Kybervakuuttaminen osana kriittisen infrastruktuurin suojaamista

Abstract

Kyberriskit ovat nousseet keskeiseksi osaksi vallitsevaa riskikenttää ja ne uhkaavat myös yhteiskunnan perustoimintoja ylläpitäviä kriittisen infrastruktuurin toimijoita. Yhteiskunnan toiminnan kannalta välttämättömien järjestelmien häiriöt voivat aiheuttaa vaikutuksia, jotka ulottuvat yksittäisiä organisaatioita laajemmalle koko yhteiskuntaan ja väestön jokapäiväiseen elämään. Samalla kyberriskien vakuuttaminen on noussut ajankohtaiseksi ilmiöksi. Suojalle kasvavia riskejä vastaan on selkeä tarve ja kybervakuutusmarkkina on kasvanut räjähdysmäisesti verrattain lyhyessä ajassa, mutta kyberriskien poikkeukselliset ominaisuudet, kuten vaikea ennustettavuus, laaja-alaiset vahingot ja systeemisen riskin mahdollisuus tekevät etenkin kriittisen infrastruktuurin kybervakuuttamisesta moniulotteisen ilmiön. Tässä tutkielmassa tarkastellaan kybervakuuttamista osana kriittisen infrastruktuurin suojaamista. Tutkielman taustalla vaikuttavat digitalisaation, geopoliittisen epävarmuuden ja kyberrikollisuuden kehittymisen kaltaiset ilmiöt, jotka ovat lisänneet yritysten, myös kriittisen infrastruktuurin toimijoiden altistumista kyberriskeille. Kriittiseen infrastruktuuriin kohdistuvat kyberuhat voivat aiheuttaa laaja-alaisia, korreloituneita ja systeemisiä vahinkoja, jotka haastavat vakuutuskelpoisuuden perinteisiä edellytyksiä. Tutkielman tavoitteena on muodostaa laaja-alainen ymmärrys kriittisen infrastruktuurin kybervakuuttamiseen liittyvistä erityispiirteistä, arvioida kybervakuutuksen merkitystä osana sektorin riskienhallintaa ja suojaamista tulevaisuudessa sekä tarkastella mahdollisia ratkaisuja, joilla vakuutettavuutta voitaisiin parantaa muuttuvassa markkinassa. Tutkielma on luonteeltaan kvalitatiivinen tutkimus. Tutkielman teoriaosuudessa tarkastellaan kyberriskejä, kybervakuutusta, vakuutuskelpoisuutta, kriittistä infrastruktuuria, systeemiriskiä sekä kybersotarajoitusehtoja aiemman tutkimuksen, ammatillisen kirjallisuuden ja julkaisujen sekä oikeudellisten lähteiden pohjalta. Tutkielman empiirinen aineisto on kerätty viidellä asiantuntijahaastattelulla. Haastateltavina oli neljä kybervakuuttamisen asiantuntijaa ja yksi kriittisen infrastruktuurin asiakaspuolen edustaja. Tutkielma kokonaisuudessaan rakentuu johdannosta, kahdesta teorialuvusta, empiirisestä analyysiluvusta sekä johtopäätöksistä. Tutkielman tulokset osoittavat, että kriittisen infrastruktuurin kybervakuuttamista haastaa erityisesti kyberriskien vaikea ennustettavuus, syklinen kybervakuutusmarkkina, vakuuttajien harjoittama riskivalinta, vahinkojen mahdollinen kumuloituminen, toimijoiden keskinäisriippuvuudet portfoliotasolla, systeemiriskin mahdollisuus sekä valtiollisiin toimijoihin liittyvä epävarmuus. Tutkielma kuitenkin osoittaa, että kybervakuutus nähdään myös tulevaisuudessa relevanttina ja arvokkaana osana kriittisen infrastruktuurin suojaamista. Sen merkitys ei rajoitu ainoastaan taloudelliseen turvaamiseen, vaan se kytkeytyy olennaisesti myös riskienhallintaan, ennakointiin, varautumiseen ja vahinkotilanteessa toimimiseen ja siitä toipumiseen. Tutkielman perusteella kriittisen infrastruktuurin kybervakuutettavuutta voidaan tulevaisuudessa parantaa erityisesti kehittämällä riskien laaja-alaisempaa arviointia ja tarkempaa hinnoittelua, vahvistamalla toimijoiden omaa riskienhallintaa ja resilienssiä sekä lisäämällä yhteistyötä vakuutusmarkkinan, julkisen sektorin ja muiden keskeisten toimijoiden välillä. Tutkielma kokonaisuudessaan osoittaa, että kriittisen infrastruktuurin vakuuttaminen kybervakuutustuotteilla on mahdollista ja se nähdään relevanttina, joskin siihen voi liittyä tavanomaista enemmän rajauksia, markkinariippuvuutta ja riippuvuutta vakuuttajien harjoittamasta riskivalinnasta kuin moniin muihin yrityssektoreihin.