Žádosti o kybernetické pojištění dříve připomínaly spíše papírování. Dnes se mnohem více podobají bezpečnostní kontrole. Majitel firmy nebo provozní ředitel, který obnovuje pojistku, může být dotazován na vícefaktorové ověření (MFA), zálohy, řízení přístupu, školení zaměstnanců, záplatování, reakci na incidenty a správu hesel, ještě než pojistitel vůbec potvrdí podmínky.
Upisovatelé chtějí vědět, jaká opatření jsou zavedena, kde se uplatňují, jak důsledně jsou vynucována a zda to firma dokáže prokázat. Kybernetické pojištění totiž nemůže nahradit kybernetickou bezpečnost. Stojí vedle bezpečnostních opatření, plánování incidentů, procesů obnovy a řízení rizik jako součást správy kybernetických rizik.
Pro firmy, které se připravují žádat o pojištění nebo obnovovat smlouvu, uvádíme, co potřebujete vědět o tom, co pojišťovny očekávají, než jsou ochotny riziko převzít.
Co upisovatelé kybernetického pojištění skutečně kontrolují
Opatření, která většina pojišťoven očekává
Praktický kontrolní seznam pro kybernetické pojištění
Proč firmy obtížně splňují podmínky
Jak rizika malých a středních podniků ovlivňují konverzace o pojištění
Jak Proton Pass podporuje připravenost na kybernetické pojištění
Co upisovatelé kybernetického pojištění skutečně kontrolují
Posouzení kybernetického pojištění má zjistit, jak pravděpodobné je, že firma utrpí kybernetický incident, jak vážný tento incident může být a jak je firma připravena obnovit provoz.
Upisovatel se nezajímá jen o to, co firma dělá nebo jaké příjmy vytváří. Chce také pochopit, jak nakládá s přístupem, přihlašovacími údaji, daty, systémy, dodavateli a kontinuitou. Firma se slabými oprávněními správců, žádným vynucováním MFA a neotestovanými zálohami představuje jiný rizikový profil než firma, která může doložit jasné zásady, vynucovaná opatření a důkazy o obnově.
Proto se požadavky kybernetického pojištění často zaměřují na provozní bezpečnost. Pojišťovny chtějí vědět, zda se útočníci mohou snadno dostat dovnitř, zda firma dokáže omezit škody a zda lze klíčové systémy obnovit bez placení výkupného nebo několikadenního výpadku.
Upisování kybernetického pojištění může zahrnovat podrobný dotazník, doplňující otázky, žádosti o důkazy, skeny nebo hovory s poskytovateli IT. Pro menší firmy může být tento proces obtížný, zvláště když bezpečnost nemá zavedené formální postupy.
Například nestačí říci, že vaše firma používá MFA. Pojišťovna může chtít vědět, kde a jak se MFA vynucuje, zda zahrnuje účty správců a které klíčové aplikace, pokud vůbec nějaké, zůstávají vynechány. Silnější odpověď je konkrétní, doložená a podložená důkazy.
Opatření, která většina pojišťoven očekává
Požadavky kybernetického pojištění se liší podle poskytovatele, typu pojistky, velikosti firmy a rizikového profilu. Většina posouzení však nyní hledá stejné základní znaky: zda vaše firma dokáže předcházet běžným útokům, omezit škody v případě kompromitace účtu, obnovit provoz po narušení a prokázat, že opatření jsou skutečně zavedena. Často se hodnotí i to, jak vaše firma nakládá s hesly. Silná zásada pro hesla a bezpečný správce hesel pro firmy patří mezi nejúčinnější osvědčené postupy správy hesel, které můžete zavést.
MFA
Jde o jedno z prvních opatření, která pojišťovny kontrolují, protože mnoho pojistných nároků pramení ze zneužití přihlašovacích údajů. Můžete být dotázáni, zda je 2FA aktivní pro e-mail, VPN, vzdálený přístup, cloudové platformy, správce hesel a další klíčové aplikace.
Posouzení může jít ještě dál a ptát se, zda se MFA vynucuje pro všechny uživatele, jen pro určité systémy nebo pouze pro účty správců a jak toto vynucování ve skutečnosti funguje.
Je rozdíl mezi tím, když je MFA dostupné, a tím, když je povinné: upisovatel bude chtít vědět, zda se vynucuje, zda je nakonfigurováno u poskytovatele identit nebo aplikaci po aplikaci a co se stane, když někdo selže nebo obejde výzvu.
Silnější odpověď ukazuje, kde je MFA vyžadováno, které aplikace jsou zahrnuty, jak se vynucuje a jak jsou schvalovány a kontrolovány výjimky.
Ochrana účtů správců a privilegovaných účtů
Pojišťovny také chtějí pochopit, jak vaše firma chrání účty se zvýšenými oprávněními. Účty správců mohou měnit nastavení, vytvářet uživatele, přistupovat k citlivým datům, deaktivovat bezpečnostní opatření nebo se pohybovat mezi systémy, což je pro útočníky činí obzvláště cennými.
Firmy mohou být dotázány, zda je přístup správců omezen na konkrétní osoby, pravidelně kontrolován, chráněn pomocí MFA a oddělen od běžných uživatelských účtů. Důkazy mohou zahrnovat zásady přístupu, seznamy uživatelů, oprávnění podle rolí a záznamy, které ukazují privilegované aktivity.
Zálohy a připravenost na obnovu
Zálohy jsou důležité, protože pojišťovny se nezaměřují jen na prevenci. Chtějí také vědět, jak rychle se vaše firma dokáže obnovit. Pokud vaši firmu zasáhne útok ransomwarem, náhodné smazání nebo selhání systému, pojišťovna chce vědět, zda se dokáže obnovit bez placení výkupného nebo ztráty kritických dat.
Obvykle to znamená mít pravidelné zálohy, chráněné před neoprávněným přístupem a otestované. Nestačí říci, že zálohy existují. Měli byste být připraveni doložit, co se zálohuje, jak často zálohy probíhají, kde jsou uloženy, kdo k nim má přístup a kdy byla obnova naposledy testována.
Zabezpečení koncových bodů a e-mailu
Mnoho útoků začíná prostřednictvím e-mailové schránky nebo zařízení zaměstnance, proto se pojišťovny často ptají na ochranu koncových bodů a e-mailu. Může sem patřit antimalware, detekce koncových bodů, filtrování spamu, ochrana před phishingem a opatření, která blokují podezřelé přílohy, odkazy nebo pokusy o přihlášení.
U e-mailu se pojišťovny mohou také ptát, zda vaše doména používá ověření e-mailu (SPF, DKIM a DMARC), aby zabránila útočníkům v podvržení adresy vaší firmy.
U menších firem to může zajišťovat poskytovatel IT nebo to může být součástí funkcí nástrojů, které už používají. Důležité je umět vysvětlit, jaká ochrana je aktivní, která zařízení a účty jsou zahrnuty a jak jsou řešena upozornění nebo incidenty.
Správa oprav
Zastaralý software dává útočníkům snazší cestu do firemních systémů. Pojišťovny se proto mohou ptát, jak rychle vaše firma aplikuje bezpečnostní aktualizace operačních systémů, prohlížečů, aplikací, serverů a dalšího klíčového softwaru.
Mohou se také ptát, zda jsou aktualizace automatické, ručně kontrolované nebo spravované externím poskytovatelem IT. Silnější odpověď vysvětluje, kdo odpovídá za správu záplat, jak jsou aktualizace sledovány a jak firma řeší naléhavé zranitelnosti.
Školení zaměstnanců v oblasti bezpečnosti
Pojišťovny vědí, že zaměstnanci jsou často terčem phishingu, sociálního inženýrství, falešných faktur, škodlivých odkazů a krádeží přihlašovacích údajů.
Pravidelné školení o bezpečnostním povědomí pomáhá toto riziko snižovat a školení o povědomí o phishingu se konkrétně zaměřuje na typ útoku, který stojí za většinou pojistných nároků souvisejících s přihlašovacími údaji. Posouzení však může vyžadovat více než obecné tvrzení, že zaměstnanci jsou školeni.
Firmy mohou muset doložit, jak často školení probíhá, co zahrnuje, zda noví zaměstnanci absolvují zaškolení a zda zaměstnanci vědí, jak nahlásit podezřelou aktivitu. Praktické pravidelné školení je užitečnější než jednorázová relace, ke které se už nikdo nevrací.
Plánování reakce na incidenty
Písemný plán reakce na incidenty ukazuje, že vaše firma ví, co dělat, když se něco pokazí. Pojišťovny se mohou ptát, zda vaše firma má zdokumentovaný proces pro identifikaci, hlášení, omezení a eskalaci bezpečnostních incidentů.
Plán by měl ujasnit, kdo je odpovědný, koho je třeba kontaktovat, jak jsou uchovávány důkazy a jak firma v případě potřeby komunikuje se zaměstnanci, dodavateli, zákazníky, právními poradci nebo regulačními orgány. I jednoduchý plán je lepší než spoléhat na improvizaci během krize.
Řízení přístupu třetích stran
Dodavatelé, externí pracovníci, agentury, poskytovatelé IT a softwaroví partneři mohou představovat riziko, pokud mají přístup k firemním systémům nebo datům. Pojišťovny se mohou ptát, zda je přístup třetích stran omezen, kontrolován a odebrán, když už není potřeba.
Mohou také hledat MFA na účtech dodavatelů, samostatné přihlašovací údaje pro externí uživatele a jasný proces schvalování přístupu. Firma by měla umět doložit, kdo má přístup, k čemu může přistupovat, proč ho potřebuje a kdy byl tento přístup naposledy kontrolován.
Praktický kontrolní seznam pro kybernetické pojištění
Než začnete žádat o kybernetické pojištění nebo obnovovat smlouvu, měla by vaše firma shromáždit důkazy, že její bezpečnostní opatření nejsou jen naplánována, ale už fungují. Upisovatelé neočekávají, že každá menší firma bude mít dokumentaci na podnikové úrovni. Očekávají však jasné odpovědi, konzistentní postupy a důkazy, že firma dokáže vysvětlit, jak řeší přístup, obnovu, školení a reakci na incidenty.
Kontrolní seznam nezaručí krytí ani nižší pojistné, ale může zefektivnit posouzení, omezit zdlouhavou výměnu informací a pomoci firmě vstoupit do procesu upisování se silnějšími odpověďmi.
Kontrolní seznam připravenosti na kybernetické pojištění
MFA
Důkazy, které je třeba připravit: seznam systémů, kde je MFA vynucováno, včetně e-mailu, cloudových aplikací, vzdáleného přístupu, účtů správců a všech zdokumentovaných výjimek.
Správa hesel
Důkazy, které je třeba připravit: zásada pro správce hesel, záznamy o přijetí ze strany uživatelů, struktura sdílených trezorů, nastavení správce a zprávy zobrazující slabá, opakovaně používaná nebo uniklá hesla.
Zálohy
Doklady, které je třeba připravit: plán zálohování, umístění úložiště, řízení přístupu, zásada uchovávání a datum posledního testu obnovy.
Plán reakce na incidenty
Doklady, které je třeba připravit: písemný plán reakce, kontakty pro eskalaci, interní role, kroky hlášení a případné nedávné simulované cvičení nebo revize plánu.
Záznamy o školení
Doklady, které je třeba připravit: data bezpečnostních školení, záznamy o účasti, materiály pro nástup, obsah pro povědomí o phishingu a pokyny pro zaměstnance k hlášení incidentů.
Správa oprav
Doklady, které je třeba připravit: zásada záplatování, protokoly aktualizací, seznam pokrytých systémů, podrobnosti o vlastnictví a záznamy o naléhavé opravě zranitelností.
Revize privilegovaného přístupu
Doklady, které je třeba připravit: seznam uživatelů s oprávněním správce, oprávnění podle rolí, záznamy o revizi přístupu, stav MFA u privilegovaných účtů a dokumentace k odchodu zaměstnanců.
Proč je pro firmy obtížné splnit podmínky
Firmy mají často potíže s kybernetickým pojištěním, protože žádost odhalí mezery, které běžný provoz dokáže skrýt. Firma může mít MFA na některých systémech, zálohy na místě, poskytovatele IT na zavolání a zaměstnance, kteří znají základy phishingu. Pojišťovny však hledají konzistenci v celé firmě: kde jsou kontroly prosazovány, kdo je jejich vlastníkem, jak často se revidují a jaké důkazy podporují každou odpověď.
To je obzvláště obtížné pro menší firmy, které budovaly zabezpečení postupně, bez formální dokumentace. Přístup může být udělován prostřednictvím různých systémů, sdílené přihlašovací údaje mohou stále být uloženy v tabulkách místo v bezpečném týmovém správci hesel, zálohy nemusely být nedávno testovány a bezpečnostní školení může probíhat neformálně.
Žádný z těchto problémů automaticky neznamená, že firma je nepojistitelná, ale mohou způsobit zpoždění, výluky, vyšší pojistné nebo doplňující otázky během posuzování rizika.
Nejsilnější žádosti obvykle nejsou ty s nejsložitějšími bezpečnostními programy. Jsou to ty, které dokážou jasně ukázat, jak fungují základní kontroly, kde jsou zbývající mezery a co firma dělá pro jejich odstranění.
Jak riziko malých a středních podniků ovlivňuje jednání o pojištění
Pojišťovny se zajímají o kontroly, protože malé a středně velké firmy nejsou pro útočníky neviditelné. Zpráva Protonu SMB Cybersecurity Report zjistila, že každá čtvrtá malá nebo střední firma byla v loňském roce zasažena únikem dat, přestože měla zavedená kyberbezpečnostní opatření. Zpráva také uvádí lidskou chybu, nekonzistentní bezpečnostní zásady a nedostatečnou kontrolu nad daty jako hlavní příčiny.
Mnoho firem přistupuje ke svým žádostem o kybernetické pojištění s již zavedenými bezpečnostními opatřeními, ale posouzení často ukáže, zda jsou tato opatření konzistentní, aktuální a snadno prokazatelná. MFA může chránit některé účty, ale ne jiné. Zálohy mohou běžet podle plánu, ale nemají za sebou žádný nedávný test obnovy. Přístup správce se mohl rozšířit s tím, jak firma rostla, aniž by existoval jasný záznam o tom, kdo jej stále potřebuje.
Pro provozního ředitele nebo majitele firmy může být tato kontrola užitečná ještě před vydáním pojistky. Mění každodenní předpoklady na konkrétní důkazy: seznamy přístupů, záznamy o zálohách, pokrytí MFA, postupy pro hesla, dokumentované zásady a známé mezery. Místo aby se firma spoléhala na to, co si lidé myslí, že se děje, získá jasnější obraz o tom, jak její kontroly skutečně fungují.
Z tohoto pohledu není posouzení jen překážkou pro získání krytí. Může firmě pomoci identifikovat slabiny, které by při úniku dat měly největší význam, a opravit je dříve, než bude jejich řešení obtížnější, dražší nebo rušivější.
Jak Proton Pass podporuje připravenost na kybernetické pojištění
Posouzení kybernetického pojištění zkoumá firmu jako celek, včetně záloh, záplatování, reakce na incidenty, školení zaměstnanců, zabezpečení sítě a rizika dodavatelů. Správce hesel nemůže sám splnit všechny požadavky, ale může posílit jednu z oblastí, které pojišťovny pečlivě zkoumají: jak firma nakládá s správou přihlašovacích údajů a přístupem.
Správce hesel pro firmy, jako je Proton Pass for Business, pomáhá týmům nahradit nezabezpečené návyky při práci s hesly kontrolovanějším systémem. Zaměstnanci mohou vytvářet a ukládat jedinečná hesla v koncově šifrovaných trezorech na hesla, používat automatické vyplňování ke snížení opakovaného používání, spravovat přístupové klíče a bezpečně sdílet přihlašovací údaje, aniž by se spoléhali na e-mail, tabulky, chatovací vlákna nebo hesla uložená v prohlížeči.
Vestavěné dvoufázové ověření také pomáhá týmům udržet hesla a ověřovací kódy v jednom bezpečném pracovním postupu, místo aby se přístup rozptyloval mezi různé aplikace a osobní zařízení, což vytváří překážky a vede lidi ke zkratkám.
Jako správce hesel pro IT týmy přidává Proton Pass viditelnost a kontrolu potřebnou k tomu, aby se tyto postupy snáze prosazovaly. Týmy mohou konfigurovat požadavky na hesla, prosazovat zásady 2FA, spravovat přístup k trezorům, přiřazovat oprávnění podle rolí, zřizovat uživatele pomocí SCIM, podporovat jednotné přihlášení (SSO) a používat logy pro kontroly souladu nebo reakce na incidenty. Tyto funkce mohou podporovat běžné otázky upisovatelů týkající se MFA, správy hesel, sdílených přihlašovacích údajů, privilegovaného přístupu, nástupu, odchodu a revizí přístupu.
Širší žádost o kybernetické pojištění bude stále vyžadovat dokumentaci pro zbytek bezpečnostního programu. Ale pro část posouzení týkající se přihlašovacích údajů může Proton Pass firmě pomoci poskytnout jasnější odpověď: kdo má přístup, jak jsou přihlašovací údaje chráněny, jak je kontrolováno sdílení a jaké důkazy jsou k dispozici, když se upisovatel zeptá.
Splňte všechny požadavky kybernetického pojištění se správcem hesel pro firmy.
