Ansøgninger om cyberforsikring føltes tidligere tættere på papirarbejde. I dag føles de mere som en sikkerhedsrevision. En virksomhedsejer eller COO, der skal forny en police, kan blive spurgt om multifaktor-godkendelse (MFA), sikkerhedskopier, adgangskontroller, medarbejderuddannelse, opdatering af software, hændelseshåndtering og adgangskodehåndtering, før forsikringsselskabet overhovedet bekræfter vilkårene.
Forsikringstegnere vil vide, hvilke kontroller der er på plads, hvor de anvendes, hvor konsekvent de håndhæves, og om virksomheden kan dokumentere det. Det skyldes, at cyberforsikring ikke kan bruges som erstatning for cybersikkerhed. Den supplerer sikkerhedskontroller, hændelsesplanlægning, gendannelsesprocesser og risikostyring som en del af håndteringen af cyberrisici.
For virksomheder, der forbereder sig på at ansøge eller forny, er her, hvad du skal vide om, hvad forsikringsselskaberne forventer at se, før de er trygge ved at påtage sig risikoen.
Hvad forsikringstegnere for cyberforsikring reelt kontrollerer
De kontroller, som de fleste forsikringsselskaber forventer
En praktisk tjekliste til cyberforsikring
Hvorfor virksomheder har svært ved at kvalificere sig
Hvordan SMV-risici påvirker forsikringssamtaler
Hvordan Proton Pass understøtter parathed til cyberforsikring
Hvad forsikringstegnere for cyberforsikring reelt kontrollerer
En cyberforsikringsvurdering er designet til at forstå, hvor sandsynligt det er, at en virksomhed rammes af en cyberhændelse, hvor alvorlig hændelsen kan blive, og hvor forberedt virksomheden er på at genoprette sig.
Forsikringstegneren ser ikke kun på, hvad en virksomhed laver, eller hvor meget omsætning den genererer. De vil også forstå, hvordan den håndterer adgang, legitimationsoplysninger, data, systemer, leverandører og kontinuitet. En virksomhed med svage adminkontroller, ingen håndhævelse af MFA og utestede sikkerhedskopier udgør en anden risikoprofil end en virksomhed, der kan fremvise klare politikker, håndhævede kontroller og dokumentation for gendannelse.
Derfor fokuserer krav til cyberforsikring ofte på operationel sikkerhed. Forsikringsselskaber vil vide, om angribere nemt kan komme ind, om virksomheden kan begrænse skaden, og om kritiske systemer kan genoprettes uden at betale løsesum eller være offline i dagevis.
Underwriting af cyberforsikring kan omfatte et detaljeret spørgeskema, opfølgende spørgsmål, anmodninger om dokumentation, scanninger eller samtaler med it-leverandører. For mindre virksomheder kan denne proces være vanskelig, især når der ikke er fastlagt formelle processer for sikkerhed.
Det er for eksempel ikke nok at sige, at din virksomhed bruger MFA. Et forsikringsselskab vil måske vide, hvor og hvordan MFA håndhæves, om det dækker adminkonti, og hvilke kritiske applikationer der eventuelt er udeladt. Et stærkere svar er specifikt, dokumenteret og understøttet af beviser.
De kontroller, som de fleste forsikringsselskaber forventer
Krav til cyberforsikring varierer efter udbyder, policetype, virksomhedsstørrelse og risikoprofil. Ikke desto mindre leder de fleste vurderinger nu efter de samme grundlæggende tegn: om din virksomhed kan forhindre almindelige angreb, begrænse skaden, hvis en konto kompromitteres, komme sig efter afbrydelser og bevise, at kontrollerne faktisk er på plads. Det omfatter ofte, hvordan din virksomhed håndterer adgangskoder. En stærk adgangskodepolitik og en sikker adgangskodeadministrator til virksomheder er blandt de mest effektive bedste praksisser for adgangskodehåndtering, du kan implementere.
MFA
Dette er en af de første kontroller, forsikringsselskaber leder efter, fordi mange krav stammer fra misbrug af legitimationsoplysninger. Du kan blive spurgt, om 2FA er aktiveret for e-mail, VPN’er, fjernadgang, cloudplatforme, adgangskodeadministratorer og andre kritiske applikationer.
Vurderingen kan også gå videre og spørge, om MFA håndhæves for alle brugere, kun for bestemte systemer eller kun for adminkonti, og hvordan denne håndhævelse faktisk fungerer.
Der er forskel på, om MFA er tilgængelig, og om MFA er obligatorisk: en forsikringstegner vil vide, om den håndhæves, om den er konfigureret hos identitetsudbyderen eller app for app, og hvad der sker, når nogen fejler eller omgår godkendelsesanmodningen.
Et stærkere svar viser, hvor MFA er påkrævet, hvilke applikationer der er dækket, hvordan den håndhæves, og hvordan undtagelser godkendes og gennemgås.
Beskyttelse af admin- og privilegerede konti
Forsikringsselskaber vil også forstå, hvordan din virksomhed beskytter konti med forhøjet adgang. Adminkonti kan ændre indstillinger, oprette brugere, få adgang til følsomme data, deaktivere sikkerhedskontroller eller bevæge sig på tværs af systemer, hvilket gør dem særligt værdifulde for angribere.
Virksomheder kan blive spurgt, om adminadgang er begrænset til bestemte personer, gennemgås regelmæssigt, beskyttes med MFA og adskilles fra almindelige brugerkonti. Dokumentation kan omfatte adgangspolitikker, brugerlister, rollebaserede tilladelser og logfiler, der viser privilegeret aktivitet.
Sikkerhedskopier og parathed til gendannelse
Sikkerhedskopier er vigtige, fordi forsikringsselskaber ser ud over forebyggelse. De vil også vide, hvor hurtigt din virksomhed kan komme sig. Hvis et ransomwareangreb, utilsigtet sletning eller systemnedbrud rammer din virksomhed, vil forsikringsselskabet vide, om den kan komme sig uden at betale en løsesum eller miste kritiske data.
Det betyder normalt at have sikkerhedskopier, der er regelmæssige, beskyttede mod uautoriseret adgang og testede. Det er ikke nok at sige, at der findes sikkerhedskopier. Du bør være klar til at vise, hvad der sikkerhedskopieres, hvor ofte sikkerhedskopier kører, hvor de lagres, hvem der kan få adgang til dem, og hvornår gendannelse sidst blev testet.
Endepunkts- og e-mailsikkerhed
Mange angreb starter via en medarbejders indbakke eller enhed, så forsikringsselskaber spørger ofte om endepunkts- og e-mailbeskyttelse. Det kan omfatte anti-malware, endepunktsdetektion, spamfiltrering, phishingbeskyttelse og kontroller, der blokerer mistænkelige vedhæftninger, links eller loginforsøg.
For e-mail specifikt kan forsikringsselskaber også spørge, om dit domæne bruger e-mailgodkendelse (SPF, DKIM og DMARC) til at forhindre angribere i at spoofe din virksomheds adresse.
For mindre virksomheder kan dette håndteres af en it-leverandør eller via indbyggede funktioner i de værktøjer, de allerede bruger. Det vigtige er at kunne forklare, hvilken beskyttelse der er aktiv, hvilke enheder og konti der er dækket, og hvordan alarmer eller hændelser håndteres.
Patch-administration
Forældet software giver angribere en lettere vej ind i virksomhedens systemer. Derfor kan forsikringsselskaber spørge, hvor hurtigt din virksomhed anvender sikkerhedsopdateringer til operativsystemer, browsere, applikationer, servere og anden kritisk software.
De kan også spørge, om opdateringer er automatiske, gennemgås manuelt eller administreres af en ekstern it-leverandør. Et stærkere svar forklarer, hvem der ejer patchhåndtering, hvordan opdateringer spores, og hvordan virksomheden håndterer akutte sårbarheder.
Sikkerhedstræning af medarbejdere
Forsikringsselskaber ved, at medarbejdere ofte udsættes for phishing, social engineering, falske fakturaer, ondsindede links og tyveri af legitimationsoplysninger.
Tilbagevendende sikkerhedsbevidsthedstræning er med til at reducere den eksponering, og phishing-bevidsthedstræning adresserer især den angrebstype, der ligger bag de fleste krav relateret til legitimationsoplysninger. Vurderingen kan dog kræve mere end en generel erklæring om, at medarbejderne er trænet.
Virksomheder skal måske vise, hvor ofte træningen finder sted, hvad den dækker, om nye medarbejdere får onboarding, og om personalet ved, hvordan de rapporterer mistænkelig aktivitet. Praktisk, tilbagevendende træning er mere nyttig end en enkeltstående session, som ingen vender tilbage til.
Planlægning af hændelseshåndtering
En skriftlig beredskabsplan for hændelser viser, at din virksomhed ved, hvad den skal gøre, når noget går galt. Forsikringsselskaber kan spørge, om din virksomhed har en dokumenteret proces til at identificere, rapportere, begrænse og eskalere sikkerhedshændelser.
Planen bør tydeliggøre, hvem der er ansvarlig, hvem der skal kontaktes, hvordan beviser bevares, og hvordan virksomheden kommunikerer med medarbejdere, leverandører, kunder, juridisk rådgivning eller myndigheder, når det er nødvendigt. Selv en simpel plan er bedre end at stole på improvisation under en krise.
Adgangskontroller for tredjeparter
Leverandører, entreprenører, bureauer, it-leverandører og softwarepartnere kan introducere risiko, når de har adgang til virksomhedens systemer eller data. Forsikringsselskaber kan spørge, om tredjepartsadgang er begrænset, gennemgået og fjernet, når den ikke længere er nødvendig.
De kan også se efter MFA på leverandørkonti, separate legitimationsoplysninger til eksterne brugere og en klar proces til godkendelse af adgang. Virksomheden bør kunne vise, hvem der har adgang, hvad de kan få adgang til, hvorfor de har brug for det, og hvornår adgangen sidst blev gennemgået.
En praktisk tjekliste til cyberforsikring
Før du starter en ansøgning om cyberforsikring eller en fornyelse, bør din virksomhed indsamle dokumentation for, at dens sikkerhedskontroller ikke kun er planlagt, men allerede fungerer. Forsikringstegnere forventer ikke, at enhver mindre virksomhed har dokumentation på enterprise-niveau. Men de forventer klare svar, ensartet praksis og dokumentation for, at virksomheden kan forklare, hvordan adgang, gendannelse, træning og hændelseshåndtering håndteres.
En tjekliste garanterer ikke dækning eller lavere præmier, men den kan gøre din vurdering mere effektiv, reducere frem- og tilbageskrivning og hjælpe virksomheden ind i underwritingprocessen med stærkere svar.
Tjekliste for parathed til cyberforsikring
MFA
Dokumentation, der skal forberedes: Liste over systemer, hvor MFA håndhæves, herunder e-mail, cloudapps, fjernadgang, adminkonti og eventuelle dokumenterede undtagelser.
Adgangskodehåndtering
Dokumentation, der skal forberedes: Politik for adgangskodeadministrator, registreringer af brugeradoption, struktur for delte bokse, adminindstillinger og rapporter, der viser svage, genbrugte eller afslørede adgangskoder.
Sikkerhedskopier
Dokumentation, der skal forberedes: Tidsplan for sikkerhedskopiering, lagerpladsplacering, adgangskontroller, opbevaringspolitik og datoen for den seneste genopretningstest.
Reaktionsplan for hændelser
Dokumentation, der skal forberedes: Skriftlig beredskabsplan, eskalationskontakter, interne roller, rapporteringstrin og eventuel nylig tabletop-øvelse eller gennemgang af planen.
Træningsregistreringer
Dokumentation, der skal forberedes: Datoer for sikkerhedstræning, deltagelsesregistreringer, onboardingmateriale, indhold om phishing-bevidsthed og rapporteringsinstruktioner til medarbejdere.
Patch-administration
Dokumentation, der skal forberedes: Patchpolitik, opdateringslogfiler, liste over omfattede systemer, ejerskabsdetaljer og registreringer for hasteudbedring af sårbarheder.
Gennemgang af privilegeret adgang
Dokumentation, der skal forberedes: Liste over adminbrugere, rollebaserede tilladelser, registreringer af adgangsgennemgang, MFA-status for privilegerede konti og offboardingdokumentation.
Hvorfor virksomheder har svært ved at kvalificere sig
Virksomheder har ofte svært ved cyberforsikring, fordi ansøgningen blotlægger huller, som den daglige drift kan skjule. En virksomhed kan have MFA på nogle systemer, sikkerhedskopier på plads, en IT-udbyder på kald og medarbejdere, der kender det grundlæggende om phishing. Men forsikringsselskaber leder efter ensartethed på tværs af virksomheden: hvor kontroller håndhæves, hvem der ejer dem, hvor ofte de gennemgås, og hvilke beviser der understøtter hvert svar.
Det er især svært for mindre virksomheder, der gradvist har opbygget sikkerhed uden formel dokumentation. Adgang kan være tildelt gennem forskellige systemer, delte legitimationsoplysninger kan stadig ligge i regneark i stedet for i en sikker teamadgangskodeadministrator, sikkerhedskopier er måske ikke blevet testet for nylig, og sikkerhedstræning foregår måske uformelt.
Ingen af disse problemer betyder automatisk, at en virksomhed ikke kan forsikres, men de kan skabe forsinkelser, undtagelser, højere præmier eller opfølgningsspørgsmål under risikovurderingen.
De stærkeste ansøgninger er normalt ikke dem med de mest komplekse sikkerhedsprogrammer. Det er dem, der klart kan vise, hvordan kernekontroller fungerer, hvor de resterende huller er, og hvad virksomheden gør for at lukke dem.
Hvordan SMV-risiko påvirker forsikringssamtaler
Forsikringsselskaber er optaget af kontroller, fordi små og mellemstore virksomheder ikke er usynlige for angribere. Protons SMB Cybersecurity Report viste, at en ud af fire SMV’er blev udsat for databrud sidste år på trods af at have cybersikkerhedsforanstaltninger på plads. Rapporten peger også på menneskelige fejl, inkonsekvente sikkerhedspolitikker og manglende datakontrol som væsentlige årsager.
Mange virksomheder nærmer sig deres cyberforsikringsansøgninger med sikkerhedsforanstaltninger, der allerede er på plads, men vurderingen viser ofte, om disse foranstaltninger er ensartede, aktuelle og nemme at dokumentere. MFA beskytter måske nogle konti, men ikke andre. Sikkerhedskopier kører måske efter planen, men har ingen nylig genopretningstest bag sig. Adminadgang kan være blevet udvidet, efterhånden som virksomheden voksede, uden en klar registrering af, hvem der stadig har brug for den.
For en COO eller virksomhedsejer kan den granskning være nyttig, allerede før policen er udstedt. Den omdanner hverdagens antagelser til konkrete beviser: adgangslister, sikkerhedskopiregistreringer, MFA-dækning, adgangskodepraksis, dokumenterede politikker og kendte huller. I stedet for at stole på, hvad folk tror der sker, får virksomheden et klarere billede af, hvordan dens kontroller faktisk fungerer.
Set på den måde er vurderingen ikke kun en hindring for dækning. Den kan hjælpe virksomheden med at identificere de svagheder, der ville betyde mest under et databrud, og udbedre dem, før de bliver sværere, dyrere eller mere forstyrrende at håndtere.
Hvordan Proton Pass understøtter parathed til cyberforsikring
Cyberforsikringsvurderinger ser på virksomheden som helhed, herunder sikkerhedskopier, patching, hændelseshåndtering, medarbejderuddannelse, netværkssikkerhed og leverandørrisiko. En adgangskodeadministrator kan ikke opfylde alle krav alene, men den kan styrke et af de områder, forsikringsselskaber undersøger nøje: hvordan din virksomhed håndterer håndtering af legitimationsoplysninger og adgang.
En virksomhedsadgangskodeadministrator som Proton Pass for Business hjælper teams med at erstatte usikre adgangskodevaner med et mere kontrolleret system. Medarbejdere kan oprette og gemme unikke adgangskoder i end-to-end-krypterede adgangskodebokse, bruge autofyld til at reducere genbrug, administrere adgangsnøgler og sikkert dele legitimationsoplysninger uden at være afhængig af e-mail, regneark, chattråde eller adgangskoder gemt i browseren.
Indbygget tofaktorgodkendelse hjælper også teams med at holde adgangskoder og bekræftelseskoder i én sikker arbejdsgang i stedet for at sprede adgang på tværs af forskellige apps og personlige enheder, hvilket skaber friktion og skubber folk mod genveje.
Som en adgangskodeadministrator til IT-teams tilføjer Proton Pass den synlighed og kontrol, der er nødvendig for at gøre disse praksisser nemmere at håndhæve. Teams kan konfigurere adgangskodekrav, håndhæve 2FA-politikker, administrere boksadgang, tildele rollebaserede tilladelser, klargøre brugere med SCIM, understøtte single sign-on (SSO) og bruge logfiler til overholdelse eller gennemgang af hændelseshåndtering. Disse funktioner kan understøtte almindelige underwriting-spørgsmål om MFA, adgangskodeadministration, delte legitimationsoplysninger, privilegeret adgang, onboarding, offboarding og adgangsgennemgange.
Den bredere cyberforsikringsansøgning vil stadig have brug for dokumentation på tværs af resten af sikkerhedsprogrammet. Men for den del af vurderingen, der handler om legitimationsoplysninger, kan Proton Pass hjælpe din virksomhed med at give et klarere svar: hvem har adgang, hvordan beskyttes legitimationsoplysninger, hvordan kontrolleres deling, og hvilke beviser er tilgængelige, når en underwriting-medarbejder spørger.
Opfyld alle krav til cyberforsikring med en virksomhedsadgangskodeadministrator.
