Coralie LemassonDe seneste år har landskabet for cyberforsikring i Nordamerika gennemgået en markant forandring. Cyberforsikring, der engang blev set som et valgfrit sikkerhedsnet, er blevet en hjørnesten i virksomheders risikostyring. Efterhånden som forsikringsselskaberne justerer deres tegningsmodeller som svar på flere brud og stigende erstatningskrav, gransker de identitets- og privilegiesikkerhed tættere — herunder privilegeret adgang. I den sammenhæng er privilegeret adgangsstyring (PAM) gået fra at være bedste praksis til en ufravigelig forudsætning for at kunne forsikres.
Forsikringsselskabernes nye risikoregning
Fokus på PAM drives af en utvetydig trusselsvektor: ransomware. Ifølge National Association of Insurance Commissioners (NAIC) voksede ransomwareangreb med næsten 93 % i 2021. Bemærkelsesværdigt nok blev den hidtil højeste løsesum — lige under 40 millioner USD — betalt af et forsikringsselskab. Som svar kræver de tegningsansvarlige mere struktureret og dokumenterbar cybersikkerhedspraksis for at forebygge så kostbare hændelser.
En ny brancheundersøgelse viste, at næsten halvdelen af alle erstatningskrav har rod i misbrug af privilegier eller kompromittering af identitet. Derfor kræver over 40 % af forsikringsselskaberne nu bevis for, at mindste privilegium håndhæves, og 95 % af de forsikrede organisationer i USA skal implementere identitetsrelaterede kontroller for fortsat at være berettiget til dækning.
Udviklingen tegner et strammere, men også mere modent, marked for cyberforsikring.
Leder du efter en PAM-løsning, der opfylder din forsikringsgivers krav? Udforsk Devolutions PAM.
Hvad forsikringsgiveren forventer af PAM
Forventningerne varierer fra forsikringsselskab til forsikringsselskab, men flere tydelige tendenser er dukket op, og mange af dem samler sig om PAM. Som nævnt har ransomware været en hoveddrivkraft bag skiftet mod PAM. Set fra forsikringsgiverens side værdsættes PAM-kontroller — uanset om de nævnes ved navn — for deres evne til at „forebygge, opdage og reagere på ondsindet aktivitet gennem hele ransomwares livscyklus“.
Med andre ord bruger forsikringsselskaberne ikke altid begrebet „privilegeret adgangsstyring“, men deres tekniske krav flugter ofte med det, PAM kan.
Her er bemærkelsesværdige PAM-kontroller og tilgrænsende kontroller, som forsikringsselskaber ofte kræver:
1. Multifaktorgodkendelse (MFA)
Mange forsikringsselskaber ser MFA som et grundelement. Den er enten udtrykkeligt krævet (for eksempel for domæneadministratorkonti eller fjernadgang) eller underforstået i forventninger om lagdelt adgangskontrol.
2. Administration af legitimationsoplysninger og rotation af adgangskoder
Sikker opbevaring af legitimationsoplysninger, håndhævet kompleksitet af adgangskoder og automatisk rotation er ved at blive standardkrav.
3. Logning, overvågning og sessionsoptagelse
Sporbarhed er en gennemgående bekymring. Forsikringsselskaber kan kræve sessionsoptagelse, overvågning og/eller logning af administrativ aktivitet, herunder check-out af legitimationsoplysninger, rettighedsforhøjelse, nulstilling af adgangskoder og ændringer af gruppemedlemskab.
4. Just-in-time-adgang (JIT) og nul stående privilegier (ZSP)
Forsikringsselskaber forventer i stigende grad forløb for midlertidig rettighedsforhøjelse som JIT-adgang, forankret i en tilgang med nul stående privilegier. JIT-rettighedsforhøjelse tildeler privilegier midlertidigt, mens ZSP sikrer, at privilegier trækkes tilbage med det samme, og at ingen står tilbage, når de ikke er i brug.
5. Princippet om mindste privilegium (PoLP) og rollebaseret adgangskontrol (RBAC)
Delinea fandt i deres undersøgelse af cyberforsikring, at 41 % af respondenterne skulle implementere rollebaseret adgang og/eller kontroller for mindste privilegium (som bedste praksis bør begge implementeres) for at bevare retten til cyberforsikring. Forsikringsselskaber forventer, at privilegier tildeles efter jobfunktion, ikke gives til alle.
6. Sikker fjernadgang
Fjernadgang, uanset om den er til fjernarbejdere, leverandører eller konsulenter, er en vedvarende bekymring for forsikringsselskaber. Forkert konfigurerede protokoller til fjernadgang, som Microsoft Remote Desktop Protocol (RDP), udgør en betydelig sikkerhedsrisiko, især siden skiftet til fjernarbejde under COVID-19. Forsikringsselskaber forventer lagdelt forsvar som VPN og MFA oven på RDP for at mindske de risici.
Devolutions’ PAM-løsninger: vores samlede tilgang
Ved at samle alle centrale PAM-funktioner og tilgrænsende funktioner i én arkitektur kan Devolutions’ løsning til privilegeret adgangsstyring hjælpe organisationer med at flugte med forsikringsselskabernes forventninger. Løsningen omfatter:
- En central adgangskodeboks (Devolutions Server eller Devolutions Cloud) med håndhævelse af MFA, RBAC og krypteret lagring;
- Devolutions Remote Desktop Manager, som formidler adgang til fjernsessioner og begrænser tilladelser granulært;
- Devolutions Gateway, et letvægtsalternativ til VPN, der muliggør sessionsoptagelse og administration af tredjepartsadgang;
- Devolutions PAM, med automatisk rotation af adgangskoder, JIT-rettighedsforhøjelse og håndhævelse af mindste privilegium.
Organisationer, der allerede bruger løsninger som CyberArk, Delinea Secret Server eller BeyondTrust Password Safe, kan integrere dem i Devolutions PAM-platformen, bevare eksisterende investeringer og udvide mulighederne.
Vores PAM-løsning er en effektiv og reviderbar administrationsplatform, der understøtter bedste praksis i tråd med forsikringsgivernes krav på tværs af identitet, adgang og privilegier. Fordi Devolutions-platformen er prisvenlig og designet til nem udrulning, bringer den avanceret PAM inden for rækkevidde af både små, mellemstore og store virksomheder.
Til teams på fem eller færre leverer vores Starter Pack de samme robuste PAM-funktioner som den fulde løsning — herunder JIT-rettighedsforhøjelse og rotation af adgangskoder — men til en pris, der er tilpasset mindre IT-drift. Det er et ideelt første skridt for teams, der vil etablere et solidt cybersikkerhedsfundament og tegne cyberforsikring tidligt i væksten.
Konklusion
Efterhånden som tegningskriterierne udvikler sig, skal organisationer i Nordamerika tilpasse deres sikkerhedsstrategier. PAM er ikke længere valgfri, uanset om forsikringsselskaberne nævner den ved navn.
Ved at forstå og tilpasse deres PAM-kontroller til forsikringsselskabernes forventninger kan organisationer både øge chancen for at få dækning og bygge en mere robust og ansvarlig sikkerhedsstilling. Devolutions’ integrerede PAM-løsninger giver et fundament, der flugter med forsikringsgivernes krav, til den omstilling.
Leder du efter en PAM-løsning for at blive berettiget til cyberforsikring, så se vores pakke til privilegeret adgangsstyring eller vores Starter Pack til små teams.