. A hora de se preparar é agora, e você pode fazê-lo revendo sua cobertura com um advogado fora do processo de painel cibernético.
Conclusão
Com a invasão da Ucrânia pela Rússia — e as sanções mundiais resultantes contra a Rússia — o risco e as apostas de cibersegurança estão mais altos do que nunca. As organizações que dependem de apólices de seguro cibernético para protegê-las em caso de um ataque cibernético devem rever sua cobertura cuidadosamente para garantir que elas realmente estejam protegidas. As organizações não devem esperar até que estejam navegando em uma ameaça para saber o que está por vir em uma guerra de seguros cibernéticos.
FONTE: DARK READING