Jurist: verbod op betalen losgeld ransomware door verzekeraars zinloos
Een verbod dat verzekeraars verbiedt om het bij ransomware betaalde losgeld te vergoeden is zinloos, bedrijven hebben vaak geen andere keus. Dat stelt jurist Nynke Brouwer, die hier onderzoek naar deed en afgelopen donderdag op het onderwerp aan de Radboud Universiteit promoveerde. Vorige week liet demissionair minister Grapperhaus van Justitie en Veiligheid weten dat de overheid onderzoekt of het verzekeraars kan verbieden om het losgeld te vergoeden dat door ransomware getroffen bedrijven en organisaties betalen.
Allerlei verzekeringsmaatschappen bieden inmiddels "cyberverzekeringen" aan waarbij het losgeld wordt vergoed dat slachtoffers van ransomware betalen om hun bestanden terug te krijgen. Volgens sommige experts zijn aanvallers hierdoor veel hogere losgeldbedragen gaan vragen. "Door losgeld te betalen worden criminele activiteiten beloond en gestimuleerd. Daarnaast is de verwachting van de politie dat het betalen van losgeld leidt tot meer aanvallen van ransomware", liet Grapperhaus eerder weten.
Volgens Brouwer vergoeden de meeste cyberverzekeraars het losgeld dat hun verzekerde heeft betaald. Een verbod hiervan zou echter weinig uithalen. "Dat is een druppel op een gloeiende plaat. In mijn onderzoek heb ik geen duidelijke verbanden gevonden tussen het hebben van verzekeringsdekking voor betaald losgeld en de beslissing van het bedrijf om te betalen. Verzekerd of niet, bedrijven betalen omdat ze niet anders kunnen", laat Brouwer weten.
Ze stelt dat een verbod de betalingen alleen maar de illegaliteit in zal drukken. "Bedrijven vinden dan wel weer een andere manier om te betalen. Een verzekering is bovendien een overeenkomst. Voor overeenkomsten geldt contractvrijheid. Een verbod op het bieden van verzekeringsdekking vormt een vergaand ingrijpen daarop."
Brouwer betoogt dat de overheid cyberverzekeraars niet moet zien als hinder, maar als handig hulpmiddel voor betere cyberbeveiliging. In de praktijk kunnen verzekeringen namelijk helpen het beveiligingsniveau van bedrijven te verbeteren. "Bij het afsluiten van een cyberverzekering moet een bedrijf aan bepaalde voorwaarden voldoen. Over deze eisen zou weliswaar meer consensus kunnen worden bereikt, maar daartoe zijn al ontwikkelingen gaande in de markt."
Wanneer bedrijven en organisaties als gevolg van het afsluiten van een verzekering nadenken over de risico's, maatregelen nemen om aanvallen te voorkomen, die regelmatig evalueren en versterken, kunnen volgens Brouwer veel incidenten worden voorkomen.
But here's the thing. The technical people work for the insurer, not you, so while they provide help and untangle your systems, they will also be looking for the ways you have not complied with the "reasonable" precautions mandated by your policy.
Vergelijkbaar: als, bijv. na waterschade, een verzekeraar komt vaststellen dat jouw inboedel veel meer waard is/was en je dus onderverzekerd was, krijg je ook niet alle schade vergoed.
Uit het security.nl artikel hierboven:
Dit naast dat betalen niet garandeert dat je al jouw bestanden intact en snel terugkrijgt, en al helemaal niet dat de afpersers geen extra geld zullen eisen om af te zien van de verkoop en/of publicatie op internet van gestolen vertrouwelijke informatie uit jouw organisatie.
Ik vermoed dat beginnen met beter beveiligen (en het vooraf maken van crisisplannen) i.p.v. beginnen met het afsluiten van een verzekering, voor de meeste organisaties de verstandigste keuze is, want er zijn risico's die je niet volledig (of, als je pech hebt, geheel niet) wegneemt met zo'n verzekering. Als je de beveiliging redelijkerwijs op orde hebt, kan een verzekering wellicht wel helpen om restrisico's te helpen afdekken, maar sowieso zou ik de kleine lettertjes dan goed (laten) lezen. Het vooraf laten uitvoeren van een assessment door een door de verzekeraar erkende partij zou ook wel eens in jouw eigen belang kunnen blijken te zijn.
Ze begrijpt het hele probleem niet! Het gaat er niet om of dat de bedrijven het zelf betalen of via een verzekering, maar
om het standpunt van de criminelen dat het "toch verzekerd is dus kunnen we wel meer vragen".
Dit zelfde probleem jaagt ook in andere situaties de kosten op, zoals bij ziektekosten, autoverzekeringen, etc.
Daarom is er in die situaties ook een duidelijke onafhankelijke controlerende instantie om excessen te voorkomen.
DIe is er bij losgeld niet.
Zo'n verzekering gaat dus altijd gepaard met in ieder geval een basisniveau van security.
Voor de rest: een bedrijf heeft vaak simpelweg geen keus. Het is, óf betalen, óf je bedrijf gaat failliet. Dus ongeacht of er een verzekering achter hangt zou er wel betaald worden. Het klinkt als een heel makkelijke oplossing, "dan maak je het toch gewoon illegaal om dat losgeld te betalen", maar ransomware is een veel ingewikkelder probleem dan dat. Als het echt zo makkelijk was om op te lossen, dan was dat allang gedaan.
Verzekeraars zijn ontzettend goed in het inschatten van risico versus baten. Kijk maar naar een fikse hagelbui waarbij miljoenen worden uitgekeerd, toch worden dergelijke verzekeringen nog steeds verkocht. En mocht een bepaalde vorm uit de hand lopen, dan stellen verzekeraars hun voorwaarden bij, zie bijvoorbeeld dit artikel uit 2019 https://solarmagazine.nl/nieuws-zonne-energie/i19508/verzekeraars-stoppen-met-vergoeden-onzichtbare-hagelschade-aan-zonnepanelen.
Het mes snijdt dus aan twee kanten, iets wat niet te verzekeren valt is niet de beste keuze. Als ondernemer zou je dat aan het denken moeten zetten. En verzekeraars zorgen er wel voor dat hun kleine lettertjes er zorg voor dragen dat de kans dat zij (veel) schade dienen uit te keren beperkt blijkt.
Kortom, verzekeraars zullen sneller tot een stijgende cybersecurity leiden dan onze overheid.
Naar mijn mening is er geen enkel verschil met het fenomeen van ransomware.
Als politiek en bestuur het juist op dat laatste willen verbieden, dan zeggen ze wat mij betreft dat ze zelf klungels zijn. Er ontbreekt veel op dat vlak. je kunt natuurlijk niet een boa met een blauw mutsje achter een miljoenenroof aan sturen. Je mag die ook niet vragen overal dan maar zelf te gaan zitten hekken want opsporing is aan regels gebonden. En wel fijn als dat zo blijft. Dan hoeft tenmiste ook daar geen geld bij voor zaken die ze helemaal niet zouden moeten horen mogen.
Gewoon triest dat een juriste stukjes moet tikken dat dat allemaal van die verwarde mensendingen van kamerleden en bestuurders gewoon eenvoudig helemaal niet kunnen. Er wordt veel te veel gewicht verwacht van al dat vrijemeningengelul van tegenwoordig. Er is een probleem. Dat ransomware gedoe is dat zeker. Het treft ook ziekenhuizen. Los het maar op. Maar niet met afwimpelwetten gaan zitten bedenken. Of haha zelf stom geweest en nog leuker want losgeld betalen is verboden gemaakt en verzekeren van schade ook. Daar zijn de problemen veel te groot voor en ze groeien.
(Mijn mening over mijn mening is overigens dat ik daar zelf betrekkelijk weinig waarde aan hecht, niet eens zin heb om gelijk te krijgen en niks interessanters dan een betere te lezen.)
Een interessante vergelijking. Een inbraakverzekering keert niet uit op het moment dat jij je voordeur open hebt laten staan of een bewezen slecht slot gebruikt hebt. Een brandverzekering keert (vaak) niet uit op het moment dat jij een bewust risico op brand genomen hebt (gehobby in de meterkast).
Mijn eerste gedachte is dus ook altijd geweest "een verzekeraar mag best uitkeren bij ransomware, maar dan moet wel de beveiliging op orde zijn". Maar dan krijg je weer zo'n lastig iets dat er dus ook bij die verzekeraars kundige specialisten moeten zitten, die je juist hard nodig hebt bij politie, zorginstellingen en bedrijven.
Je komt dus eigenlijk altijd in een spagaat terecht, welke oplossing je kiest.
Nee slachtoffer zijn van afpersing is niet sowieso verboden. Verder lekker kort door de bocht. Stel dat je betaling *door verzekeraars* verbiedt. Dan mag een slachtoffer nog steeds zelf betalen. Vergeet daarnaast niet dat er meteen uitzondering gemaakt zullen worden voor omgevingen waar mensenlevens op het spel staan zoals ziekenhuizen. Op wat voor doelwitten denk je dat criminelen zich gaan richten, indien je in die situatie terecht komt ?
Het hebben van voldoende backups, met encryptie op gevoelige data/persoonsgegevens, etc.
En aansporing op zowel on-premises als off-premises FLOSS oplossingen, zo dergelijke maatregelen breed en voor iedereen kenbaar en toegankelijk worden als geavanceerde basis voorzieningen met de vrijheid tot onafhankelijkheid/kosten drukking.
Zodoende er onder gezamenlijke omstandigheden weerbaarheid wordt gecreëerd, en dit niet alleen is weggelegd voor de bedrijven met flinke budgetten.
Een interessante vergelijking. Een inbraakverzekering keert niet uit op het moment dat jij je voordeur open hebt laten staan of een bewezen slecht slot gebruikt hebt. Een brandverzekering keert (vaak) niet uit op het moment dat jij een bewust risico op brand genomen hebt (gehobby in de meterkast).
Mijn eerste gedachte is dus ook altijd geweest "een verzekeraar mag best uitkeren bij ransomware, maar dan moet wel de beveiliging op orde zijn". Maar dan krijg je weer zo'n lastig iets dat er dus ook bij die verzekeraars kundige specialisten moeten zitten, die je juist hard nodig hebt bij politie, zorginstellingen en bedrijven.
Je komt dus eigenlijk altijd in een spagaat terecht, welke oplossing je kiest.
Niet perse. Een verzekeraar is erg goed in kleine lettertjes, en zij leren van die gevallen waar het tot uitkering is gekomen, waarna ze eventueel hun kleine lettertjes aanpassen voor al hun verzekerden, en zo verder. Een ondernemer met een SBS2008 server die alle poorten open heeft staan zal geen kans maken op verhaal. Daarnaast zijn veel verzekeraars een verband aangegaan met gespecialiseerde IT bedrijven. Zie bijvoorbeeld https://www.kvk.nl/advies-en-informatie/veiligzakendoen/cybersecurity/verzekeren-tegen-cybercrime-verstandig/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
