Cyber risk modelling using copulas

Abstract

Kybernetické riziko nebo riziko úniku dat lze odhadnout podobně jako ostatní typy operačního rizika. Nejprve identifikujeme problémy modelů kybernetického rizika v současné literatuře. Rozsáhlý datový soubor obsahující 5 713 pozorování nám umožňuje aplikovat teorii extrémních hodnot. Používáme testy dobré shody přizpůsobené distribučním funkcím s odhadnutými parametry. Tyto testy jsou v literatuře často přehlíženy, přestože jsou nezbytné pro správné výsledky. Ztráty modelujeme samostatně ve třech různých odvětvích a pak je zkombinujeme pomocí kopule. Prostřednictvím t-testu zjišťujeme, že potenciální roční celosvětové ztráty v důsledku rizika úniku dat jsou větší než HDP České republiky. Navíc roční kybernetické riziko měřené s 99% CVaR dosahuje 2,5 % světového HDP. Na rozdíl od ostatních porovnáváme míry rizika s jinými hodnotami, což umožňuje pochopit závažnost kybernetického rizika i širšímu publiku. Odhad globálního rizika úniku dat je užitečným ukazatelem nejen pro pojišťovny, ale také pro jakoukoli organizaci zpracovávající citlivá data.

Cyber risk or data breach risk can be estimated similarly as other types of operational risk. First we identify problems of cyber risk models in existing literature. A large dataset consisting of 5,713 loss events enables us to apply extreme value theory. We adopt goodness of fit tests adjusted for distribution functions with estimated parameters. These tests are often overlooked in the literature even though they are essential for correct results. We model aggregate losses in three different industries separately and then we combine them using a copula. A t-test reveals that potential one-year global losses due to data breach risk are larger than the GDP of the Czech Republic. Moreover, one-year global cyber risk measured with a 99% CVaR amounts to 2.5% of the global GDP. Unlike others we compare risk measures with other quantities which allows wider audience to understand the magnitude of the cyber risk. An estimate of global data breach risk is a useful indicator not only for insurers, but also for any organization processing sensitive data.