Articolo di stampa - La cyber raggiunge un punto di svolta mentre l'IA amplifica il rischio

Il mercato cyber europeo continua ad ammorbidirsi nonostante le perdite elevate, le crescenti dipendenze digitali e le crescenti esposizioni normative e legate all'IA, scrive Oliver Delvos, responsabile cyber e tech E&O per l'Europa di LSM

Pubblicato per la prima volta da Global Reinsurance e riprodotto con il gentile consenso del direttore

In un momento in cui il rischio cyber si intensifica a causa delle minacce potenziate dall'IA, dell'espansione delle dipendenze digitali e dell'evoluzione dei quadri normativi, il mercato si sta ammorbidendo. I tassi continuano a scendere, la concorrenza rimane accesa e l'ampiezza della copertura è in aumento. Questo disallineamento tra rischio e prezzi segnala un settore che si avvicina a un punto di inflessione critico.

Nel corso dell'ultimo anno, il mercato europeo delle assicurazioni cyber ha registrato un ammorbidimento prolungato. L'abbondante capacità, unita all'identificazione del Cyber come un'opportunità di crescita promettente, ha portato a un calo dei premi e a condizioni più ampie. Tuttavia, questo non deve necessariamente essere interpretato come un riflesso del miglioramento dei fondamentali del rischio. Al contrario, l'attività di perdita continua ad evolversi sia in frequenza che in gravità.

Questa dinamica contrasta con il cambiamento di tendenza emergente nel mercato statunitense, dove i prezzi si sono stabilizzati e, in alcuni casi, sono tornati a un movimento positivo dei tassi, e il rigore nella sottoscrizione si è ampiamente mantenuto. La divergenza crea un quadro globale incoerente, che potrebbe in ultima analisi generare volatilità.

Man mano che la capacità si disallinea rispetto al rischio sottostante, il mercato si avvicina probabilmente a un pavimento dei prezzi. La storia suggerisce che ciò che potrebbe seguire è una potenziale correzione del mercato, sebbene rimanga da vedere se questa rispecchierà la gravità del ciclo di irrigidimento del 2020.

A questa incertezza si aggiunge la prospettiva di consolidamenti tra i vettori assicurativi e di maggiori investimenti nella tecnologia assicurativa. Con il restringersi dei margini, solo gli assicuratori in grado di combinare scala con sofisticate capacità di valutazione del rischio rimarranno competitivi.

L'intelligenza artificiale (IA) non sta introducendo minacce cyber del tutto nuove; piuttosto, sta amplificando e accelerando quelle esistenti. Ciò che è nuovo, tuttavia, è il cambiamento in atto dall'automazione all'autonomia. Gli attori delle minacce stanno ora sfruttando l'IA per aumentare drasticamente la velocità, la scala e l'efficienza degli attacchi, inclusa l'identificazione delle vulnerabilità e l'automazione di parti del processo di sfruttamento.

Gli strumenti basati sull'IA testano i punti di accesso ed eseguono sempre più exploit con un intervento umano minimo, concatenando più problemi di bassa gravità in un unico percorso interconnesso e sfruttabile. Questa evoluzione abbassa il costo degli attacchi e la barriera all'ingresso per la criminalità informatica, consentendo ad attori meno sofisticati di operare con un'efficacia senza precedenti.

Le implicazioni sono profonde. Gli scenari di perdita che un tempo erano appannaggio delle grandi imprese stanno diventando rapidamente esposizioni di base per le aziende del mercato medio e le PMI, man mano che questi strumenti diventano più accessibili. Con la democratizzazione degli strumenti di IA, la superficie di attacco si espande, non solo in termini di dimensioni, ma anche di accessibilità.

Anche il profilo delle perdite cyber sta cambiando. Gli incidenti cyber tradizionali, come le interruzioni di sistema o le violazioni dei dati, vengono sempre più integrati, o addirittura sostituiti, da perdite quali la compromissione dell'identità di account utente validi, con conseguente accesso ai sistemi ed esfiltrazione di dati, frodi e fallimenti di governance.

Allo stesso tempo, gli aggressori stanno rilanciando e modernizzando tattiche più vecchie. Situazioni in cui credenziali compromesse vengono utilizzate per eseguire carichi di lavoro informatici ad alto volume sull'infrastruttura delle vittime stanno riemergendo in nuove forme. Questi attacchi possono generare perdite finanziarie significative attraverso costi energetici e IT gonfiati, echeggiando precedenti ondate di sfruttamento.

Stiamo inoltre assistendo a metodi di attacco sempre più sofisticati, tra cui l'impersonificazione guidata dall'IA, la manipolazione della documentazione e gli attacchi che prendono di mira l'autenticazione a più fattori attraverso meccanismi di reimpostazione, sfidando ulteriormente i controlli tradizionali. Quest'ultimo aspetto porrà maggiore enfasi sulla necessità di disporre di controlli adeguatamente funzionanti e privi di lacune nella loro implementazione. Inoltre, i cicli di patching dovranno comprimersi ulteriormente per ridurre al minimo le lacune di aggiornamento.

In parallelo, la regolamentazione è in aumento, soprattutto in Europa, dove nuovi insiemi di norme stanno emergendo come un fattore critico, e spesso sottovalutato, di investimento nella resilienza IT e nella sicurezza della catena di approvvigionamento.

Un'ondata di sviluppi legislativi, tra cui l'AI Act dell'UE, il Cyber Resilience Act, la Direttiva sulla sicurezza delle reti e dei sistemi informativi 2 (NIS2), il Digital Operational Resilience Act (DORA) e gli aggiornamenti alla Direttiva sulla responsabilità del prodotto, sta ridisegnando il panorama della governance e della responsabilità.

Allo stesso tempo, il GDPR è destinato a tornare di grande attualità, poiché gli strumenti abilitati dall'IA rendono più facile identificare, perseguire e automatizzare in misura crescente i reclami ai sensi dei suoi statuti. Man mano che i tribunali stanno costruendo un corpus crescente di giurisprudenza che quantifica più chiaramente i danni, le esposizioni alla responsabilità sia nelle linee cyber che in quelle di tecnologia errori e omissioni sono destinate ad aumentare, con maggiori implicazioni per i fallimenti di conformità e i costi di difesa.

Come già previsto da DORA per le Istituzioni Finanziarie, la questione della resilienza si estende ora pienamente ai fornitori IT di terze parti e alle società di servizi gestiti, in quanto rappresentano un punto critico di vulnerabilità. Il rischio della catena di approvvigionamento si estende ora anche ai fornitori fisici e alle dipendenze operative. Un evento cyber che colpisce un nodo della catena di approvvigionamento può propagarsi a cascata su più organizzazioni, innescando un'ampia perturbazione sia negli ambienti digitali che in quelli fisici.

La copertura si è evoluta per riflettere questo, ma a una maggiore ampiezza corrisponde una maggiore complessità. Gli assicuratori devono andare oltre le valutazioni individuali del rischio per adottare una visione più approfondita a livello di portafoglio delle dipendenze e delle esposizioni sistemiche, tenendo conto di vari scenari della catena di approvvigionamento.

Come accennato in precedenza a proposito della catena di approvvigionamento, uno degli sviluppi più significativi degli ultimi anni è l'emergere del rischio cyber-fisico. Gli incidenti cyber sono sempre più capaci di causare danni tangibili, dalla distruzione di proprietà alle interruzioni operative, incluse le perturbazioni agli ambienti di produzione integrati e alla robotica.

Ciò è particolarmente evidente negli ambienti in cui la tecnologia operativa è integrata con i sistemi IT. Le perdite da interruzione dell'attività legate a eventi cyber stanno diventando sempre più comuni e spesso più gravi.

Tuttavia, la sottoscrizione del rischio cyber-fisico presenta sfide uniche. I dati storici sono limitati, le metodologie di valutazione variano tra le linee di business e i confini tradizionali tra le polizze cyber, property e potenzialmente energy si stanno sfumando. L'implicazione è chiara: il rischio cyber non può più essere sottoscritto in isolamento. Deve essere compreso come parte di un ecosistema di rischio più ampio. Gli assicuratori hanno bisogno di monitoraggio continuo, visibilità in tempo reale e analisi avanzate per comprendere e gestire il rischio in modo efficace.

La selezione del rischio è fondamentale. Alcuni assicuratori leader stanno investendo pesantemente in strumenti proprietari, scansione delle vulnerabilità guidata dall'IA e capacità integrate di ingegneria del rischio cyber per migliorare il processo decisionale. La capacità di combinare dati, tecnologia e competenza definirà l'eccellenza nella sottoscrizione negli anni a venire.

Una delle questioni più complesse e ancora in evoluzione che il settore si trova ad affrontare riguarda l'impatto dell'intelligenza artificiale sui portafogli assicurativi. Proprio come il settore aveva affrontato il tema del "cyber silenzioso" un decennio fa, l'attenzione sta iniziando a spostarsi su come i rischi legati all'IA modellano il panorama del rischio in altre linee.

Le responsabilità legate all'IA potrebbero già accumularsi su più linee di business, spesso senza un riconoscimento esplicito o una tariffazione adeguata, sollevando interrogativi più ampi su come queste esposizioni vengano identificate e gestite.

Sebbene questo rimanga un'area di riflessione in corso piuttosto che una posizione di mercato pienamente definita, evidenzia la necessità di una maggiore chiarezza su come le tecnologie emergenti si intersechino con le coperture assicurative consolidate.

Man mano che il mercato si avvicina a un potenziale punto di svolta, la disciplina e i fondamentali diventeranno sempre più importanti. Gli assicurati devono dare priorità alla cyber hygiene di base e a una robusta gestione delle identità e degli accessi, insieme al patching, al monitoraggio dei dispositivi periferici e a un'efficace gestione delle modifiche.

Per gli assicuratori, il futuro non sarà definito da quanta capacità viene dispiegata, ma da quanto intelligentemente il rischio viene compreso, tariffato e allocato. Ciò include l'anticipazione delle minacce emergenti, la navigazione nella complessità normativa e l'investimento negli strumenti e nei talenti necessari per restare al passo.

Il mercato europeo delle assicurazioni cyber sta entrando in un periodo di maggiore incertezza. Ma in questa incertezza si celano opportunità per coloro che sono pronti ad adattarsi. In un mondo modellato dall'IA, da sistemi interconnessi e da responsabilità in evoluzione, il successo dipenderà dalla chiarezza, dall'agilità e, soprattutto, da una profonda comprensione del rischio in tutte le sue forme.