Verzekeraars beheersen informatiebeveiligingsrisico's nog steeds onvoldoende
Uit een DNB-analyse komt naar voren dat 41 procent van de verzekeraars onvoldoende kan aantonen dat hun risk assessments informatiebeveiliging volwassen zijn. Dat is een verslechtering ten opzichte van het voorgaande jaar (35 procent).
De aantoonbare volwassenheid van processen die opvolging geven aan risico-verbeterplannen is licht verbeterd: 41 procent van de verzekeraars geeft aan dat zij de volwassenheid onvoldoende kan aantonen. In het voorafgaande jaar was dat 43 procent.
Uit de analyse komt naar voren dat 37 procent van de verzekeraars een volwassen IT riskmanagement framework onvoldoende kan aantonen. In het voorgaande jaar was dat ook 37 procent.
DNB dringt bij de desbetreffende verzekeraars aan op aantoonbare beheersing van hun informatiebeveiligingsrisico’s.
DNB meent dat de rol bij en expliciete kennis van bestuurders en (interne) toezichthouders voor een gedegen (IT) risk management meer aandacht behoeft. Het gaat daarbij onder meer om het vaststellen van een risk appetite op het gebied van cyberrisico’s en restrisico’s en het voortdurend evalueren en verbeteren van beheersmaatregelen op basis van een actueel dreigingsbeeld.
DNB vraagt verder aandacht voor een snelle reactie door verzekeraars op potentiële beveiligingslekken in hun (uitbestede) IT-infrastructuur en IT-applicaties.
DORA
In 2024 zal DNB extra aandacht besteden aan de operationele (cyber)weerbaarheid van de sector. Daarbij zal DNB onder andere letten op de verankering van de rol en de expliciete kennis van bestuurders en (interne) toezichthouders zoals raad van commissarissen op het gebied van DORA, ICT-security en -governance; het zicht en de grip van verzekeraars op de beheersing van IT- en cyberrisico’s in hun uitbestedingsketens en het verkrijgen van toereikende assurance daarover. Een goed voorbeeld daarbij is het afleggen van verantwoording in de vorm van een jaarlijks IT-verslag / IT assurance rapportage; het betrekken van kritieke en belangrijke uitbestedingsrelaties in business continuity tests.
Reactie toevoegen
Meer over
Verbond: verbieden losgeldbetaling na cyberaanval niet effectief
Het Verbond van Verzekeraars vindt een verbod op het verzekeren van losgeldbetaling in het kader van cyberrisico’s niet effectief, zeker als dat alleen door...
Beheersing cyberrisico's door banken moet beter
De beheersing van cyberrisico’s vraagt op drie gebieden om meer aandacht, aldus DNB. Deze drie gebieden zijn de basis cyberhygiëne-maatregelen, het testen...
Minder meldingen datalekken financiële dienstverlening
In 2022 is het aantal meldingen van datalekken uit de sector financiële dienstverlening gedaald met 29 procent ten opzichte van 2021. Aldus de Datalekkenrapportage...
Financiële ondernemingen moeten verplicht digitale weerbaarheid testen
Testen van digitale weerbaarheid door financiële ondernemingen wordt verplicht. Dat staat in de Implementatiewet digitale operationele weerbaarheid financiële...
Onderzoek naar toekomstbestendigheid Wts
Het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC) start in opdracht van het ministerie van Justitie en Veiligheid (JenV) dit jaar met een onderzoek naar...
Checklist voor beoordelen assurance-verklaring cyberrisico's
Verzekeraars die werk uitbesteden zijn verplicht om het cyberrisico van partners en providers in kaart te brengen en te beheersen. Dat kan door het beoordelen...
(Adfiz in Ken je vak! VVP 06-2022) Om financieel adviseurs te ondersteunen bij het cyberveiliger maken van hun eigen onderneming en ze een weg te wijzen door de...
Ransomware blijft grootste cyberrisico, deep fake rukt op
Ransomware blijft het grootste cyberrisico voor organisaties wereldwijd, aldus het rapport Cyber: The changing threat landscape van Allianz Global Corporate &...
DNB: cyberincident kan uitgroeien tot systeemcrisis
In een woensdag verschenen nieuwe studie onderzoekt DNB onder welke omstandigheden een cyberincident bij een financiële instelling zou kunnen uitgroeien tot...
Losgeld na cyberaanval biedt geen garantie
De Autoriteit Persoonsgegevens ziet dat organisaties die losgeld hebben betaald om hun data na een ransomware-aanval terug te krijgen, slachtoffers vaak niet informeren...