Alors que les attaques par ransomware ont augmenté en fréquence et en coûts, les compagnies d’assurance ont commencé à augmenter leurs normes en matière de polices de cyber-assurance, y compris les polices pour K–12 écoles.
Les organisations qui ne parviennent pas à démontrer une bonne cyberhygiène trouveront plus difficile et plus coûteux d’obtenir des polices d’assurance cyber sans une longue liste d’avenants et d’exclusions. Dans certains cas, les organisations trouveront qu’il est impossible d’obtenir une cyber-assurance.
En mettant en place des contrôles de sécurité des endpoints et en suivant les meilleures pratiques en matière de cyberhygiène, K–12 écoles peuvent démontrer aux assureurs qu’elles ont pris des précautions prudentes contre les attaques par ransomware. Les assureurs seront alors plus susceptibles de leur émettre des polices pour couvrir le coût des dommages qui pourraient être encourus à la suite d’une attaque.
Dans cette publication, j’étudie les tendances en matière de cybercriminalité, je réfléchis à la manière dont ces tendances affectent les primes d’assurance et je propose des recommandations à K–12 écoles pour renforcer leur sécurité informatique et répondre plus facilement aux exigences de couverture de plus en plus strictes.
La cybercriminalité paie et les assureurs payent
L’activité de cyber-assurance a commencé après que Target a fait l’objet d’une violation de données en 2013. Dans cette attaque, les criminels ont compromis les systèmes informatiques d’un partenaire cible et ont utilisé cet accès du partenaire compromis pour récupérer les informations de paiement de 110 millions de consommateurs.
Étant donné que l’attaque provenait d’un partenaire, Target a commencé à demander à ses partenaires de souscrire une cyber-assurance pour aider à couvrir les dépenses en cas de nouvelles violations de sécurité. Lorsque les partenaires de Target ont commencé à demander une couverture, les compagnies d’assurance ont réalisé qu’un nouveau marché était né. Ils ont commencé à rédiger de nombreuses politiques.
Pendant les premières années, ces politiques ont été très rentables. Ensuite, les attaques de sécurité, y compris les attaques par ransomware, sont devenues plus audacieuses, plus fréquentes et plus coûteuses à corriger.
Au cours des cinq dernières années, le coût moyen d’une cyberattaque réussie aux États-Unis a augmenté pour atteindre 13 millions USD, et les failles de sécurité ont augmenté de 67 %.
Au moment de la violation de la cible, les interruptions d’activité dues aux cyber-incidents se sont classées environ 15 dans la liste des risques auxquels les entreprises sont confrontées, selon des experts en risques. Il est maintenant en haut de la liste.
Ces failles de sécurité étaient évidemment mauvaises pour les entreprises directement affectées par elles. Ils étaient également mauvais pour les assureurs. Ce qui avait été un marché très rentable quelques années plus tôt est devenu un seuil de rentabilité, voire pire. Certaines compagnies d’assurance se sont même retrouvées à payer plus dans les demandes d’indemnisation de cyber-assurance qu’elles n’en prenaient. L’époque de la souscription relativement rapide et facile est révolue.
Davantage de menaces signifient plus d’examen
Les assureurs posent désormais des questions plus difficiles avant de rédiger des polices. Ils veulent s’assurer que les organisations qu’ils assurent prennent des mesures prudentes pour réduire le risque d’attaques de sécurité telles que les rançongiciels. Les assureurs demandent donc aux candidats de remplir des questionnaires, confirmant qu’ils ont pris des mesures pratiques pour minimiser les menaces de rançongiciel.
Par exemple, de nombreuses variantes de ransomware utilisent le port RDP (Remote Desktop Protocol) pour se déplacer latéralement sur un réseau. Dans la plupart des organisations, ce port peut être fermé sur un grand nombre d’endpoints sans perte de fonctionnalité pour l’organisation. Les assureurs demandent donc aux organisations de confirmer qu’elles ont fermé le port.
Une fois qu’une police est émise, l’assureur utilisera ensuite un service de sécurité informatique pour analyser régulièrement le réseau public de l’organisation, à la recherche de failles dans ses défenses.
Fermer des ports inutiles est sans aucun doute une bonne pratique de sécurité. Et remplir des questionnaires et les soumettre aux analyses réseau fournit aux assureurs une compréhension plus précise de la préparation d’une organisation aux attaques de sécurité.
Mais les organisations peuvent-elles faire plus pour améliorer leurs défenses contre les attaques ? Et comment peuvent-ils plus facilement démontrer leur préparation aux assureurs pour faciliter l’obtention d’une police attrayante ?
Cyberassurance et K–12 écoles
Ces questions s’appliquent à toutes les organisations, y compris K–12 écoles. De nombreuses personnes ne pensent pas que les écoles seraient une cible attrayante pour les pirates informatiques. Après tout, les institutions financières comme les banques n’auraient-elles pas plus de fonds avec lesquels payer la rançon ? Les hôpitaux ne ressentiraient-ils pas plus de pression pour résoudre rapidement les interruptions de réseau qui pourraient compromettre la prestation des soins ?
Mais les écoles sont des cibles attrayantes pour les cybercriminels en raison de leur taille, de leurs finances et de la richesse des informations personnellement identifiables qu’elles gèrent.
Le système d’école publique américain emploie plus de personnes, environ 6,6 millions , que tout autre secteur dans le pays. Les systèmes informatiques des écoles publiques stockent des informations, y compris des noms, des adresses personnelles et des numéros de sécurité sociale, pour plus de 50 millions d’étudiants.
Presque tous ces étudiants ouvriront un jour des comptes financiers et utiliseront des produits financiers tels que les cartes de crédit. Les criminels reconnaissent que les données personnelles de ces étudiants sont précieuses pour la fraude actuelle ou future. C’est pourquoi les criminels sont prêts à payer entre 250 et 350 USD pour les données personnelles d’un étudiant sur le dark web.
La plupart des entreprises commerciales, telles que les banques et les hôpitaux, disposent de défenses de sécurité sophistiquées et multicouches, ainsi que de niveaux de personnel et de budget robustes pour prendre en charge chaque aspect de la sécurité informatique. La plupart des K–12 écoles ont une fraction du budget et du personnel de ces organisations de taille comparable. Certaines écoles plus petites peuvent même ne pas avoir de membre du personnel informatique à temps plein. Ce manque de ressources rend K–12 écoles vulnérables, c’est pourquoi les attaques augmentent.
Sans parler de l’impact sur la réputation d’un district scolaire K–12 . La plupart des surintendants veulent rester à l’écart des nouvelles pour des violations embarrassantes qui peuvent non seulement épuiser leurs réserves budgétaires en payant des rançons, mais également avoir des parents au courant de leurs processus de gestion informatique.
Il y a eu 122 cyberattaques contre K–12 écoles en 2018. In August and September of 2020 alone, 57% of the ransomware attacks reported to the Center for Internet Security’s MS-ISAC team were against K–12 schools.
Les menaces de sécurité auxquelles sont confrontées K–12 écoles étaient déjà suffisamment graves pour mériter une annonce de service public du FBI en 2018. Le problème est encore plus pressant aujourd’hui, en particulier avec l’augmentation de l’apprentissage à distance due à la pandémie de COVID-19. À tel point qu’en 2020, la Cybersecurity and Infrastructure Agency (CISA) a créé des directives de sécurité pour K–12 écoles afin de faire face au paysage croissant des menaces, parallèlement à une augmentation de l’apprentissage à distance.
Alors, comment K–12 écoles peuvent-elles mieux se défendre contre les cybermenaces et démontrer leur niveau de préparation à la sécurité informatique auprès des assureurs ?
Automatisation de la cybersécurité K–12 et respect des exigences de la politique
Une école K–12 peut renforcer considérablement ses défenses contre les rançongiciels et autres menaces de sécurité en déployant une plateforme de gestion et de sécurité des endpoints. Avec cette même plateforme, l’école peut obtenir une visibilité précieuse sur la sécurité et les opérations continues de ses endpoints, y compris les ordinateurs portables, les ordinateurs de bureau, les machines virtuelles et les serveurs.
Une plateforme qui inclut l’ automatisation de la cybersécurité peut également aider les districts scolaires sous-ressources à mieux gérer leur sécurité qu’aujourd’hui en automatisant de nombreuses tâches manuelles et fastidieuses, aidant ainsi leur personnel existant à être plus efficace.
Grâce à cette visibilité améliorée, le personnel peut identifier les problèmes qui doivent être corrigés pour minimiser les vulnérabilités à attaquer. Et lorsqu’une attaque se produit, les équipes informatiques peuvent utiliser des fonctionnalités de sécurité et de visibilité des endpoints pour caractériser rapidement l’attaque et la contenir.
De plus, une plateforme de gestion et de sécurité des endpoints peut répertorier avec précision tous les endpoints associés à l’école, générer des rapports sur le statut de vulnérabilité de ces endpoints et fournir automatiquement des correctifs et des mises à jour.
Étant donné que la plupart des attaques de sécurité tirent parti des vulnérabilités déjà connues dans les applications et les systèmes d’exploitation, maintenir les endpoints continuellement mis à jour et corrigés réduit considérablement le risque d’attaques.
Malheureusement, dans de nombreuses écoles, la gestion des mises à jour et des correctifs est un travail chronophage, effectué uniquement lorsque le personnel informatique a le temps d’analyser les endpoints, d’identifier les modifications requises, puis d’exécuter un correctif ou des scripts de mise à jour, en espérant qu’ils fonctionnent comme prévu. Même dans ce cas, seuls certains endpoints peuvent être corrigés ou mis à jour.
L’automatisation des workflows de gestion des mises à jour et des correctifs avec un système de gestion des endpoints rend ce travail important rapide, facile et complet.
La solution Tanium Risk and Compliance Management offre une visibilité en temps réel sur le statut des endpoints. Tanium signale non seulement les ports ouverts ou fermés, mais également l’activité des endpoints qui a lieu et laquelle de ces activités constitue une menace de sécurité.
Le reporting automatique intégré à la plateforme permet au personnel de générer facilement des rapports sur les actifs gérés ou non gérés dans un environnement de district scolaire K–12 , sur ou hors réseau. Ces rapports peuvent grandement aider en fournissant des données en temps réel et précises sans nécessiter des semaines de collecte et d’assemblage de données à partager avec les cyberassureurs comme preuve d’une bonne cyberhygiène. Cela signifie que les écoles peuvent non seulement obtenir une couverture d’assurance plus facilement, mais également réduire la vulnérabilité d’une école aux attaques, lorsqu’elles ont une visibilité sur ce qui se passe dans leur environnement.
K–12 écoles peuvent également utiliser Tanium pour fournir automatiquement des correctifs et des mises à jour à tous les endpoints, améliorant ainsi la sécurité globale des endpoints scolaires et réduisant le risque d’attaque qui nécessiterait une police d’assurance pour payer.
Face à la menace croissante d’attaques de sécurité coûteuses, la souscription d’une cyberassurance est une décision prudente pour toute école K–12 . Tanium aide les écoles à protéger leurs réseaux et à obtenir des polices favorables pour ce type important d’assurance.
Laissez-nous vous montrer comment la solution de gestion des risques et de la conformité de Tanium fournit une vue en temps réel de l’exposition aux risques dans l’ensemble de votre organisation. Inscrivez-vous dès aujourd’hui à une démo.
