Verdieping op het gebied van cyberverzekeringen: het kwantificeren van het cyberrisico voor MKB’ers

Het inzichtelijk maken van de mogelijke omvang van een cyberschade is knap lastig . Voor een brand- of een autoverzekering is dit doorgaans een stuk eenvoudiger. Voor de adviseurs die op dit punt verdieping zoeken heeft Hiscox vorige week een tool gelanceerd: de Cyber Exposure Calculator. In deze blog mijn bevindingen van deze tool!

Werking van de tool

De tool laat zich gemakkelijk en snel invullen. In stap 1 kies je wie je bent (ondernemer, riskmanager, assurantieadviseur of manager) en in stap 2 dient te worden ingevuld in welke sector de organisatie actief is, in welke regio én wat de omzet is. Tot slot volgt stap 3 (deze is optioneel) waarin op een vijfpuntsschaal  gevraagd wordt hoe het ervoor staat met items als beveiliging, detectie, herstel, dreiging en de gevoeligheid van informatie. Wanneer al deze stappen zijn doorlopen berekent de tool een bedrag.

Wat betekent dit bedrag?

Het bedrag dat uit de tool komt is niet de gemiddelde maar ook niet de maximale schade van een cyberincident. Wat is dit bedrag dan wel hoor ik u denken. Het bedrag is de zogeheten Value at Risk (kortweg VaR). De Value at Risk drukt het bedrag uit dat binnen de periode van één jaar met 95% zekerheid  voor de betreffende organisatie het maximale schade bedrag is voor een cyberschade.  Aan de ene kant biedt deze tool met dit bedrag een mooi hulpmiddel om het cyberrisico op een betrouwbare manier te kunnen kwantificeren. Aan de andere kant moet u er wel rekening mee houden dat er óók een kleine kans is dat een cyberschade hoger uitpakt. Het bedrag kan dus absoluut niet worden overgenomen als verzekerd bedrag, maar hier wel als leidraad voor dienen.

De cyberrisico’s voor een assurantieadviseur

Wanneer ik de tool invul als assurantieadviseur (ondernemer, Insurance, EU, 5 miljoen omzet) bedraagt de mogelijke schade € 525.000. Wanneer ik vervolgens invul dat de beveiliging, de opsporing en het herstel bovengemiddeld op orde zijn daalt dit bedrag tot € 436.700. Wanneer ik vervolgens invul dat deze adviseur nauwelijks wordt aangevallen maar wel bovengemiddeld beschikt over privacy gevoelige informatie komt het bedrag uit op € 327.700. Al spelende met de tool kom ik er achter dat vooral de laatste twee (het dreigingsniveau en de gevoeligheid van de informatie) van invloed zijn op het bedrag. Hierbij laat de tool eveneens zien hoe het risico bij deze adviseur zich verhoudt tot het risico bij de gemiddelde adviseur. Het is prettig dat je de uitkomst kunt mailen.

Slotsom

De tool is een handig hulpmiddel om cyberrisico’s te kwantificeren. De tool laat ook zien wat het effect van onder andere beveiliging is op het risico. Ook kunt u met de tool als adviseur nagaan welke bedrijven in meer of mindere mate gevoelig zijn voor cyberrisico’s. Let er hierbij wel op dat de maximale schade die uit de tool komt waarschijnlijk te laag is om het verzekerd bedrag te bepalen. De uitkomst uit de tool biedt hiervoor wel een aanknopingspunt, het ene bedrijf loopt veel meer risico dan het andere. Met het toepassen van een ruime en veilige factor (vermenigvuldiging van het bedrag) kan de tool hierbij wel hulp bieden.