Seguros contra ciberataques devem passar por boom

A Sony ainda não fechou os cálculos quanto aos prejuízos causados pelas violações de dados que suas redes sofreram no começo do ano. O cômputo mais recente indica que 100 milhões de contas de clientes foram comprometidas, e a Sony prevê que o fiasco custará US$ 200 milhões. Como existem 58 processos coletivos em curso contra a companhia em função dos problemas, ela pode estar sendo otimista.
E a verdadeira má notícia: a Sony não conta com seguro para essas perdas.
Em um processo judicial, a Zurich American Insurance, seguradora da Sony, lembrou a empresa de que ela não tem cobertura contra ciberataques. As apólices da Sony só cobrem prejuízos tangíveis, como danos em imóveis, não ciberataques.
O episódio resume bem a questão do seguro contra ciberataques, disse Jacob Olcott, diretor da equipe de cibersegurança da Good Harbor Consulting. "Todo mundo precisa dele, e a maioria das empresas não percebe que não o tem antes de ser tarde demais".

A Sony estima que as violações de dados no primeiro semestre deste ano custem US$ 200 milhões à empresa

 A despeito dos ataques de grande notoriedade sofridos por Sony, Google, Epsilon, RSA e outras empresas neste ano, apenas um terço das companhias pesquisadas pelo grupo de pesquisa Advisen informaram dispor de apólices contra ciberataques.
Os especialistas dizem que mais empresas devem comprar esse tipo de seguro no ano que vem devido a uma mudança nas regras da SEC (Securities and Exchange Commission, órgão que fiscaliza e regulamenta o mercado de valores mobiliários). Em outubro do ano passado, a SEC promulgou uma nova orientação sob a qual empresas se verão forçadas a revelar ataques cibernéticos que tenham efeito "material" e seu custo para os acionistas. A norma requer especificamente que as empresas divulguem "uma descrição das coberturas relevantes dos seguros".
Essa instrução da SEC pode representar uma mina de ouro para o setor de seguros contra ataques cibernéticos.
Os seguros desse tipo existem desde o governo Clinton, mas a maioria das empresas tende a optar por se protegerem sozinhas contra ciberataques, disse Robert Ackerman, executivo de capital para empreendimentos na Allegis Capital e especialista em cibersegurança.
"As companhias não querem falar sobre ciberataques", diz Ackerman. "Agora as brechas vão se tornar mais visíveis, e as pessoas terão de começar a estimar seus custos."
Não existem estatísticas sobre as dimensões do setor de seguros contra ciberataques, mas Peter Foster, vice-presidente sênior da Willis North America, uma corretora de seguros, acredita que haja US$ 750 milhões em apólices desse tipo em circulação. Com a recente mudança nas normas da SEC e a crescente frequência e severidade dos ciberataques, ele prevê que o número possa crescer em 50% no prazo de 12 a 18 meses.
O custo médio de uma violação de dados atingiu os US$ 7,2 milhões no ano passado, e as empresas tiveram de desembolsar uma média de US$ 214 por informação violada, de acordo com o Ponemon Institute. E isso são só as violações de dados. Caso a empresa sofra roubo de propriedade intelectual, a organização pode ser dizimada.
"Agora é possível sugar toda a informação de uma empresa", disse Scott Borg, executivo-chefe da United States Cyber Consequences Unit, uma organização sem fins lucrativos.
Uma apólice abrangente de seguros contra ataques cibernéticos deveria abarcar também o roubo de propriedade intelectual, disse Emily Freeman, corretora desse tipo de seguros na Lockton. A maioria das apólices, disse Freeman, cobre "o duplo risco de privacidade e segurança", o que inclui custo de operações perdidas, custos de notificação, serviços de monitoração de crédito, relações públicas e despesas judiciais e de investigação. As apólices também podem cobrir processos coletivos, investigações pelas autoridades regulatórias e até custos de extorsão.
"Não há um modelo único. Depende do tamanho da empresa e de seu grau de exposição", disse Freeman. "Tenho visto empresas que compram apólices de US$ 1 milhão com uma pequena franquia. Outras têm comprado apólices de US$ 100 milhões para um caso grave --grave a ponto de ter que ser revelado à SEC."