Tveganja so ogledalo časa, v katerem živimo

Tveganja niso statična in se nenehno spreminjajo, kar kažejo tudi podatki zadnjih 35 let. Poleg digitalnih, regulativnih in medsebojno povezanih tveganj se srečujemo še s kibernetskimi, zadnja leta pa tudi s tveganji, ki jih prinaša umetna inteligenca. Zelo visoko na radarju so še vedno naravne nesreče, pa čeprav niso nova tveganja. Pač pa so nove njihove obličnost, pogostnost in intenzivnost, je v intervjuju med drugim poudaril Peter Filip Jakopič, direktor Službe za zavarovanje premoženja in premoženjskih interesov pri Zavarovalnici Triglav. In dodal, da so tveganja ogledalo časa, v katerem živimo, saj se spreminjajo skupaj s svetom okoli nas.

Kako se je spremenilo gospodarstvo v desetletju

Svet doživlja hiter razvoj, veliko je nepredvidljivih dogodkov, s katerimi so se spremenila tudi tveganja tako za podjetja kot družbo kot celoto. Kako močno so globalni dogodki vplivali na zaznavanje tveganj?

Če pogledamo zadnjih 35 let, vidimo zanimiv razvoj. V 90. letih prejšnjega stoletja, po padcu berlinskega zidu, so bila glavna tveganja povezana z rastjo in globalizacijo. Varnost in mednarodne povezave so postale ključne po terorističnih napadih 11. septembra 2001, finančna kriza leta 2008 pa je prinesla skrb za preživetje in stabilnost finančnega sistema. Pandemija covida je razkrila ranljivost globalnih dobavnih verig ter pokazala, kako hitro se lahko svet spremeni in kako pomembno je biti pripravljen na nepredvidljive dogodke. Geopolitični konflikti, kot je vojna v Ukrajini, pa so pokazali našo odvisnost od energije in s tem pomembnost energetske varnosti in stabilnosti dobavnih verig, logistike in mednarodne trgovine. S prihodom digitalizacije so se pojavila nova tveganja, kot so kibernetski napadi in digitalne nevarnosti. Danes pa se vse bolj ukvarjamo z vprašanjem, kako varno uporabljati umetno inteligenco.

Tako bi lahko rekel, da so se tveganja od finančnih in fizičnih premaknila k digitalnim, regulativnim, sistemskim oziroma medsebojno povezanim tveganjem. Če smo pred leti zavarovali predvsem premoženje, danes vse pogosteje zavarujemo poslovanje, podatke, okolje in odgovornost ljudi, ki sprejemajo odločitve.

Peter Filip Jakopič: Več kot 80 odstotkov kibernetskih vdorov oziroma incidentov je v resnici posledica človeške nepazljivosti ali naivnosti in ne tega, da bi imela strojna ali programska oprema neko hudo napako. Foto Jože Suhadolnik

Prehod od finančnih in fizičnih tveganj k digitalnim in sistemskim je bil neizogiben. Digitalizacija je prinesla številne prednosti, a tudi nova tveganja. Kibernetski napadi so postali vsakodnevna nevarnost, ki lahko ohromi delovanje podjetij in povzroči ogromne finančne izgube. Sistemska tveganja, ki izhajajo iz medsebojne povezanosti različnih sektorjev in držav, pa zahtevajo celovit pristop k upravljanju tveganj.

Regulativa danes že sama po sebi pomeni neko poslovno tveganje, saj je izziv v tem, da sta razvoj in znanje zelo globalna, uporaba teh znanj pa je zelo lokalna. Nekoč je bilo poslovno okolje podobno nogometni ligi, pravila so bila bolj ali manj enaka za vse. Danes pa ena država igra po nogometnih pravilih, druga po košarkarskih, tretja pa med tekmo pravila spremeni – podjetje pa mora igrati na vseh treh igriščih hkrati. In če si moral včasih imeti različne produkte za različne trge, je danes mogoče skoraj povsod prodajati enak izdelek, z enako uporabniško izkušnjo, regulativa pa je čisto druga. Nekoč, ko svet še ni bil globaliziran, si imel več produktov za več trgov, danes pa sta znanje in tehnologija zelo globalna, uporaba pravil pa izrazito lokalna.

Kako pa se je treba odzivati na tveganja?

Digitalizacija, globalizacija in tehnološki napredek so prinesli nova tveganja, ki zahtevajo celovit in prilagodljiv pristop k njihovemu upravljanju. Zavedati se je treba, da so se tveganja v zadnjih desetletjih bistveno spremenila, nastala so nova kot posledica novih razmer, obenem pa se nenehno razvijajo.

Če se dotakneva kibernetskih tveganj – podjetja so vsak dan izpostavljena različnim grožnjam, kot so hekerski napadi, izsiljevalski virusi in kraje podatkov. Kibernetska tveganja lahko povzročijo finančne izgube, poslovni zastoj in škodo za ugled, zato zahtevajo sistematičen pristop k upravljanju.

Pomembno je, kako se družba, podjetja in posamezniki odzivamo nanje. Najpomembnejši elementi so upravljanje tveganj, regulativa in zavarovanja. Regulativa predstavlja odgovor na nova sistemska tveganja. Slovenija, ki je vezana na regulativo EU, se odzove z ustrezno zakonodajo, zavarovalništvo pa razvija produkte tudi kot odziv na nova tveganja. Zavarovanja so tako ena (zadnja) izmed faz upravljanja tveganj.

Pomembno področje upravljanja tveganj za podjetja je kibernetska varnost in nedavno je bila v slovenski pravni red z zakonom o informacijski varnosti prenesena direktiva NIS2. Kakšne novosti prinaša za podjetja?

Prinaša korenito konceptualno spremembo v razmišljanju in delovanju v podjetjih, saj so korporacije in države končno spoznale, da kibernetska tveganja niso samo IT-tveganja in odgovornost IT-oddelka, ampak pomembna tveganja, ki jih je treba obravnavati na korporativni ravni, kar pomeni, da je za kibernetsko odpornost odgovorno celotno vodstvo podjetja. Direktiva še zahteva, da podjetja vzpostavijo celovite procese za upravljanje kibernetskih tveganj in zagotavljajo neprekinjeno delovanje, na kar se nanaša tudi tveganje zastoja v poslovanju.

Poleg tega direktiva nalaga podjetjem, ki so zavezanci po omenjenem zakonu, da redno izobražujejo svoje zaposlene o kibernetski varnosti in vzpostavijo procese za hitro odzivanje na kibernetske incidente. Človeški dejavnik je še vedno najšibkejši člen pri obvladovanju kibernetskih tveganj.

Kakšna pa je pri tem vloga zavarovalnic?

Zavarovalnice igrajo eno ključnih vlog pri obvladovanju kibernetskih tveganj. Ponujajo različne zavarovalne produkte, ki podjetjem pomagajo pri pokrivanju stroškov, povezanih s kibernetskimi incidenti, in vključujejo kritje stroškov za obnovo podatkov in infrastrukture, odgovornost do svojih strank, pravne stroške, izsiljevalske odkupnine in izgubo dohodka zaradi prekinitve poslovanja. Poleg tega zavarovalnice ponujajo asistenco pri obvladovanju kibernetskih incidentov, kar vključuje strokovno pomoč pri komunikaciji z javnostjo, pravno ter regulatorno svetovanje in tehnično podporo pri odpravljanju posledic napada.

Zavarovalnica Triglav ima v sodelovanju z dvema bankama že vzpostavljena zavarovanja za povrnitev škode, če je posameznik žrtev socialnega inženiringa, spletne prevare, ko na primer oseba opravi nakup v spletni trgovini, pravi Peter Filip Jakopič. Foto Jože Suhadolnik

Pomembno je, da podjetja izberejo ustrezne zavarovalne produkte, ki so prilagojeni njihovim specifičnim potrebam in tveganjem. Pri tem je ključnega pomena, da redno pregledujejo in posodabljajo svoje varnostne politike ter sodelujejo z zavarovalnicami in drugimi specializiranimi podjetji pri izobraževanju svojih zaposlenih o kibernetski varnosti. Človek je, kot rečeno, še vedno najšibkejši člen, kar pomeni, da ima lahko podjetje vrhunsko tehnologijo in vzpostavi vrhunske procese, ampak če človek ne opravi svoje naloge, vse to nič ne pomaga. Več kot 80 odstotkov kibernetskih vdorov oziroma incidentov je v resnici posledica človeške nepazljivosti ali naivnosti in ne tega, da bi imela strojna ali programska oprema neko hudo napako. Le tako lahko podjetja zagotovijo celovito zaščito pred kibernetskimi grožnjami in zmanjšajo tveganje za finančne izgube ter uničenje ugleda.

Zakon o informacijski varnosti tudi precej širi krog zavezancev oziroma podjetij, ki bodo pod drobnogledom. Kaj to pomeni za zavarovalnice?

Za zavarovalnice to pomeni širši nabor podjetij, ki bodo najbrž še bolj zainteresirana za zavarovanja za kibernetsko tveganje, ki so zadnja faza upravljanja tveganj. Omenjena regulativa med drugim zahteva, da mora vsako podjetje poskrbeti za to odpornost po celotni dobavni verigi, kar pomeni, da te mora zanimati tudi, kdo je tvoj dobavitelj in kdo tvoj kupec ter kako skrbijo za kibernetsko varnost in odpornost. Zavarovanje je eno izmed ustreznih orodij za to.

Večina kibernetskih vdorov, tudi svetovno znanih z največjimi posledicami, se je zgodila prek infrastruktur dobaviteljev, v primeru trgovske verige Target, denimo, prek storitev upravljanja klimatskih naprav. Značilno za najbolj odmevne in primere z najhujšimi posledicami je tudi to, da so hekerji preživeli v sistemu žrtve več let (primer hotelske verige Marriott). Za vsako podjetje je torej pomembno, kdo je dobavitelj opreme, storitev ipd., ali so dobavitelji dobro zaščitili svoje aplikacije, komunikacije, prenos podatkov ipd. Če niso, se lahko kibernetski vdor v podjetje zgodi prek partnerjev, gre naprej do kupcev storitev in tako dalje … Tako ni več pomembna samo kibernetska odpornost nekega podjetja, ampak odpornost vseh v poslovnem procesu pred in za njim, v končni fazi tudi njegovih kupcev, saj ima vsako podjetje komunikacijo in druge odnose s svojimi kupci in lahko tudi prek njih pride do vdora.

Dejstvo je, da zlonamerni hekerji skoraj nikoli ne pridejo do žrtev skozi glavna vrata, ampak vedno skozi stranska. Primer Target je tako pokazal, kako heker lahko pride v podjetje, primer Marriott pa, kako lahko v njem živi več let, ne da bi ga kdo sploh opazil.

Kakšne možnosti zaščite pa so v primerih socialnega inženiringa, torej pred manipulativno tehniko, s katero napadalci prevarajo ljudi, da jim razkrijejo zaupne podatke, nakažejo denar ali omogočijo dostop do računalniških sistemov?

Na evropski ravni se pripravlja nova plačilna regulativa, ki širi zaščito potrošnikov pred spletnimi goljufijami. Ta nakazuje, da bi banke lahko bile v določenih primerih dolžne povrniti sredstva tudi takrat, ko ne gre za kibernetski vdor, ampak za prevaro oziroma socialni inženiring. Kar je danes pogosto dodatna storitev banke, bi lahko v prihodnje za nekatere vrste goljufij postalo celo regulatorna zahteva.

Zavarovalnica Triglav ima v sodelovanju z dvema bankama že vzpostavljena zavarovanja za povrnitev škode, če je posameznik žrtev socialnega inženiringa, spletne prevare, ko na primer oseba opravi nakup v spletni trgovini, o kateri se kasneje izkaže, da je lažna, ali kaj podobnega. Takšna zavarovanja lahko vključujejo tudi krajo identitete in kibernetska ustrahovanja.

Socialni inženiring sicer ne spada v sfero kibernetskih tveganj, pa čeprav vzpostavijo stik s teboj po digitalnih kanalih, saj gre izključno za človeško naivnost, oseba postane žrtev manipulacije. Na primer v podjetjih preslepijo nekoga, da mora takoj po navodilu direktorja nakazati denar na neki račun. Denarja seveda ne vidijo nikoli več … Pri kibernetskem napadu napadejo »računalnik«, pri socialnem inženiringu pa človeka.

Peter Filip Jakopič: Zavarovalnice igrajo eno ključnih vlog pri obvladovanju kibernetskih tveganj. Ponujajo različne zavarovalne produkte, ki podjetjem pomagajo pri pokrivanju stroškov, povezanih s kibernetskimi incidenti. Foto Jože Suhadolnik

Po ocenah strokovnjakov je incidentov v resnici bistveno več, kot je prijavljenih. Največ škode povzročijo izsiljevalski virusi, ki pa se jih po večini ne prijavi, saj podjetja ne vidijo dodane vrednosti pri deljenju takšne informacije, obenem pa s pretirano publiciteto tudi tvegajo svoj ugled. Z vidika države, družbe pa je vsekakor takšne incidente smiselno prijavljati, saj le tako lahko država izvede posamezne ukrepe za preprečevanje morebitnih nadaljnjih incidentov.

V Sloveniji je ozaveščenost o tem manjša kot na drugih trgih, prav tako pa tudi sama zavarovanost za kibernetska tveganja. Pri nas še vedno prevladujejo standardna premoženjska zavarovanja, medtem ko se v tujini podjetja že dolgo časa, sploh v ZDA in v anglosaškem svetu, najbolj odločajo ravno za kibernetsko zavarovanje in za zavarovanje v primeru zastoja v obratovanju podjetja – na teh trgih so ta zavarovanja že neki standard.

Podjetja in posamezniki pa imajo lahko škode tudi zaradi naravnih nesreč.

Seveda. Zaradi podnebnih sprememb, ki povzročajo ekstremnejše vremenske pojave, imamo pri nas vedno več naravnih nesreč – spomnimo se samo poplav iz leta 2023. Kljub temu je delež zavarovanj za primer poplav pri podjetjih še vedno razmeroma majhen.

Zelo visoko na radarju tveganj so še vedno naravne nesreče, pa čeprav niso nova tveganja. Pač pa so nove njihove obličnost, pogostnost in intenzivnost. Kar smo nekoč imenovali stoletni dogodek, danes srečamo vsakih nekaj let. Dogodki, ki so še nedolgo nazaj veljali za 20-letne, pa se zgodijo skoraj vsako leto. Toča, viharji in druge naravne nesreče žal »ne izbirajo« med fizičnimi osebami, med hišami ali podjetji.

Odgovornost za okoljsko škodo na ravni EU, ki temelji na načelu »onesnaževalec plača«, pa določa direktiva o okoljski odgovornosti (ELD). Kaj vse je prinesla?

Včasih smo bili odgovorni samo za škodo, ki smo jo povzročili sosedu – na primer, če si bil nepreviden pri uporabi fitofarmacevtskih sredstev in je veter neki herbicid zanesel k sosedu, si bil odgovoren in si mu moral povrniti škodo na paradižniku. Direktiva EU iz leta 2004 pa pravi, da je to čisto premalo, saj si obenem odgovoren za škodo, ki jo narediš naravi, ki pa je od nas vseh. To je bil velik premik v konceptu, v razumevanju. Če si nekoč odgovarjal za škodo sosedu, danes odgovarjaš tudi naravi.

Kaj se pri tem razume kot narava? Direktiva določa, da lahko škodo povrneš z izvedbo sanacijskih ukrepov, ki veljajo za vodo, tla, zrak in zemljo; govori o tem, da je treba ohranjati habitate in biodiverzifikacijo. To pa je zavarovalniško in regulatorno zelo težko opredeliti, kajti če nekomu poškoduješ avtomobil, se ve, kaj je škoda in kje boš to popravil. Če pa se izlije 300 litrov strupa v reko, je veliko težje ugotoviti, kaj zdaj pomeni sanacija, kje vse je nastala škoda itd. Tako da je bil to v tem primeru res velik konceptualen premik.

Dogodek, ki se je že pred časom zgodil na Vrhniki, je malo dvignil to zavedanje, vendar še vedno ni na takšni ravni, kot je v tujini.

Kaj bi želeli za konec še posebej poudariti?

Tveganja ne nastajajo v vakuumu. So posledica napredka, globalizacije, tehnoloških prebojev in sprememb v naravi ter družbi. Če poenostavim: naši starši so se bali inflacije, mi smo se naučili živeti z digitalizacijo in kibernetskimi tveganji, naši otroci pa se bodo spoprijemali z izzivi in tveganji, ki jih prinaša umetna inteligenca. Pomembno je, da se zavedamo, da tveganja niso statična in da se nenehno spreminjajo. Zato je ključno, da podjetja in družba kot celota ostanemo prilagodljivi in pripravljeni na nove izzive in tveganja, ki jih prinaša hitro spreminjajoči se svet.