A apólice de seguro para um ativo de capital IPv4 sequestrado

Resumo

O seguro cibernético pode cobrir certas perdas causadas por um desvio de roteamento, especialmente os custos de investigação, os custos adicionais e o lucro cessante, mas apenas se o evento corresponder às definições da apólice relativas ao sistema de computador, à falha de segurança, à interrupção e à perda coberta. A palavra 'cyber' nas condições especiais não cobre qualquer falha envolvendo a Internet.
Um evento de roteamento, um erro de registro e uma disputa sobre direitos de recursos numéricos são riscos distintos. O primeiro modifica a acessibilidade propagada; o segundo modifica ou desativa o registro autoritativo e os serviços associados; o terceiro contesta o direito entre as partes. Eles requerem respectivamente evidências BGP, evidências de registro e evidências transacionais ou jurídicas.
As cláusulas padrão revelam uma lacuna de cobertura. As cláusulas de lucro cessante frequentemente exigem a indisponibilidade de um sistema de computador segurado ou coberto, causada diretamente por eventos listados e com duração superior a um período de carência. Um sistema de roteamento global ou um serviço RIR pode não se enquadrar facilmente no sistema próprio do segurado ou na definição de um fornecedor nomeado.
Restaurar o valor de mercado de um bloco IPv4 não é o mesmo que restaurar dados. Algumas apólices padrão excluem expressamente o valor econômico ou de mercado dos dados dos custos de recuperação. Um roteamento limpo e um registro de alocação corrigido podem restabelecer as operações, deixando um desconto permanente, uma fatura jurídica ou uma venda perdida fora da cobertura cibernética comum.
O seguro de recursos numéricos deve, portanto, ser modular: um anexo para interrupção de roteamento, um anexo para integridade de registro ou serviço dependente e, se o mercado desejar, uma cobertura de defesa de direitos ou de valor acordado contratada separadamente. Reuni-los sob um termo vago de 'desvio de IP' convida a litígios sobre causa e reparação.
As reclamações devem preservar evidências sincronizadas antes da convergência da rede: observações dos coletores de rotas, estado dos ROAs, logs de roteadores e provedores upstream, tickets de registro, histórico de conta autenticado, alterações RDAP, contratos, sucessão empresarial, registros de fluxo de caixa e um cálculo de perda contrafactual. Nenhuma captura de tela única prova tanto o desvio quanto a propriedade.
A abordagem da Sociedade dos Recursos Numéricos pode tornar o risco segurável ao fornecer um inventário definido, um padrão de controle e um protocolo de evidência. Ela não pode garantir cobertura, criar um título de propriedade ou fornecer uma frequência de perda global. Uma melhor governança reduz a incerteza; são a redação da apólice, as condições especiais, os anexos e a lei aplicável que decidem a reclamação.

A questão não é se os endereços foram roubados

A linguagem do roubo é irresistível. O tráfego destinado a um bloco de endereços parece ser redirecionado para uma rede não autorizada. Os clientes não conseguem acessar o serviço legítimo. O monitoramento classifica o evento como sequestro. Os executivos perguntam se um ativo de capital foi roubado e se a seguradora cibernética pagará.

A primeira resposta é que o evento pode ser grave sem ser uma transferência da posição de registro subjacente. O BGP distribui anúncios sobre como alcançar os prefixos. Uma origem falsa ou errada pode atrair algumas rotas, enquanto o registro RIR permanece inalterado e o detentor legítimo mantém o controle da conta. Quando o anúncio falso é retirado e os filtros convergem, o tráfego pode retornar sem uma transferência de registro.

A segunda resposta é que um comprometimento de registro pode ser grave sem se parecer com um desvio de roteamento clássico. Um invasor pode modificar os contatos, obter acesso à conta, alterar uma autorização de origem de rota ou iniciar um processo de transferência não autorizado. Os roteadores do detentor podem continuar anunciando normalmente por algum tempo. O evento decisivo ocorre na camada de autoridade e serviço, e não no primeiro caminho observado.

A terceira resposta é que uma disputa de direitos pode não envolver nenhuma intrusão informática. Um vendedor e um comprador podem discordar sobre o fechamento; afiliados podem contestar qual empresa controla um bloco histórico; um credor pode fazer valer uma garantia; um registro pode colocar um pedido em espera porque o status é contestado. A rede pode permanecer acessível enquanto o ativo econômico se torna ilíquido.

O seguro responde a causas definidas e perdas definidas, não à força emocional de 'roubado'. Uma apólice pode cobrir a receita perdida quando um sistema coberto está indisponível após uma falha de segurança. Ela pode cobrir os custos de resposta a incidentes. Pode excluir responsabilidade contratual, disputas de propriedade intelectual, danos materiais ou valor de mercado dos dados. Pode exigir um fornecedor dependente nomeado. Pode aplicar um período de carência mais longo do que a fase mais visível de um evento de roteamento.

A questão produtiva é, portanto: qual superfície de controle falhou, qual evento causou a falha, qual interesse segurado foi prejudicado, que perda mensurável se seguiu e qual cláusula de seguro e exclusão a rege? A menos que a apólice seja redigida em torno dessas questões, o detentor só descobre sua cobertura real durante uma reclamação contestada.

Três riscos se escondem atrás de um título alarmante

Uma seguradora deveria começar dividindo o cenário em três categorias de riscos.

O risco de integridade de roteamentoé o risco de que informações de roteamento não autorizadas, acidentais ou contrárias às políticas alterem a forma como outras redes alcançam o prefixo segurado. O mecanismo pode ser uma origem falsa, um anúncio mais específico, um vazamento de rota ou outra manipulação. O dano imediato é o desvio de tráfego, a negação de serviço, o risco de interceptação, a latência, a instabilidade ou a degradação. As evidências são encontradas nas atualizações BGP, nos coletores de rotas, nos roteadores, nos registros dos provedores upstream e no estado da segurança de roteamento.

O risco de integridade de registroé o risco de que a posição administrativa autoritativa ou os serviços associados a um recurso numérico sejam modificados, desativados ou tornados inacessíveis sem a devida autorização, ou modificados incorretamente por uma instituição autorizada. O mecanismo pode ser um comprometimento de conta, documentação fraudulenta, erro humano, um processo de autenticação falho, uma transferência errônea, uma associação de organização incorreta ou uma interrupção da administração de RPKI e do DNS reverso. As evidências são encontradas nos logs de conta autenticados, tickets, documentos assinados, registros de registro, timestamps de serviço e histórico de identificadores.

O risco de direitos e transaçãoé o risco de que partes contestem quem pode usar, controlar, penhorar ou transferir a posição reconhecida. O mecanismo pode ser documentos de aquisição defeituosos, sucessão empresarial, quebra de contrato, insolvência, garantias concorrentes, sanções ou um histórico patrimonial não resolvido. As evidências são encontradas em contratos, faturas, autorizações do conselho, documentos corporativos, ordens judiciais, acordos de registro e no processo de transferência. Um log de rede pode mostrar o uso, mas não pode resolver todos os direitos legais.

Os três podem interagir. Um invasor pode comprometer uma conta de registro, criar ou remover uma autorização de roteamento e então anunciar o prefixo. Um vendedor pode continuar roteando após uma venda contestada. Um detentor pode classificar um vazamento upstream acidental como desvio enquanto uma seguradora verifica se um sistema segurado sofreu uma falha de segurança. A interação não apaga a distinção.

É útil adicionar uma quarta categoria:o risco de reputação e dependência. Um desvio pode levar à atribuição de spam, fraudes ou tráfego abusivo aos endereços. Mesmo após a correção do roteamento, as listas de bloqueio, os sistemas de fraude, a geolocalização e as listas brancas dos clientes podem permanecer incorretos. O detentor mantém o bloco, mas perde parte de sua aceitação produtiva. Essa é muitas vezes a cauda longa do evento, e pode não corresponder ao período de restauração da apólice.

Cada risco tem um remédio diferente. Incidentes de roteamento exigem a retirada, filtragem, autorização correta e propagação. Incidentes de registro exigem o confinamento da conta, correção autenticada e restauração do serviço. Disputas de direitos exigem um acordo, uma decisão judicial ou uma transferência reconhecida. Danos à reputação exigem remediação por terceiros. Pagar por um remédio não pode ser presumido como cura para os outros.

Um desvio de rota é um evento de disponibilidade com consequências de segurança

A publicação especial NIST 1800-14 define um desvio de prefixo de rota como um sistema autônomo que emite acidentalmente ou maliciosamente uma atualização BGP para um prefixo que não está autorizado a emitir. O NIST identifica consequências incluindo negação de serviço, desvios de tráfego indesejados, erros de entrega e degradação significativa de desempenho. É um ponto de partida sólido para seguros, pois descreve um evento e um dano sem afirmar que o título de registro mudou.

O BGP é distribuído. O detentor não possui nem opera cada roteador que recebe um anúncio. Cada rede aplica sua própria seleção de caminho e política. Uma rota não autorizada mais específica pode atrair tráfego de muitos lugares; uma origem falsa de igual comprimento pode afetar um conjunto diferente. A filtragem e a validação de origem de rota não são uniformes. O evento pode, portanto, ser parcial e geograficamente irregular.

A parcialidade complica o lucro cessante. Um site pode permanecer disponível para o local de monitoramento do segurado enquanto os clientes por trás das redes afetadas falham. Uma API pode aceitar algumas chamadas e bloquear outras. Um serviço de pagamento pode continuar com capacidade reduzida. Uma apólice que exija indisponibilidade 'total' pode produzir um argumento diferente daquela que cobre interrupção parcial, lentidão ou degradação.

A duração também é escorregadia. A rota hostil pode ser visível por vinte minutos, enquanto os caches, as sessões, o DNS, os controles de fraude e a confiança dos clientes demoram mais para normalizar. Um período de carência pode eliminar o curto evento de roteamento, mesmo que os custos de resposta e as perdas downstream continuem. Inversamente, uma apólice que inicia o período de indenização na descoberta pode precisar de um método claro para perdas que começaram antes de o detentor ver a anomalia.

A causalidade de segurança não é automática. Uma origem não autorizada pode resultar de uma ação maliciosa, de uma má configuração acidental, de uma autorização de cliente expirada ou de uma relação comercial contestada. Uma apólice limitada a atos maliciosos pode tratá-los de forma diferente. Uma extensão mais ampla para falha de sistema ou erro humano pode ajudar, mas apenas se o sistema e o ator relevantes corresponderem à sua definição.

O RPKI melhora as evidências e a defesa, mas não torna a rota autoexecutável. Uma ROA expressa qual AS de origem está autorizado para os prefixos cobertos de acordo com a RFC 9582. As redes que usam a validação de origem de rota podem classificar os anúncios conflitantes, mas a política de roteamento local determina o efeito. Uma ROA válida é uma evidência da autorização de origem; não é uma evidência de lucro cessante, identidade do invasor, perda de valor de mercado ou propriedade legal.

Para seguros, um desvio de rota deve ser redigido como um risco mensurável de integridade e disponibilidade. Tratá-lo como um roubo do próprio número cria um ônus de prova que as evidências de roteamento não podem satisfazer.

A apólice cibernética comum começa pelo sistema segurado

As apólices padrão públicas não nos dizem o que cada comprador comprou. Elas mostram o problema de redação.

A redação atual da Cyber Select da Allianz UK fornece cobertura de lucro cessante para perdas resultantes diretamente da indisponibilidade total ou parcial do sistema de computador da empresa, causada por um evento definido e excedendo um período de carência. Seu evento base para lucro cessante é um ciberataque nos sistemas sob controle operacional direto do segurado; extensões tratam de erro humano e falha técnica nesses sistemas.

O espécime Cyber Enterprise Risk Management Versão 2.2 da Chubb Austrália define um incidente de lucro cessante como a incapacidade de acessar, perturbação ou mau funcionamento de um sistema de computador coberto ou compartilhado causado diretamente por eventos listados, incluindo atos maliciosos, uso não autorizado, erro humano, falha de segurança de rede e erro de programação. Sua definição de sistema coberto inclui sistemas de propriedade, alugados ou operados pelo segurado e sistemas operados exclusivamente em seu benefício por um fornecedor contratual.

A redação Cyber Protection da RSA também vincula o lucro cessante cibernético à indisponibilidade do sistema de computador do segurado e oferece interrupção contingente para fornecedores nomeados ou não nomeados quando contratada. Ela calcula a perda pela margem bruta, receita bruta e custos adicionais razoáveis, sujeitos ao período de carência e às condições especiais.

Esses exemplos contêm cobertura útil. Eles também mostram por que um detentor de IPv4 não deve confiar em implicações. Um anúncio não autorizado por um sistema autônomo estrangeiro é um evento 'dentro' do sistema de computador do segurado? O sistema de roteamento interdomínio global é um sistema de computador compartilhado? Um RIR opera um sistema exclusivamente em benefício do detentor, ou para uma comunidade regional? Um provedor upstream é um fornecedor nomeado? A degradação é suficiente, ou o sistema segurado deve estar indisponível?

As respostas dependem da redação e dos fatos. Os roteadores de borda próprios do detentor podem permanecer saudáveis enquanto o tráfego de entrada é desviado para outro lugar. O aplicativo segurado pode estar pronto, mas inacessível a partir das redes afetadas. Se o gatilho se concentrar no comprometimento do hardware de propriedade, a localização física da causa se torna litigiosa. Se ele se concentrar na perda de acessibilidade aos prefixos estipulados causada por uma propagação de rota não autorizada, a apólice pode tratar do risco real.

Um anexo deve preencher essa distância semântica antes da subscrição, e não pedir a um perito de sinistros que reinterpreta 'sistema de computador' após uma falha.

Os serviços de registro não se encaixam perfeitamente nas categorias de fornecedores

Um RIR fornece serviços de registro e relacionados em um quadro contratual e político. Não é simplesmente um provedor de nuvem contratado para operar a aplicação de um cliente.

O contrato de serviços de registro da ARIN descreve serviços que incluem entradas de registro, serviço de nome reverso, RPKI, manutenção de registros e administração do espaço de endereçamento. Sua relação com o detentor é diretamente relevante para o controle desses serviços. A política de transferência da APNIC torna a posição atual do detentor registrado e a ausência de disputa de status de recurso condições para transferência. Esses documentos primários ilustram a autoridade institucional; eles não fazem dos registros garantidores de qualquer resultado de roteamento ou comercial.

Para o seguro cibernético, a questão de classificação é difícil. Uma cláusula de interrupção contingente pode cobrir uma falha do sistema de computador de um fornecedor nomeado. Um erro de registro pode não envolver nenhuma falha do sistema do registro. O sistema pode funcionar exatamente como esperado enquanto um registro é modificado com base em evidências fraudulentas ou atribuído à conta errada. O resultado prejudicial é uma autoridade incorreta, não uma indisponibilidade de servidor.

O comprometimento de conta apresenta outra fronteira. Se as credenciais do segurado forem phishing e usadas em um portal RIR, a falha de segurança pode começar em um sistema de e-mail ou conta de identidade segurada. Se um invasor comprometer o registro diretamente, o evento ocorre no fornecedor. Se um membro da equipe processa uma instrução autêntica, mas errônea, o evento pode ser um erro humano sem acesso não autorizado. O mesmo registro visível pode resultar de diferentes causas seguradas.

O efeito também difere de uma indisponibilidade comum de fornecedor. Uma falha de portal de duas horas pode não causar perda se nenhuma alteração for necessária. Uma transferência não autorizada de dois minutos pode criar meses de remediação. Medir apenas a disponibilidade do serviço perde a integridade.

Um anexo de registro deve, portanto, definir um 'evento de integridade de registro' em termos funcionais: criação, exclusão, modificação, transferência, suspensão ou negação de acesso não autorizado ou errôneo afetando um registro de recurso numérico estipulado ou uma autorização relacionada, por ou através de um RIR, NIR ou serviço de registro aprovado estipulado. Deve especificar se atos maliciosos, erro do segurado, erro do fornecedor e documentos fraudulentos são cobertos.

O anexo deve preservar os limites institucionais. O seguro não pode ordenar que um RIR reconheça um requerente, contorne a política ou emita uma ROA. Pode pagar os custos de resposta cobertos, o lucro cessante e talvez as despesas de remediação acordadas enquanto o processo apropriado segue seu curso. O registro continua sendo a fonte de evidência e o tomador de decisão em seu campo de competência; a seguradora continua sendo a pagadora apenas dentro do contrato.

Uma disputa de direitos está mais próxima do risco de título do que da segurança de rede

Suponha que uma empresa compre um /16, pague o vendedor e o anuncie com sucesso. Mais tarde, um ex-afiliado alega que o vendedor não tinha autoridade. O registro congela um pedido de transferência. Nenhum identificador foi roubado, nenhum sistema falhou e nenhuma rota estava não autorizada de acordo com o acordo operacional. No entanto, o comprador não pode vender ou financiar o bloco como planejado.

Não é o mesmo risco que um desvio. A perda pode decorrer de garantias, autoridade corporativa, quebra de contrato, prioridade de credor ou decisão judicial. A criminalística cibernética pode contribuir pouco. A prova decisiva é transacional.

A redação cibernética comum pode excluir ou limitar precisamente essas disputas. O espécime da Allianz contém uma exclusão de responsabilidade contratual sujeita a exceções declaradas e uma exclusão relativa a disputas de propriedade intelectual e licenciamento, enquanto sua definição de lucro cessante exclui certas perdas devido à suspensão ou cancelamento de contratos e licenças. O espécime da Chubb exclui certas disputas de propriedade intelectual e estipula que os custos de recuperação de dados não incluem o valor econômico ou de mercado dos dados.

Essas cláusulas não resolvem uma hipotética reclamação IPv4; elas demonstram por que um 'ativo intangível' não é automaticamente um 'bem cibernético coberto'.

Os recursos numéricos também resistem às hipóteses familiares do seguro de título. Os acordos RIR e as políticas regionais definem os direitos de registro e serviço em uma linguagem diferente. O acordo atual da ARIN identifica um conjunto de direitos especificados em seu banco de dados e de acordo com a política. A APNIC diz que o cedente não tem mais direitos sobre os recursos transferidos após a conclusão e que o destinatário se torna o detentor registrado. Um tribunal ou contrato pode tratar de interesses fora da relação de registro, mas a seguradora deve saber qual interesse está segurando.

Se o mercado quiser uma cobertura de direitos, ela deve ser contratada separadamente. A proposta poderia cobrir os custos de defesa para uma contestação desconhecida de terceiros, a perda causada por uma decisão desfavorável final, ou a falha de representações de transferência especificadas. Exigiria uma declaração dos prefixos exatos, diligência sobre a cadeia de controle, acordos nomeados, exclusão de disputas conhecidas, base de avaliação, escolha de lei, obrigações de cooperação e direitos de sub-rogação contra vendedores ou consultores.

Esse produto se pareceria mais com seguro de título especializado, garantias de representação ou seguro de risco transacional do que com o lucro cessante de rede comum. Isso poderia ser valioso. Chamá-lo de cobertura cibernética sem condições distintas obscureceria tanto as expectativas de subscrição quanto dos seguradores.

O risco de direitos também tem um problema de risco moral. O seguro não deve recompensar um comprador por ignorar um defeito evidente na cadeia ou um vendedor por transferir enquanto um requerente conhecido se opõe. Uma diligência detalhada não é uma burocracia adicionada pelas seguradoras; é a prova que torna um interesse intangível incerto segurável.

O lucro cessante protege o fluxo de caixa, não o ativo abstrato

O caso de cobertura comum mais forte após um desvio de rota muitas vezes não é o valor de mercado do bloco. É a perda de receita e as despesas adicionais incorridas enquanto a empresa não pode usá-lo.

As apólices padrão geralmente definem a medida financeira. A redação australiana da Chubb calcula o lucro cessante comparando o lucro líquido esperado e real antes dos impostos, sujeito a período de carência e disposições de ajuste. A redação da RSA usa a margem bruta, a receita bruta e os custos adicionais razoáveis de trabalho. A Allianz usa o resultado operacional líquido projetado e real com as tendências e desenvolvimentos comerciais relevantes. As condições especiais, franquia, limite e período de indenização permanecem decisivos.

Uma reclamação IPv4 requer um contrafactual ligado aos serviços afetados. O segurado deve identificar quais clientes, regiões, aplicativos ou transações estavam inacessíveis; quando o efeito começou; quando terminou; qual receita provavelmente teria ocorrido; quais custos foram economizados; e quais despesas adicionais reduziram a perda. Uma queda na receita total da empresa durante a janela do incidente não é automaticamente atribuível à rota.

Os dados de roteamento e os dados financeiros funcionam em relógios diferentes. Os coletores BGP podem mostrar quando observadores selecionados receberam um anúncio não autorizado. Os logs de aplicativo podem mostrar falhas de consulta. Os registros de suporte ao cliente podem mostrar os usuários afetados. Os dados de faturamento e transação podem mostrar o impacto econômico. A reclamação deve alinhá-los em vez de escolher o intervalo mais longo de cada um.

A interrupção parcial exige um denominador defensável. Se 30 dos 200 locais de monitoramento falharam, isso não prova que 15% da receita foi perdida. Os locais podem não representar o tráfego do cliente. Se uma região de pagamento falhou, o efeito na receita depende da demanda real. Nenhuma taxa de conversão geral pode ser sustentada pelas evidências públicas disponíveis.

As despesas adicionais podem ser mais comprováveis: trânsito de emergência, suporte DDoS ou de roteamento, resposta a incidentes, infraestrutura temporária, comunicação com clientes, contabilidade forense, horas extras quando cobertas e remediação acelerada. Um consentimento prévio e fornecedores aprovados podem ser exigidos. O detentor deve conhecer essas condições antes de autorizar uma resposta cara.

O período de restauração também precisa de uma definição IPv4. A restauração é alcançada quando a rota falsa desaparece, quando a acessibilidade esperada retorna, quando o estado RPKI está correto, quando o registro de registro é restaurado ou quando os sistemas de reputação dependentes se normalizam? Uma apólice pode escolher. O silêncio produz um argumento.

O lucro cessante é, portanto, uma ponte de caixa através de um evento coberto. Não é uma apólice de avaliação para o ativo de capital permanente.

A restauração de dados não é a restauração de recursos numéricos

As apólices cibernéticas geralmente pagam para recuperar ou reconstruir dados e restaurar sistemas. Um detentor de IPv4 pode razoavelmente pensar que a correção de um registro RIR ou de um objeto de roteamento é uma restauração de dados. A analogia tem limites.

Um registro de registro é uma informação eletrônica, mas sua autoridade decorre da instituição que o mantém. O segurado não pode restaurar um backup local e assim desfazer uma transferência oficial. Uma ROA é um objeto assinado em uma hierarquia de certificação; copiar o arquivo de ontem não recria a autoridade atual. A acessibilidade BGP emerge da aceitação por outras redes. Esses são estados governados, não simplesmente arquivos perdidos.

O espécime da Chubb é particularmente instrutivo. Ele cobre os custos razoáveis para recuperar ou reconstruir dados danificados, comprometidos ou perdidos e para reparar ou restaurar software, sujeito a definições e limites. Ele também estipula que os custos de recuperação de dados e sistemas não incluem o valor econômico ou de mercado dos dados. Mesmo que um registro de recurso numérico fosse tratado como dados para uma cláusula, isso não faria necessariamente do valor de mercado do bloco um custo de restauração.

A restauração deve ser separada em quatro tarefas.A restauração técnicatraz de volta o roteamento e o serviço esperados.A restauração de autoridadetraz de volta o controle autenticado do registro e RPKI.A restauração de informaçãocorrige registros, configurações e documentação.A restauração econômicalida com a perda de fluxo de caixa, valor de venda, valor de financiamento ou reputação. Uma apólice pode cobrir uma, várias ou nenhuma.

A melhoria cria outra fronteira. Após um desvio, o detentor pode querer nova automação RPKI, trânsito diversificado, monitoramento e controles de conta. Algumas redações cobrem estreitamente a melhoria definida quando consentida ou mais barata que a restauração ao estado anterior; outras apenas retornam ao estado anterior. O custo de atingir um padrão de segurança que o detentor já deveria cumprir pode ser excluído ou limitado.

A solução prática é uma definição dos custos de restauração de recursos numéricos. Pode incluir os custos razoáveis para autenticar e corrigir registros de registro estipulados, recriar ROAs e objetos de roteamento válidos, coordenar a retirada e filtragem, restaurar o DNS reverso e remediar a reputação do endereço, sujeito a consentimento e limites. Deve indicar se as taxas de registro, petições legais e custos de corretagem especializada estão incluídos.

A definição não deve prometer silenciosamente comprar um bloco substituto. O valor de reposição é uma exposição diferente que requer uma avaliação acordada e um gatilho que estabelece a perda permanente do interesse estipulado.

As evidências determinam qual apólice responde

Uma seguradora investigando um evento de recurso numérico deve ser capaz de construir uma matriz de evidências alinhada no tempo.

Para integridade de roteamento, preserve o prefixo exato, a origem autorizada, a origem não autorizada observada, os comprimentos de anúncio, os caminhos AS, os coletores e pontos de observação, as primeiras e últimas observações, as sessões upstream, as mudanças de filtro e o estado de validação ROA. Os logs de roteador, as saídas de looking-glass e os dados do coletor de rotas devem ser carimbados em UTC. Um coletor de rotas público é uma evidência independente da observação entre seus pares, não um mapa completo de cada rede.

Para integridade de registro, preserve os identificadores de organização e recurso, a lista de usuários autenticados, os eventos multifator, o histórico de auditoria do portal, os tickets, os registros de chamadas, os documentos submetidos, os instantâneos RDAP ou de diretório, as mudanças RPKI, as mudanças de DNS reverso e o status da transferência. Se o registro fornecer um registro formal de incidente ou correção, mantenha-o. Os registros públicos podem mostrar o resultado, mas não quem autenticou a solicitação.

Para direitos, preserve os acordos de aquisição, as declarações dos CIDRs exatos, as faturas e pagamentos, as aprovações do conselho, as representações do vendedor, a sucessão empresarial, os documentos de fusão, os acordos de registro, as transferências anteriores, os privilégios, a correspondência com os requerentes e as ordens judiciais. Uma carta de autorização pode apoiar o roteamento, mas pode não estabelecer direitos de registro transferíveis.

Para lucro cessante, preserve a disponibilidade dos aplicativos, os tickets de cliente, as tentativas de transação, os cancelamentos, os créditos de serviço, as despesas economizadas, as despesas de mitigação e os comparadores históricos. O cálculo deve indicar a linha de base não afetada e as tendências. Deve distinguir a interrupção durante o período de carência da perda após ele.

Para reputação, preserve as entradas de lista de bloqueio, as solicitações de remoção de lista, as mudanças na pontuação de fraude, o e-mail ou tráfego de API rejeitado, os avisos de clientes e os cronogramas de remediação. Evite atribuir cada perda de cliente pós-evento ao desvio sem nexo de causalidade.

O segurado deve notificar a seguradora rapidamente e obter seu consentimento quando exigido, preservando a capacidade de agir com urgência para proteger o serviço. A apólice pode pré-autorizar um painel de especialistas em roteamento, RIRs, jurídicos e forenses. Um painel de resposta a ransomware que carece de expertise em roteamento interdomínio pode perder as primeiras horas perguntando se um roteador foi criptografado.

As evidências também protegem o segurado do erro de categoria. Se os dados de rota não mostrarem nenhuma origem não autorizada, mas o histórico do registro mostrar uma ROA removida, a reclamação não é um desvio clássico. Se ambos estiverem inalterados e um afiliado do vendedor enviar uma notificação extrajudicial, o caso se enquadra no módulo de direitos. Uma classificação correta acelera tanto a análise do remédio quanto da cobertura.

O anexo deve estipular a superfície de controle

Uma apólice útil não precisa segurar toda a Internet. Deve estipular precisamente a dependência do segurado.

As declarações podem listar os prefixos cobertos ou um inventário mantido objetivamente, os ASs de origem cobertos, as contas RIR ou NIR relevantes, os provedores upstream autorizados, os serviços de hardware e os fornecedores dependentes nomeados. As mudanças durante o período podem ser relatadas através de um processo controlado. Carteiras muito grandes podem usar categorias com direitos de auditoria em vez de imprimir milhões de endereços, mas a quantidade segurada deve permanecer reproduzível.

Um evento de integridade de roteamento pode ser definido como uma emissão BGP não autorizada, um anúncio mais específico não autorizado, um vazamento de rota coberto ou uma manipulação maliciosa de caminho afetando um prefixo estipulado e causando uma interrupção ou degradação mensurável. A definição deve tratar separadamente eventos acidentais, maliciosos e disputas comerciais. Não deve rotular qualquer falha de acessibilidade como um desvio.

Um evento de integridade de registro pode cobrir a alteração, exclusão, transferência, suspensão ou negação de acesso não autorizado ou errôneo afetando os serviços de registro ou RPKI estipulados. A apólice deve indicar se o erro do fornecedor e o erro humano do segurado são cobertos e se o RIR deve ser nomeado como serviço dependente. A perda de integridade não deve exigir que todo o sistema do fornecedor esteja offline.

Uma cláusula de despesas de restauração de recursos numéricos pode pagar pela investigação especializada, coordenação de roteamento, correção de registro, remediação RPKI, restauração de DNS reverso, trabalho de reputação e capacidade temporária necessária. As condições especiais podem aplicar limites e fornecedores aprovados.

Uma cláusula de perda por interrupção de rede pode cobrir a perda parcial ou total de acessibilidade, a degradação definida e a perda de receita resultante após um período de carência adaptado a eventos de roteamento. Uma franquia temporal mais curta ou uma retenção monetária pode ser mais apropriada do que um longo período de carência se os incidentes forem breves e caros.

Um módulo separado de defesa de direitos ou valor acordado pode tratar de reclamações adversas desconhecidas, sujeitas a diligência estrita. Não deve ser introduzido sorrateiramente na redação de restauração de dados. Disputas conhecidas, transferências não autorizadas intencionais, sanções e recursos não seguráveis exigem tratamento explícito.

A apólice deve coordenar os módulos. Se um comprometimento de conta causar uma ROA ruim e depois uma rota falsa, um único evento não deve atrair limites ou retenções duplicados, a menos que previsto. Ao mesmo tempo, uma exclusão no módulo de direitos não deve apagar uma interrupção de outra forma coberta simplesmente porque as partes posteriormente contestam a propriedade. A linguagem anticausalidade concorrente, as disposições de eventos relacionados e a prioridade de cobertura exigem redação deliberada.

A precisão não é antissegurado. Ela permite que a seguradora precifique a exposição e o detentor saiba qual recuperação esperar.

A subscrição deve recompensar o controle em vez de apenas o tamanho

Contar endereços é um mau indicador de perda. Um /16 apoiando um serviço resiliente pode apresentar menos risco de interrupção do que um /22 incorporado em uma identidade de pagamento crítica com um único provedor upstream e sem ROA.

A subscrição deve começar pela qualidade do inventário. O requerente pode produzir os prefixos exatos, as entidades registradas, os ASs de origem, os serviços, os contratos e os valores contábeis? As posições próprias e alugadas estão separadas? Os recursos contestados ou históricos estão identificados? Um inventário desconhecido não é diversificação; é uma exposição não medida.

Os controles de roteamento contam. O subscritor pode perguntar sobre a cobertura ROA e a disciplina de comprimento máximo, a filtragem de prefixo upstream, o monitoramento de rota, o trânsito diversificado, os contatos de emergência, a aprovação de mudanças e os procedimentos de retirada testados. O RPKI é valioso, mas não deve ser tratado como uma garantia binária de segurança. O NIST observa que a validação de origem de rota mitiga uma classe de desvios; ela não elimina toda manipulação de caminho ou erro operacional.

Os controles de registro contam separadamente. O subscritor pode avaliar a autenticação multifator, as contas de função, os contatos autorizados de backup, a reconciliação dos registros corporativos, a aprovação de transferências, a recuperação de conta, as mudanças de entidade legal e a verificação periódica. O subscritor deve poder mostrar quem pode criar uma ROA ou solicitar uma transferência e como uma ação destrutiva é revisada.

Os controles de direitos incluem diligência de aquisição, declarações CIDR exatas, autoridade do vendedor, garantias, conclusão do registro, pesquisas de privilégios quando aplicável, sucessão empresarial e tratamento do espaço histórico. Um histórico BGP limpo não compensa uma cadeia de aquisição quebrada.

A continuidade de negócios deve testar a dependência dos endereços. O serviço pode usar prefixos alternativos? Quanto tempo as listas brancas dos clientes levariam para mudar? Uma capacidade temporária está disponível? A empresa tem ajuda pré-estabelecida dos provedores upstream? Um bloco substituto pode ser tecnicamente fácil de anunciar e comercialmente impossível de substituir porque os clientes confiam nos endereços antigos.

O subscritor também deve identificar a concentração. Muitos segurados podem depender do mesmo RIR, provedor de trânsito, plataforma de nuvem, repositório RPKI ou software de validação de rota amplamente utilizado. Um único evento pode produzir sinistros correlacionados. O relatório de 2022 do GAO sobre risco cibernético catastrófico observa que as seguradoras privadas têm exposição limitada a eventos cibernéticos sistêmicos devido a exclusões e outras medidas. O roteamento da Internet é intrinsecamente sistêmico, portanto, a agregação não pode ser ignorada.

Nenhum desses controles fornece uma probabilidade global de perda. Os incidentes BGP públicos, os relatos de fraude e os logs de transferência têm denominadores e vieses de relato diferentes. A subscrição deve precificar a incerteza honestamente, em vez de inventar uma frequência a partir apenas dos eventos visíveis.

Os sinistros precisam de uma árvore de causas, não de uma competição de culpa

Durante um incidente, os operadores devem restaurar o serviço antes que os advogados terminem de nomear o risco. A apólice deve apoiar essa prioridade enquanto preserva as evidências.

A primeira reunião de sinistros pode usar uma árvore de causas. Uma rota não autorizada apareceu? Um estado de registro ou RPKI estipulado mudou? Um sistema segurado ou fornecedor sofreu acesso não autorizado, erro humano ou falha técnica? Um terceiro fez valer direitos? Qual evento ocorreu primeiro? Que perdas continuaram após cada estado ser corrigido?

Essa sequência impede uma causalidade simplista. Suponha que credenciais RIR comprometidas permitam a remoção de uma ROA. Um provedor upstream não relacionado rejeita então a rota legítima como inválida, causando uma interrupção. A rota imediata é emitida pelo segurado; não há origem falsa. A causa pode ser um evento de segurança de registro levando a uma rejeição por política de roteamento. Uma apólice que cobre apenas 'desvio' pode perder isso.

Suponha que um provedor upstream vaze acidentalmente as rotas do detentor, criando congestionamento, mas nenhuma origem não autorizada. O NIST e a prática operacional distinguem vazamentos de rota de desvios de origem, mesmo que ambos perturbem o serviço. O anexo deve dizer se os vazamentos são cobertos.

Suponha que um vendedor revogue a autorização de roteamento durante uma disputa de pagamento. Tecnicamente, a rota pode se tornar inválida. Comercialmente, o ato pode decorrer da execução de um contrato, em vez de uma intrusão maliciosa. O módulo de lucro cessante e a exclusão contratual podem entrar em conflito, a menos que a apólice indique como a autorização contestada é tratada.

O perito deve medir a perda por fase: detecção, evento ativo de rota ou registro, restauração técnica, normalização dos serviços dependentes e remediação de cauda longa. A cobertura pode diferir por fase. Os custos de perícia e resposta podem se aplicar imediatamente; o lucro cessante pode começar após um período de carência; as despesas de reputação podem ter um limite; a disputa de direitos pode ser tratada em outro lugar.

A sub-rogação também depende da categoria. A recuperação contra um ator malicioso é geralmente irrealista. A recuperação contra um provedor de serviços negligente pode ser limitada por contrato. A recuperação contra um vendedor, corretor ou consultor pode ser significativa em uma transferência defeituosa. O segurado deve preservar esses direitos e evitar admissões que prejudiquem a seguradora, sujeito à apólice real.

Uma árvore de causas não garante o pagamento. Ela torna o desacordo legível. A seguradora pode apontar o gatilho, a exclusão ou o problema de quantum; o segurado pode responder com evidências. É preferível a debater se um endereço é 'realmente uma propriedade' enquanto os clientes permanecem offline.

Os RIRs são instituições de prova, não seguradoras de último recurso

Os Registros Regionais da Internet ocupam uma posição difícil nesses sinistros. Seus registros e trilhas de auditoria podem ser decisivos, mas não são partes na apólice cibernética e não controlam todas as rotas.

Um RIR pode autenticar seus eventos de conta, explicar o status de transferência, corrigir erros de acordo com seu processo, gerenciar o serviço RPKI hospedado e manter o registro público. Pode dizer se uma fonte é o detentor registrado atual de acordo com a política ou se uma disputa impede uma transferência. Esses fatos podem estabelecer a camada de registro.

Ele normalmente não pode provar o lucro cessante do segurado, decidir como cada rede roteou, avaliar o bloco ou determinar a cobertura de seguro. E uma seguradora não deve exigir que o RIR qualifique um evento como 'roubo' antes de pagar pela interrupção causada por um evento de integridade coberto. O vocabulário do registro segue seu campo institucional.

O formulário de denúncia de fraude da ARIN aceita denúncias de recursos suspeitos de terem sido obtidos fraudulentamente ou de modificações não autorizadas nos registros. É um caminho de incidente útil. Não publica um denominador de fraude global nem promete um remédio específico. A condição de política da APNIC excluindo fontes contestadas da transferência é um controle. Ela não resolve todas as disputas privadas.

O melhor design de seguro cria um protocolo de ligação. O segurado autoriza especialistas designados a se comunicar com o registro, preserva os identificadores de ticket, fornece documentos corporativos autenticados e registra os timestamps das decisões. A seguradora financia o custo dos especialistas cobertos sem tentar dirigir o registro fora da política.

Os registros também podem melhorar a segurabilidade através de um histórico de conta exportável, autenticação forte, vários titulares de função, modificações destrutivas adiadas quando seguro, escalonamento claro de incidentes e status de transferência legível por máquina. Essas melhorias reduzem a incerteza das evidências para todos, não apenas para as seguradoras.

Há um limite para a transparência. Expor publicamente os detalhes de segurança da conta, os requerentes ou documentos restritos pode criar novos riscos. As seguradoras podem receber evidências sob consentimento e confidencialidade. Os dados públicos de transferência e roteamento permanecem úteis, mas incompletos.

Um mercado de seguros que respeite esses limites usará corretamente as evidências dos RIRs: evidências sólidas do estado de registro e serviço, não um certificado universal de propriedade, roteamento ou perda econômica.

O risco de roteamento sistêmico exige decisões explícitas de capacidade

O seguro cibernético funciona melhor quando as perdas são suficientemente independentes para serem mutualizadas. O roteamento da Internet é construído sobre dependências comuns.

Uma rota ruim amplamente propagada pode afetar milhares de segurados e seus fornecedores de uma só vez. Uma falha em uma plataforma importante pode interromper muitas redes. Um problema de repositório RPKI ou validação pode criar respostas de roteamento correlacionadas. Uma campanha patrocinada por um Estado pode criar questões de atribuição e exclusão de guerra. Essas não são razões para deixar cada detentor sem seguro; são razões para definir a agregação.

O relatório de 2021 do GAO sobre seguro cibernético constatou um mercado em evolução no qual os clientes podem ter dificuldade em determinar a cobertura porque os termos-chave carecem de definições padrão e as seguradoras enfrentam dados históricos limitados. O relatório de 2022 do GAO descreve a capacidade limitada do seguro privado para absorver ataques catastróficos e observa as medidas tomadas pelas seguradoras para limitar a exposição sistêmica. A visão geral da segurança cibernética da NAIC também caracteriza as apólices cibernéticas como altamente personalizadas.

Para a cobertura de recursos numéricos, a seguradora deve indicar se um evento de roteamento generalizado, uma falha de infraestrutura da Internet, uma falha de fornecedor, um evento relacionado à guerra ou uma ação governamental é excluído, limitado ou coberto. O detentor não deve deduzir cobertura catastrófica de uma cláusula projetada para uma única rede comprometida.

A modelagem de agregação precisa de identificadores: RIR, âncora de confiança e repositório RPKI, software de validação, provedores de trânsito, plataformas de nuvem, dependências de DNS e concentração geográfica. Os dados exatos podem estar incompletos. A seguradora pode usar cenários em vez de falsa precisão: invalidação simultânea, vazamento de rota importante, comprometimento de conta de fornecedor ou interrupção de serviço de registro em escala regional.

A capacidade pode ser estratificada. Eventos curtos de roteamento comuns podem ser cobertos pela apólice cibernética primária. A cobertura de eventos generalizados pode ter um limite distinto e uma retenção. A cobertura de direitos pode permanecer específica da transação. A cobertura paramétrica baseada na acessibilidade observada pode pagar rapidamente, mas apenas se o índice estiver correlacionado com a perda real e resistir à manipulação.

O segurado deve entender o cibernético silencioso nas apólices tradicionais de danos e lucro cessante. O lucro cessante convencional geralmente depende de danos materiais, enquanto a redação cibernética autônoma trata de eventos de rede. Sobreposições e lacunas devem ser coordenadas. Uma torre contendo danos, cibernético, erros e omissões tecnológicas, fraude e cobertura transacional deve identificar qual camada lidera para cada risco de recurso numérico.

A suposição sistêmica mais perigosa é que outra apólice responderá. Uma capacidade explícita custa menos do que contestar o silêncio.

Uma Sociedade de Recursos Numéricos pode criar uma disciplina segurável

A proposta da Sociedade de Recursos Numéricos é útil aqui porque o seguro precisa da mesma coisa que uma boa gestão: uma exposição definida com mudança controlada e evidências recuperáveis.

Primeiro, a NRS trata os recursos numéricos como dependências gerenciadas, em vez de configuração esquecida. Isso incentiva inventários precisos, guardiões nomeados, reconciliação de registro, controles de segurança de roteamento e planos de continuidade. Uma seguradora pode subscrever com base nesses fatos.

Segundo, ela trata o controle operacional e o interesse econômico como ligados, mas separados. A equipe de rede pode provar a origem e o histórico de roteamento. A equipe de registro pode provar o estado da conta. As equipes jurídica e financeira podem provar a aquisição e os fluxos de caixa. Os sinistros se tornam menos vulneráveis à crença de que um único banco de dados responde a todas as perguntas.

Terceiro, ela valoriza a continuidade. Um endereço pode se tornar incorporado nas listas brancas dos clientes, acessos de parceiros, regras de conformidade e identidade de serviço. Um curto evento de roteamento pode, portanto, causar um lucro cessante desproporcional ao número de endereços afetados. A subscrição baseada apenas no número de endereços perde essa dependência; o mapeamento estilo NRS a torna visível.

Quarto, ela apoia a prevenção. ROAs precisas, filtros de fornecedores, acesso autenticado ao registro, contatos testados e substituição planejada reduzem as perdas. O seguro deve recompensar esses controles sem prometer que eles eliminam o risco. O NIST descreve a validação de origem de rota como uma mitigação, não segurança total.

A fronteira da prova permanece firme. A NRS não cria título, não força uma decisão RIR, não prova uma taxa de perda e não anula exclusões. Não deve comercializar um 'endereço totalmente segurado' quando a apólice real cobre apenas os custos de resposta. A linguagem institucional positiva deve estar alinhada com as condições especiais.

O melhor resultado é um ciclo de feedback. Melhores detentores produzem melhores evidências. Melhores evidências permitem definições mais estreitas e precificação mais justa. Uma cobertura mais clara financia uma resposta especializada mais rápida. Os dados de sinistros, devidamente protegidos, revelam quais controles funcionam. Os registros e operadores podem melhorar procedimentos sem se tornarem seguradoras.

É assim que uma sociedade em torno dos recursos numéricos se torna economicamente séria: não declarando cada prefixo inestimável, mas tornando o controle, a continuidade e o risco suficientemente mensuráveis para serem governados.

A apólice deve responder a doze perguntas antes da subscrição

Um detentor e um corretor podem testar uma apólice proposta com doze perguntas.

Os prefixos exatos ou uma definição de portfólio reproduzível estão estipulados?
O sistema de computador coberto inclui a infraestrutura de roteamento do detentor e os sistemas externos operados relevantes?
A propagação de rota não autorizada é em si um gatilho, ou o sistema próprio do segurado deve ser comprometido?
Vazamentos de rota, origens acidentais, desvios maliciosos e autorizações contestadas são tratados de forma diferente?
A interrupção inclui a perda parcial de acessibilidade e a degradação mensurável?
Qual período de carência, franquia e período de indenização se aplicam a um curto evento de roteamento com cauda longa?
O RIR, NIR, RPKI e serviços upstream estão nomeados ou incluídos funcionalmente como dependências?
A integridade do registro cobre a mudança errônea, bem como o comprometimento hostil?
Quais custos de resposta especializada, correção de registro, capacidade temporária e reputação são cobertos, e de quem o consentimento prévio é exigido?
O valor de mercado ou o valor acordado da posição de recurso numérico é coberto em algum lugar, ou apenas a perda de fluxo de caixa e as despesas de restauração?
Como as exclusões contratuais, de título, de propriedade intelectual, de infraestrutura, de guerra e de eventos conhecidos são aplicadas?
Quais deveres de prova, notificação, cooperação, avaliação e sub-rogação o segurado deve cumprir?

Se as respostas não estiverem na redação, nos anexos e nas condições especiais, uma apresentação comercial não pode fornecê-las. Os resumos de produto dizem comumente 'lucro cessante' sem definir o sistema, o gatilho ou a perda. O contrato o faz.

O detentor deve então realizar três exercícios de mesa. No primeiro, uma origem falsa desvia metade do tráfego observado por quarenta minutos e as falhas do cliente persistem por seis horas. No segundo, uma mudança de registro autenticada, mas fraudulenta, desativa o controle ROA por dois dias. No terceiro, um afiliado pré-aquisição faz valer direitos e congela uma venda planejada sem perturbar as rotas. O corretor e o subscritor devem identificar a cláusula, a retenção, as evidências e a perda provável não coberta para cada um.

Qualquer resposta que trate os três como o mesmo sinistro é um aviso. Qualquer resposta que garanta o pagamento sem examinar as definições é pior.

O objetivo não é eliminar toda ambiguidade. O seguro sempre aplica palavras a fatos imprevistos. O objetivo é colocar as fronteiras previsíveis onde ambas as partes podem vê-las.

Segure a perda que pode realmente ocorrer

O bloco IPv4 não desaparece quando um anúncio BGP ruim aparece. O que pode desaparecer é a acessibilidade, o controle confiável, a possibilidade de venda, a receita ou a confiança. Cada um só pode ser segurado se for nomeado e medido.

Os eventos de roteamento se enquadram principalmente em um módulo de interrupção de rede e resposta. O gatilho deve refletir a acessibilidade não autorizada, não a posse física do endereço. Os erros de registro se enquadram em um módulo de integridade e serviço dependente que cobre o estado de autoridade errôneo, bem como a falha do sistema. As disputas de propriedade se enquadram, se cobertas, em um módulo de direitos ou transacional com diligência separada. A reputação e a remediação de cauda longa precisam de seus próprios limites e período.

Essa separação é boa para as seguradoras. Ela impede que um prêmio comum de lucro cessante carregue silenciosamente o valor do ativo contestado. Ela torna a agregação visível. Ela orienta os especialistas para as evidências corretas.

Também é boa para os detentores. Eles podem ver que uma seguradora pode pagar os custos de investigação e o lucro perdido sem comprar um bloco substituto. Eles podem alinhar os controles de registro, roteamento, jurídicos e financeiros. Eles podem escolher se a cobertura de direitos vale sua diligência e preço.

Nenhuma fonte pública fornece uma porcentagem global de desvios de IPv4 produzindo perda segurada, de erros de registro se tornando permanentes, ou de disputas de propriedade que derrotam os detentores. Os incidentes visíveis carecem de um denominador comum, e os sinistros privados não são publicados de forma abrangente. Uma apólice honesta não deve depender de certezas inventadas.

A resposta final à pergunta se o seguro cibernético cobre um ativo de recurso numérico é condicional, mas útil. Pode cobrir consequências importantes. Não deve ser presumido que cobre o valor legal ou de mercado do ativo. A lacuna pode ser reduzida por anexos precisos, dependências estipuladas, períodos de carência adaptados e um protocolo de prova de sinistros.

Um ativo de capital desviado precisa de mais do que um rótulo cibernético. Precisa de uma apólice que conhece a diferença entre a rota, o registro e o direito.

A apólice de seguro para um ativo de capital sequestrado