Cyber insurance : case : a qualitative study of Finnish cyber insurance products offering for SMEs
Korpinen, Minna (2023)
Pro gradu -tutkielma
2023
School of Business and Management, Kauppatieteet
Kaikki oikeudet pidätetään.
Julkaisun pysyvä osoite on
https://urn.fi/URN:NBN:fi-fe20231031141981
https://urn.fi/URN:NBN:fi-fe20231031141981
Tiivistelmä
The purpose of this thesis is to discover the range and type of cyber insurance products available for Finnish SMEs; to discover what benefits these products provide for them; and to determine and compare the processes of risk assessment and claim handling related to said products. Research methods involved in the formulation of this thesis were a literature review, a qualitative study that was carried out through market survey and semi-structured interviews with cyber insurance experts from three Finnish insurance companies.
The results of this study suggest that cyber insurance is a useful product to support the cybersecurity of SMEs by transferring the risks of cyber damage from the SME to an insuring body. Although Finnish insurers have defined their individual insurance products’ terms in different ways, the products do share some key similarities, namely almost identical coverage types, resemblance in risk and pricing factors, inclusive cybersecurity services, and the ability to modify the cyber insurance product to a certain extent to meet the needs of the insured SME.
As to the main insights of this study, cyber insurance in Finland is usually sold as a standard package for SMEs. Finnish cyber insurance pricing and risk assessment are based upon the answers given by customers in the provided risk questionnaire. Although cyber insurance is a fairly new insurance product on offer, the lack of historical data does not have a major impact on risk assessment. The future research should focus on developing the cyber insurance risk assessment and modelling tools further due to the dynamic cyber environment and accentuated systematic risk inherent in such an environment. Tämän tutkielman tarkoituksena on selvittää minkälainen tuote PK-yrityksille suunnattu suomalainen kybervakuutus on, mitä hyötyjä se antaa PK-yrityksille ja minkälaisia tuotteeseen liittyvät riskiarvioinnin ja korvauskäsittelyn prosessit ovat. Tutkielman tutkimusmenetelmiksi valittiin kirjallisuuskatsaus sekä laadullinen tutkimus, mikä toteutettiin markkina-analyysilla sekä puolistrukturoiduilla haastatteluilla kolmen suomalaisen vakuutusyhtiön kybervakuutusasiantuntijan kanssa.
Tutkimuksen tulokset osoittavat kybervakuutuksen hyödylliseksi tuotteeksi tukemaan PK-yrityksen kyberturvallisuutta korvaamalla kyberriskeistä aiheutuneita vahinkoja. Vaikka suomalaiset vakuutusyhtiöt ovat määritelleet tuotteensa ehdot eri tavoin, vakuutuksissa huomataan tästä huolimatta samankaltaisuuksia. Näistä mainittavia ovat lähes yhtäläinen vahinkotyyppien korvauskattavuus, suurimmilta osin samanlaiset riski- sekä hintatekijät, mahdollisuus vakuutukseen kuuluviin kyberturvallisuuden lisäpalveluihin sekä mahdollisuus vakuutuksen räätälöimiseen tietyissä tilanteissa.
Tutkimuksessa havaittiin, että kybervakuutus myydään yleensä vakioituna tuotteena PK-yrityksille. Suomalaisen kybervakuutuksen hinnoittelu ja riskiarviointi perustuvat asiakkaan riskikyselyssä antamiin vastauksiin. Vaikka kybervakuutus on melko uusi vakuutustuote, sen historiallisen korvauskäsittelydatan puutteella ei ole suurta vaikutusta riskiarviointiin. Tutkielman tulosten perusteella ehdotetaan seuraavien tutkimusten keskittyvän kyberriskien tunnistamiseen ja näiden mallinnustyökalujen kehittämiseen dynaamisen kyberympäristön ja korostuneen systemaattisen riskin vuoksi.
The results of this study suggest that cyber insurance is a useful product to support the cybersecurity of SMEs by transferring the risks of cyber damage from the SME to an insuring body. Although Finnish insurers have defined their individual insurance products’ terms in different ways, the products do share some key similarities, namely almost identical coverage types, resemblance in risk and pricing factors, inclusive cybersecurity services, and the ability to modify the cyber insurance product to a certain extent to meet the needs of the insured SME.
As to the main insights of this study, cyber insurance in Finland is usually sold as a standard package for SMEs. Finnish cyber insurance pricing and risk assessment are based upon the answers given by customers in the provided risk questionnaire. Although cyber insurance is a fairly new insurance product on offer, the lack of historical data does not have a major impact on risk assessment. The future research should focus on developing the cyber insurance risk assessment and modelling tools further due to the dynamic cyber environment and accentuated systematic risk inherent in such an environment.
Tutkimuksen tulokset osoittavat kybervakuutuksen hyödylliseksi tuotteeksi tukemaan PK-yrityksen kyberturvallisuutta korvaamalla kyberriskeistä aiheutuneita vahinkoja. Vaikka suomalaiset vakuutusyhtiöt ovat määritelleet tuotteensa ehdot eri tavoin, vakuutuksissa huomataan tästä huolimatta samankaltaisuuksia. Näistä mainittavia ovat lähes yhtäläinen vahinkotyyppien korvauskattavuus, suurimmilta osin samanlaiset riski- sekä hintatekijät, mahdollisuus vakuutukseen kuuluviin kyberturvallisuuden lisäpalveluihin sekä mahdollisuus vakuutuksen räätälöimiseen tietyissä tilanteissa.
Tutkimuksessa havaittiin, että kybervakuutus myydään yleensä vakioituna tuotteena PK-yrityksille. Suomalaisen kybervakuutuksen hinnoittelu ja riskiarviointi perustuvat asiakkaan riskikyselyssä antamiin vastauksiin. Vaikka kybervakuutus on melko uusi vakuutustuote, sen historiallisen korvauskäsittelydatan puutteella ei ole suurta vaikutusta riskiarviointiin. Tutkielman tulosten perusteella ehdotetaan seuraavien tutkimusten keskittyvän kyberriskien tunnistamiseen ja näiden mallinnustyökalujen kehittämiseen dynaamisen kyberympäristön ja korostuneen systemaattisen riskin vuoksi.