التأمين السيبراني

التأمين السيبراني هو منتج تأميني متخصص يحمي الشركات من المخاطر المتعلقة بالبنية التحتية لتكنولوجيا المعلومات وأنشطتها.

نظراً لصغر حجم سوق التأمين السيبراني في العديد من الدول مقارنةً بمنتجات التأمين الأخرى، يصعب تحديد تأثيره الإجمالي على التهديدات السيبرانية الناشئة كمياً. ^{[ 1 ]} ولأن تأثير التهديدات السيبرانية على الأفراد والشركات واسع النطاق نسبياً مقارنةً بنطاق الحماية التي توفرها منتجات التأمين، تواصل شركات التأمين تطوير خدماتها.

إلى جانب تحسين الأمن بشكل مباشر، يُعدّ التأمين السيبراني مفيدًا في حال حدوث اختراق أمني واسع النطاق. إذ يوفر آلية تمويل سلسة للتعافي من الخسائر الكبيرة، مما يساعد الشركات على العودة إلى وضعها الطبيعي ويقلل الحاجة إلى المساعدة الحكومية. ^{[ 2 ] [ 3 ]}

كميزة إضافية، تشترط العديد من وثائق التأمين السيبراني على الجهات الراغبة في الحصول عليها الخضوع لتدقيق أمني لأنظمة تكنولوجيا المعلومات قبل أن تُصدر شركة التأمين الوثيقة. يساعد هذا التدقيق الشركات على تحديد نقاط ضعفها الحالية، ويتيح لشركة التأمين تقييم المخاطر التي تتحملها عند تقديم الوثيقة للجهة. بإتمام التدقيق الأمني، يُطلب من الجهة الراغبة في الحصول على الوثيقة، في بعض الحالات، إجراء التحسينات اللازمة لمعالجة نقاط ضعفها الأمنية قبل إصدار وثيقة التأمين السيبراني. وهذا بدوره يُسهم في الحد من مخاطر الجرائم الإلكترونية التي قد تتعرض لها الشركة. ^{[ 4 ]}

وأخيرًا، يتيح التأمين توزيع مخاطر الأمن السيبراني بشكل عادل، حيث تتناسب تكلفة الأقساط مع حجم الخسائر المتوقعة من هذه المخاطر. وهذا يجنبنا تركز المخاطر بشكل خطير، ويمنع في الوقت نفسه التهرب من المسؤولية.

بحسب بحث جوزفين وولف في تاريخ التأمين السيبراني، تعود جذوره إلى مؤتمر الجمعية الدولية لإدارة مخاطر التأمين الذي عُقد في أبريل 1997، حيث قدّم ستيفن هاس أول منتج للتأمين السيبراني، بما في ذلك تغطيات الطرف الأول والثالث. ^{[ 5 ] [ 6 ] [ 7 ]} وكان هاس قد طرح مفهوم التأمين السيبراني قبل ذلك بسنوات، وناقشه مع عدد من زملائه في القطاع، إلا أن حدث عام 1997 شكّل نقطة تحوّل حاسمة، إذ شهد إطلاق أول وثيقة تأمين سيبراني ومنصة اكتتاب. وأسفر هذا الحدث عن ابتكار أول وثيقة مصممة خصيصًا للتركيز على مخاطر التجارة الإلكترونية، وهي وثيقة تأمين مسؤولية أمن الإنترنت (ISL)، التي طوّرها هاس وتكفّلت بها شركة AIG. ^{[ 8 ]} وفي نفس الفترة تقريبًا، عام 1999، أسّس ديفيد والش شركة CFC Underwriting في المملكة المتحدة، وهي شركة تُولي الأمن السيبراني اهتمامًا بالغًا. ^{[ 9 ] [ 10 ]} أسس كريس كوتيريل شركة Safeonline في نفس الفترة تقريبًا، والتي سرعان ما أصبحت لاعبًا رئيسيًا آخر في مجال التأمين السيبراني. ^{[ 11 ] [ 12 ]} يُشار الآن إلى الاجتماع المبكر بين هاس و20 زميلًا له في هذا المجال في هاواي باسم "اختراق الشاطئ"، ويُعتبر لحظة محورية تم فيها الاعتراف بالتأمين السيبراني والاحتفاء به لأول مرة. ^{[ 13 ] [ 14 ]}

بعد حادثة برمجيات خبيثة كبيرة في عام 2017، نشرت شركة ريكيت بنكيزر معلومات حول مدى تأثير الهجوم الإلكتروني على أدائها المالي، ما دفع بعض المحللين إلى الاعتقاد بأن الشركات تتجه نحو مزيد من الشفافية في بيانات الحوادث الإلكترونية. ^{[ 15 ]} وقد ازداد الإقبال على شراء التأمين الإلكتروني نتيجةً لتزايد الهجمات عبر الإنترنت، مثل هجمات برامج الفدية. وذكر مكتب محاسبة الحكومة الأمريكية أن "عملاء التأمين يختارون التغطية الإلكترونية، حيث ارتفعت النسبة من 26% في عام 2016 إلى 47% في عام 2020. وفي الوقت نفسه، شهدت شركات التأمين الأمريكية ارتفاعًا في تكاليف الهجمات الإلكترونية إلى الضعف تقريبًا بين عامي 2016 و2019. ونتيجةً لذلك، شهدت أقساط التأمين زيادات كبيرة أيضًا." ^{[ 16 ]}

يُعد تحديد مستوى المخاطر المقبولة لكل منظمة أو ما هو مستوى المخاطر غير المقبولة أحد المجالات الرئيسية لإدارة المخاطر."أمن معقول" لبيئة عملهم المحددة.

تشريع

في عام 2022، سنّت ولايتا كنتاكي وماريلاند تشريعاتٍ لحماية بيانات التأمين، استنادًا إلى القانون النموذجي لحماية بيانات التأمين الصادر عن الرابطة الوطنية لمفوضي التأمين (MDL-668). ^{[ 17 ]} يدخل قانون ماريلاند رقم 207 ^{[ 18 ]} حيز التنفيذ في 1 أكتوبر 2023. أما قانون كنتاكي رقم 474 ^{[ 19 ]} فيدخل حيز التنفيذ في 1 يناير 2023.

خلال عام 2005، ظهر جيل ثانٍ من أدبيات التأمين السيبراني، يستهدف إدارة مخاطر الشبكات السيبرانية الحالية. ويربط مؤلفو هذه الأدبيات فشل السوق بالخصائص الأساسية لتكنولوجيا المعلومات، ولا سيما عدم تناسق معلومات المخاطر بين شركات التأمين والمؤمَّن عليهم، والترابطات المتبادلة بينهما. ^{[ 20 ]}

بحسب جوزفين وولف، فإن التأمين السيبراني "غير فعال في الحد من خسائر الأمن السيبراني لأنه يضفي الشرعية على دفع الفدية عبر الإنترنت، في حين أن هدف الأمن السيبراني هو عكس ذلك تمامًا - وهو تثبيط هذه المدفوعات لجعل برامج الفدية أقل ربحية." ^{[ 21 ]}

في دراسة أكاديمية حديثة، كان الباحثون بال، ومادنيك، وسيجل من كلية سلون للإدارة في معهد ماساتشوستس للتكنولوجيا أول من حلل الجدوى الاقتصادية لأسواق سندات الكوارث السيبرانية. وقد طبقوا النظرية الاقتصادية وعلم البيانات لاقتراح الشروط التي يكون فيها من المجدي اقتصاديًا إما أن تنقل أسواق إعادة التأمين المخاطر (في غياب أسواق سندات الكوارث)، أو أن تنقل أسواق سندات الكوارث المخاطر (في وجود أسواق إعادة التأمين)، أو أن تعتمد أسواق التأمين الذاتي (في غياب أسواق إعادة التأمين وسندات الكوارث) لتغطية المخاطر السيبرانية المتبقية. ^{[ 26 ] [ 27 ]}

في عام 2019، قُدِّر متوسط ​​تكلفة التأمين ضد المسؤولية الإلكترونية في الولايات المتحدة بنحو 1501 دولارًا أمريكيًا سنويًا لتغطية مسؤولية بقيمة مليون دولار، مع خصم قدره 10000 دولار. ^{[ 28 ]} وبلغ متوسط ​​القسط السنوي لتغطية مسؤولية إلكترونية بحد أقصى 500000 دولار مع خصم 5000 دولار 1146 دولارًا، بينما بلغ متوسط ​​القسط السنوي لتغطية مسؤولية إلكترونية بحد أقصى 250000 دولار مع خصم 2500 دولار 739 دولارًا. ^{[ 29 ]} بالإضافة إلى الموقع الجغرافي، تشمل العوامل الرئيسية المؤثرة في تكلفة التأمين الإلكتروني نوع النشاط التجاري، وعدد معاملات بطاقات الائتمان/الخصم، وتخزين المعلومات الشخصية الحساسة مثل تاريخ الميلاد وأرقام الضمان الاجتماعي.