Coralie LemassonOttenere o rinnovare un’assicurazione cyber è diventato sempre più difficile per le aziende di tutto il mondo. Sebbene l’87% delle organizzazioni affermi di sentirsi sotto-protetto, il 17% ha scelto di non acquistare un’assicurazione cyber o non l’ha mai considerata, citando premi in aumento, scarsa consapevolezza o timori riguardo al processo di valutazione del rischio.
In Europa, l’assicurabilità dipende ora dalla capacità di dimostrare una postura di sicurezza matura in linea con NIS2 e le normative correlate, poiché gli assicuratori reagiscono a un “gap di protezione cyber” di circa 0,9 trilioni di dollari USA in perdite annuali. Questa base di riferimento sta ridefinendo ciò che gli assicuratori considerano un rischio gestibile.
In questo articolo, decodifichiamo queste aspettative e spieghiamo come una solida strategia di gestione degli accessi privilegiati (PAM) possa aiutare le organizzazioni a qualificarsi per l’assicurabilità nel panorama del rischio europeo. Per i lettori che operano principalmente in Canada o negli Stati Uniti, offriamo anche un articolo complementare che analizza gli stessi temi da una prospettiva nordamericana.
È alla ricerca di una soluzione PAM che soddisfi i requisiti del suo assicuratore? Scopra Devolutions PAM.
Il nuovo calcolo del rischio degli assicuratori cyber
Per comprendere le nuove richieste degli assicuratori, è essenziale capire le pressioni che devono affrontare.
La crescente gravità delle violazioni e un cambiamento nel comportamento degli attaccanti hanno costretto gli assicuratori a rivedere il rischio cyber. Il DBIR 2025 di Verizon mostra l’abuso di credenziali come principale vettore di accesso iniziale e il ransomware presente nel 44% delle violazioni, in aumento del 37% su base annua. Nell’area EMEA dominano le intrusioni di sistema e il social engineering, con la maggior parte degli attacchi motivati finanziariamente.
Parallelamente, gli assicuratori hanno limitato la capacità e inasprito i prerequisiti, con evidenze che controlli di sicurezza dei dati inadeguati possono far aumentare i premi del 100-300%. L’Europa occidentale, uno dei mercati assicurativi cyber più maturi, ha registrato una forte crescita a partire dal 2017, accompagnata da criteri di sottoscrizione più rigorosi.
Se si considera NIS2, una base di sicurezza informatica ampliata, obbligatoria e verificabile per i soggetti essenziali e importanti che ora funge da quadro di riduzione del rischio a livello UE e da checklist di sottoscrizione direttamente collegata ai fondamentali della PAM, il risultato è chiaro: il controllo degli accessi e la PAM non sono più aspetti periferici dell’assicurazione cyber, ma elementi centrali per l’ammissibilità.
Definire le aspettative degli assicuratori in materia di PAM
Gli assicuratori non stanno inventando nuovi requisiti, ma verificano se le organizzazioni soddisfano i controlli legati alla PAM già previsti da NIS2, GDPR, DORA e normative simili, e possono rifiutare direttamente la copertura quando mancano protezioni critiche come l’MFA.
In pratica, le organizzazioni devono:
- Governare gli account privilegiati. Mantenere politiche chiare per la gestione degli account privilegiati e di amministrazione del sistema.
- Applicare un’autenticazione forte. Applicare un’identificazione e un’autenticazione forti (ad esempio, l’MFA) agli account con privilegi elevati.
- Applicare il principio del privilegio minimo e separare le mansioni. Individualizzare i diritti di amministrazione e utilizzare account amministrativi dedicati, separati dalle operazioni degli utenti ordinari.
- Limitare gli accessi ad alto rischio in termini di tempo e ambito. Limitare la durata e l’ambito degli accessi privilegiati e di terze parti, registrando le attività per garantire la tracciabilità.
- Produrre prove verificabili. Fornire log di accesso, matrici di ruoli/permessi e prove della configurazione dell’MFA quando richiesto dalle autorità o dagli assicuratori.
Queste normative offrono agli assicuratori un quadro di controllo predefinito e stabilito dai regolatori su cui basare la sottoscrizione. La PAM, a sua volta, aiuta le organizzazioni a dimostrare la responsabilità generando tracce di audit inalterabili delle attività privilegiate e documentando gli accessi amministrativi ai sistemi che elaborano dati personali.
La soluzione PAM di Devolutions: l’essenziale accessibile e conveniente
Consolidando le funzionalità PAM essenziali e correlate in un’unica architettura, la soluzione di gestione degli accessi privilegiati di Devolutions aiuta le organizzazioni a dimostrare controlli di accesso conformi a NIS2 e alle richieste degli assicuratori:
- Vaulting delle password (self-hosted o basato sul cloud): applicare un’autenticazione forte (inclusa l’MFA) e un accesso basato sui ruoli, mantenere un registro degli account privilegiati e dei permessi, e generare log di accesso pronti per l’audit.
- Brokeraggio delle connessioni: intermediare le sessioni remote privilegiate e applicare restrizioni granulari basate sui ruoli.
- Controllo degli accessi da remoto: fornire accessi da remoto controllati e registrati, con la registrazione delle sessioni per le connessioni ad alto rischio.
- Elevazione just-in-time (JIT): sostituire i diritti amministrativi permanenti con un’elevazione JIT basata su policy e automatizzare la rotazione delle password dopo l’uso.
Le organizzazioni che utilizzano già soluzioni come CyberArk, Delinea Secret Server o BeyondTrust Password Safe possono integrarle nella piattaforma Devolutions, preservando gli investimenti mentre estendono la copertura PAM.
Poiché la nostra piattaforma ha un prezzo accessibile ed è pensata per un’implementazione rapida, rende la PAM avanzata accessibile alle PMI e alle grandi aziende che si percepiscono ancora come insufficientemente protette.
Per i team composti da cinque persone o meno, il nostro Starter Pack offre le stesse funzionalità PAM (inclusa l’elevazione JIT e la rotazione delle password) a un prezzo ottimizzato per le operazioni IT più piccole.
Conclusione
Con l’evolversi continuo dei criteri di sottoscrizione, le organizzazioni in Europa e nell’intera regione EMEA devono adeguare di conseguenza i propri controlli. Implementando controlli PAM conformi alle normative, le organizzazioni migliorano le proprie possibilità di ottenere una copertura e costruiscono una postura di sicurezza più resiliente.
Se è alla ricerca di una soluzione PAM per essere ammissibile alla copertura assicurativa cyber, scopra il nostro pacchetto di gestione degli accessi privilegiati, o il nostro Starter Pack per i piccoli team.