Em 2023, o custo médio de um vazamento de dados na indústria de hospitalidade foi de US$ 3,36 milhões, aumento de 14% em relação a 2022, segundo dados da J.S. Held. Embora os hotéis não sejam um alvo tão popular quanto instituições financeiras e hospitais, o setor está cada vez mais na mira dos hackers, aponta o CoStar.
Os hoteleiros precisam se perguntar o que está em risco e o que constitui um risco, diz Jessica Eldridge, vice-presidente sênior e diretora de Cibersgurança da J.S. Held. Além disso, também há necessidade de determinar como os hotéis podem se proteger desses riscos de forma adequada. O principal perigo para qualquer empresa é a perda financeira, que pode ocorrer por meio de interrupções ou danos a equipamentos, além de prejuízos reputacionais.
“É importante entender realmente o que esses conceitos significam, porque isso terá um impacto se você fizer uma reclamação à sua companhia de seguros”, explica Jessica. O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos destaca alguns aspectos que as empresas devem identificar para se proteger contra vazamentos de dados.
O primeiro passo é determinar o que os hotéis desejam proteger, como seus sistemas, ativos, pessoas, dados e capacidades. Garantir a segurança das pessoas, nesse contexto, significa dados mais seguros, tanto para a empresa, quanto para o cliente. O próximo passo é desenvolver e implementar as salvaguardas apropriadas para garantir a prestação de serviços críticos.
A educação e o treinamento dos funcionários são fundamentais para a prevenção, pois os empregados são o maior alvo dos hackers que tentam acessar os sistemas das empresas. O uso de IA (Inteligência Artificial) tornou as tentativas de phishing e engenharia social ainda mais complicadas e difíceis de serem identificadas. Os cibercriminosos podem usar IA para imitar a voz de executivos de alto escalão e tentar obter dados.
Lidando com resgates
Uma das principais causas de atraso em uma reclamação de seguro é a falta de um plano de resposta a incidentes, segundo Jessica. Esses planos precisam ter os protocolos adequados não apenas do lado técnico, mas também com as pessoas certas.
Vazamentos de dados podem interromper os negócios, levando à perda de receita e lucros nos hotéis, e muitas vezes esses são os últimos aspectos a serem resolvidos nas reclamações de seguro. As pessoas se concentram em restabelecer os sistemas, mas o diretor financeiro também precisa estar envolvido para ajudar a mitigar as perdas.
Se o hacker estiver exigindo um resgate, a empresa precisa tomar várias decisões, incluindo se deve ou não pagá-lo. Isso não é um processo simples, e a companhia deve garantir que não está pagando a alguém que esteja em uma lista de sanções ou de terroristas, o que levaria a penalidades legais.
Pagar um resgate não garante que o hacker restaurará completamente o acesso. “Você não quer depender de um criminoso para ser honesto e fornecer as informações necessárias para recuperar os dados”, diz Jessica. “É muito importante garantir que você tenha backups atualizados, porque, muitas vezes, os criminosos cibernéticos não fornecem todas as informações necessárias, mesmo depois de dar a chave de criptografia”, completa.
O processo de reivindicação
Ter seguro para vazamentos de dados não significa que a receita ou o lucro líquido dos hotéis serão simplesmente reembolsados. É um processo complicado e detalhado. Ao fazer uma reclamação de seguro, o empreendimento precisará de dados específicos para substanciar suas perdas, uma vez que a falta de informações atrasará a reclamação. Existem profissionais e até algumas companhias de seguros que podem ajudar a preparar um plano de resposta.
Trabalhar com consultores de cobertura pode ajudar na redação da apólice de seguro para garantir uma cobertura adequada. “É realmente importante entender o que está coberto”, ressalta Jessica. “O que você acha que está coberto por uma apólice de cibersegurança pode não ser o que está realmente coberto.”
Muitas vezes, uma empresa buscará cobertura para a perda de receita relacionada ao vazamento de dados. Se uma companhia paga um resgate de US$ 4,5 milhões para recuperar o acesso, mas sua cobertura é de US$ 5 milhões, ela pode receber apenas US$ 500 mil.
Quanto às relações públicas, há uma área nas apólices de seguro que aborda danos reputacionais. Isso está bem definido nas apólices, então pode não ser suficiente para uma reclamação se a notícia do vazamento estiver apenas nas redes sociais.
As apólices de seguro têm períodos específicos para reivindicações de interrupção de negócios. Normalmente são 120 ou 180 dias, o que afeta como as empresas são reembolsadas. As apólices geralmente especificam quando os sistemas das companhias estão fora do ar e terminam quando são restaurados, mas pode haver provisões para um período de espera sem reembolso.
As seguradoras irão querer saber os detalhes financeiros para determinar o reembolso, incluindo registros financeiros de um ou dois anos, como registros de vendas e de folha de pagamento. Ao calcular as perdas de uma empresa, a seguradora considerará múltiplos fatores, como sazonalidade e orçamentos versus reais. Eles também levarão em conta as despesas economizadas, ou seja, verificarão se a interrupção resultou em despesas mais baixas, como as decorrentes de demissões.
“A seguradora não vai simplesmente pagar pela sua receita perdida. Elas vão querer ver quais foram as mudanças na sua estrutura de despesas”, finaliza Jessica.
(*) Crédito da foto: rupixen/Pixabay
