Små virksomheder bliver konstant spurgt om cyberforsikring af klienter, investorer, indkøbsteams, långivere og partnere, som ønsker at vide, hvad der sker, hvis et databrud, et ransomware-angreb eller en kontoovertagelse afbryder virksomheden.
For stiftere og COOs er cyberforsikring sjældent bare et ja-eller-nej-køb. Virksomheden skal først forstå, hvad den køber, hvad forsikringsselskabet forventer at se, og hvordan sikkerhed for legitimationsoplysninger kan påvirke dækningen, hvis der nogensinde opstår et erstatningskrav.
Denne guide forklarer, hvad cyberforsikring dækker, hvad den kan udelukke, hvilke sikkerhedskontroller forsikringsselskaber ofte leder efter, og hvordan bedre administration af adgang og legitimationsoplysninger kan understøtte forsikringsmulighederne. Bemærk venligst, at dette ikke er økonomisk rådgivning.
Hvad dækker en cyberansvarsforsikring normalt?
Hvad cyberforsikring måske ikke dækker
Hvad assurandører forventer, før de udsteder en politik
Uagtsomhedsrisikoen i forbindelse med sikkerhed for legitimationsoplysninger
Hvorfor en god sikkerhedstilstand kan påvirke prisen på cyberforsikring
Hvad koster cyberforsikring til virksomheder?
Cyberforsikringskontekst for små virksomheder
Sådan forbereder De Dem, før De ansøger om cyberforsikring
Hvordan Proton Pass for Business understøtter forsikringsmulighederne
Cyberforsikring fungerer bedst med stærk sikkerhed
Hvad er cyberforsikring?
Cyberforsikring er en politik, der hjælper virksomheder med at administrere de økonomiske konsekvenser af cyberhændelser. Den kan understøtte genopretning efter begivenheder som ransomware, uautoriseret adgang, databrud, kompromittering af virksomhedens e-mail, malware, privatlivshændelser eller afbrydelse af digitale tjenester.
The UK National Cyber Security Centre(nyt vindue) angiver, at cyberforsikring kan hjælpe organisationer med at gendanne efter cyberhændelser, men understreger også, at forsikring ikke er en erstatning for god cybersikkerhed.
Cyberforsikring kan hjælpe med at betale for beredskab, gendannelse og specialistsupport efter en hændelse, men den forhindrer ikke selve begivenheden. Hvis en angriber bruger en stjålen adgangskode, overtager en konto eller får adgang til kundens digitale data, skal virksomheden stadig begrænse skaden, bevise, hvilke kontroller der var på plads, og gendanne driften. At indføre stærkere sikkerhedskontroller, før De køber politikken, gør det nemmere at påvise, at Deres virksomhed tog rimelige forholdsregler.
Hvad dækker en cyberansvarsforsikring normalt?
Cyberforsikringspolitikker varierer, så dækningen afhænger af forsikringsselskabet, mægleren, politikkens ordlyd, grænser og undtagelser. Alligevel er de fleste politikker bygget op omkring to brede kategorier: førstepartsomkostninger og tredjepartsansvar.
Førstepartsomkostninger
Førstepartsdækning hjælper med de omkostninger, som Deres virksomhed står overfor direkte efter en cyberhændelse. Association of British Insurers(nyt vindue) beskriver cyberforsikring som beskyttelse, der kan hjælpe virksomheder med omkostninger til cyberangreb og understøtte detektion, beredskab og genopretning.
I praktiske termer er dette den del af politikken, der kan hjælpe Deres virksomhed med at betale for det arbejde, der kræves for at forstå, hvad der skete, begrænse hændelsen, genoprette systemer og holde forretningen i gang.
Afhængigt af politikken kan førstepartsomkostninger omfatte:
- Hændelsesberedskab og forensisk undersøgelse
- Juridisk rådgivning og support til notifikation om databrud
- Systemgenopretning og datagendannelse
- Tab ved driftsafbrydelse
- Ransomware-forhandling og betalingssupport, hvor det er lovligt tilladt og dækket
- Krisekommunikation
- Kundesupport eller kreditovervågning efter et databrud
- Omkostninger forbundet med at genoprette digitale aktiver
For en lille virksomhed skaber disse omkostninger et øjeblikkeligt pres. En ransomware-hændelse eller en kontoovertagelse kan forsinke kundearbejde, stoppe betalinger, afbryde driften og gennemtvinge akutte udgifter, før det fulde omfang overhovedet står klart.
Tredjepartsansvar
Tredjepartsdækning hjælper, når andre personer eller organisationer rejser krav mod Deres virksomhed efter en hændelse. Dette kan omfatte kunder, partnere, leverandører eller andre berørte parter.
Afhængigt af politikken kan dette omfatte omkostninger til juridisk forsvar, forlig, privatlivskrav, kontraktlige krav og visse undersøgelsesomkostninger. Det er især relevant for virksomheder, der håndterer kunderegistre, medarbejderdata, betalingsoplysninger, økonomiske dokumenter, juridiske filer, fortroligt kundearbejde eller følsomme kommercielle oplysninger.
Hvad cyberforsikring måske ikke dækker
Cyberansvarsforsikring er ikke en ubegrænset beskyttelse. Enhver politik har betingelser, undtagelser og pligter, som Deres virksomhed skal forstå, før De køber den.
Almindelige områder, der bør kontrolleres, omfatter:
Eksisterende problemer: En politik dækker muligvis ikke hændelser, der er linket til kendte sårbarheder, tidligere kompromittering eller fejl, der eksisterede, før dækningen trådte i kraft.
Manglende overholdelse af kontroller: Hvis Deres applikation angiver, at to-faktor-godkendelse (2FA), sky-sikkerhedskopier eller adgangsgennemgange er etableret, men disse kontroller ikke reelt vedligeholdes, kan dækningen blive bestridt.
Uagtsomhed eller urigtige oplysninger: Erstatningskrav kan blive sværere at få igennem, hvis virksomheden har givet et forkert billede af sin sikkerhedstilstand eller har ignoreret indlysende risici vedrørende legitimationsoplysninger.
Undtagelser for krig og statsstøttede angreb: Nogle politikker begrænser muligvis dækningen for statsstøttede, krigsrelaterede eller systemiske cyberangreb. Gennemgå dette afsnit omhyggeligt med Deres mægler i stedet for at antage, at enhver cyberhændelse er dækket.
Bøder og sanktioner: Nogle politikker udelukker strafferetlige, civilretlige eller regulatoriske bøder, gebyrer eller sanktioner, som virksomheden er lovmæssigt forpligtet til at betale.
Sikkerhed for legitimationsoplysninger kan blive en del af samtalen om dækning efter et databrud. Hvis en hændelse starter med genbrugte adgangskoder, delte admin-legitimationsoplysninger eller konti, der skulle have været fjernet flere måneder tidligere, er problemet ikke kun teknisk. Det kan rejse spørgsmål om, hvorvidt virksomheden havde rimelige adgangskontroller på plads.
Hvad assurandører forventer, før de udsteder en politik
Cyberforsikrings-underwriting er blevet mere fokuseret på sikkerhed. NCSC råder virksomheder til at forstå, hvilke cybersikkerhedsstandarder de allerede har på plads, hvilke kontroller de skal forbedre, og om de kan besvare et forsikringsselskabs spørgsmål nøjagtigt, før de køber dækning.
Det er mere sikkert at tale om dokumentation for sikkerhedskontroller i stedet for at sige, at alle forsikringsselskaber kræver et specifikt produkt. Kravene varierer alt efter forsikringsselskab, virksomhedens størrelse, sektor, omsætning, datafølsomhed og skadehistorik.
Almindelige spørgsmål til underwriting kan omfatte, hvorvidt:
- 2FA er aktiveret for e-mail, fjernadgang, admin-konti, forretningsværktøjer og sky-tjenester.
- Sky-lagerplads-sikkerhedskopier er regelmæssige, beskyttede og testede.
- Virksomheden har et hændelsesberedskabsabonnement.
- Medarbejdere modtager træning i sikkerhedsbevidsthed.
- Endepunktsbeskyttelse er på plads.
- Adgang gennemgås og fjernes, når folk rejser.
- Privilegerede konti er kontrollerede.
- Adgangskoder er unikke, stærke og administreres gennem klare politikker for legitimationsoplysninger.
Assurandører kræver måske ikke specifikt en adgangskodeadministrator i enhver applikation, men de leder ofte efter dokumentation for modenhed i administrationen af legitimationsoplysninger og adgangskontrol: klare adgangskode- og delingspolitikker, 2FA-håndhævelse, adgangsgennemgange, beskyttede privilegerede konti og reduceret genbrug af adgangskoder.
En adgangskodeadministrator til virksomheder understøtter denne dokumentation ved at give medarbejderne en sikker måde at oprette, gemme, autofylde og dele legitimationsoplysninger på. Den giver også administratorer bedre synlighed i adgangspraksis, håndhævelse af politikker, 2FA-parathed og privilegeret adgangskontrol end spredte adgangskoder gemt i browsere, regneark eller chatbeskeder.
Uagtsomhedsrisikoen i forbindelse med sikkerhed for legitimationsoplysninger
En af de største risici for små virksomheder er at antage, at cyberforsikring dækker enhver hændelse, blot fordi der eksisterer en politik. I praksis kan dækningen afhænde af, om virksomheden opfyldte betingelserne i politikken, og om dens sikkerhedserklæringer var nøjagtige.
Sikkerhed for legitimationsoplysninger er et almindeligt svagt punkt. En virksomhed siger måske, at den håndhæver stærk adgangskontrol, men medarbejdere kan stadig dele adgangskoder via chat, genbruge de samme legitimationsoplysninger på tværs af systemer, opbevare admin-adgangskoder i regneark eller undlade at bruge 2FA konsekvent på kritiske konti.
Det hul kan blive fremhævet efter en hændelse. Et forsikringsselskab vil muligvis gennemgå, hvordan databruddet skete, om de krævede kontroller var på plads, og om virksomheden fulgte sine egne procedurer. Et erstatningskrav, der er linket til ignorerede risici vedrørende legitimationsoplysninger, kan være sværere at forsvare end et, hvor virksomheden kan vise, at den havde rimelige kontroller, træning og adgangsadministration på plads.
En adgangskodeadministrator til virksomheder som Proton Pass for Business hjælper med at reducere denne risiko ved at gøre kontrol med legitimationsoplysninger lettere at anvende i det daglige arbejde. Den understøtter unikke adgangskoder, sikker deling, sikker onboarding og offboarding samt en klarere adgangsadministration. Den hjælper med at sikre, at medarbejderne håndterer legitimationsoplysninger i overensstemmelse med virksomhedens erklærede sikkerhedspolitikker.
Hvorfor en god sikkerhedstilstand kan påvirke prisen på cyberforsikring
Prisen på cyberforsikring til virksomheder afhænger af mange faktorer, herunder virksomhedens størrelse, omsætning, sektor, datafølsomhed, skadehistorik, dækningsgrænser, selvrisiko og sikkerhedsmodenhed. Ingen sikkerhedsfunktion kan garantere en lavere premium. Men bedre kontroller kan få en virksomhed til at fremstå mindre risikabel for assurandører.
I praktiske termer påvirker sikkerhedstilstanden tre økonomiske spørgsmål:
Kan virksomheden få dækning? Nogle forsikringsselskaber vil måske afvise ansøgere med højere risiko eller begrænse vilkårene, hvis grundlæggende kontroller mangler.
Hvad vil politikken koste? Et stærkere sikkerhedsgrundlag kan understøtte bedre priser, selvom premium afhænger af forsikringsselskabet og risikoprofilen.
Hvad sker der under et erstatningskrav? Bedre dokumentation og kontroller kan gøre det nemmere at vise, hvad der var på plads før hændelsen.
Det britiske marked for cyberforsikring viser, hvorfor forsikringsselskaberne kigger nærmere på kontrollerne. ABI(nyt vindue) rapporterede, at britiske forsikringsselskaber udbetalte 197 millioner GBP i erstatning for cyberkrav i 2024, en stigning på 230 % i forhold til året før. Malware og ransomware stod for 51 % af kravene, op fra 32 % i 2023.
For en stifter eller COO rækker ROI af sikkerhed ud over forebyggelse af databrud. Det viser sig også i forsikringsmuligheder, renere applikationer, færre undtagelser, stærkere forsvar af erstatningskrav og mindre driftsforstyrrelse, hvis der sker noget.
Hvad koster cyberforsikring til virksomheder?
Cyberforsikring koster små virksomheder omkring 1.550 $ om året(nyt vindue) i gennemsnit i USA, selvom premium kan variere fra et par hundrede dollars til over 8.000 $ afhængigt af virksomhedens risici, sikkerhedskontroller og dækningsgrænser.
I Storbritannien starter grundlæggende politikker for mindre virksomheder ved under 200 GBP(nyt vindue) om året, mænd små virksomheder kan betale mellem 500 GBP og 3.500 GBP(nyt vindue), afhængigt af deres omsætning, branche, sikkerhedsforanstaltninger, dataeksponering og dækningsniveau.
Cyberforsikringskontekst for små virksomheder
Cyberforsikring kan føles forvirrende for små virksomheder, fordi dækningen ikke er standardiseret. To politikker kan begge kaldes “cyberforsikring”, men afvige væsentligt i undtagelser, grænser, beredskabsydelser, ransomware-ordlyd, godkendte udbydere af hændelsesberedskab samt sikkerhedskrav før og efter en hændelse.
Association of British Insurers(nyt vindue) beskriver det som beskyttelse, der kan hjælpe virksomheder med at administrere omkostningerne ved cyberangreb og understøtte beredskab og genopretning. I praksis bør det behandles som økonomisk beskyttelse, der fungerer sammen med stærkere adgangskontrol, sikkerhedskopiparathed, hændelsesberedskab og sikkerhed for legitimationsoplysninger.
En praktisk købsproces bør omfatte tre samtaler:
Med Deres mægler eller forsikringsselskab: Hvad er dækket, udelukket og påkrævet?
Med Deres it- eller sikkerhedsudbyder: Hvilke kontroller er allerede på plads, og hvilke mangler betyder mest?
Med ledelsen: Hvilket niveau af økonomisk og operationel risiko kan virksomheden realistisk set absorbere?
Cyberforsikring bør vurderes som både et økonomisk produkt og et tjek af sikkerhedsparatheden. Jo bedre Deres virksomhed forstår sine adgangskontroller, sikkerhedskopier, processer for hændelsesberedskab og administration af legitimationsoplysninger, jo nemmere bliver det at vurdere, om en politik matcher Deres reelle risiko.
Sådan forbereder De Dem, før De ansøger om cyberforsikring
Før De ansøger, skal De behandle forsikringsprocessen som et tjek af sikkerhedsparatheden. De behøver ikke modenhed på virksomhedsniveau, men De har brug for nøjagtige svar.
Start med disse trin:
- Gennemgå Deres adgangskontroller: Tjek, hvilke konti der er privilegerede, om 2FA er aktiveret, og om tidligere medarbejdere eller leverandører stadig har adgang.
- Styrk administrationen af legitimationsoplysninger: Erstat genbrugte adgangskoder, fjern delte adgangskoder fra chats og regneark, og opret en klar proces for sikker deling.
- Dokumenter Deres sikkerhedskopier: Hav styr på, hvad der sikkerhedskopieres, hvor ofte, hvor sikkerhedskopier er lagret, og hvornår genopretning sidst blev testet.
- Skriv et hændelsesberedskabsabonnement: Definer, hvem der leder, hvem der kontakter forsikringsselskabet, hvem der håndterer kunder, og hvem der kan godkende nødforanstaltninger.
- Uddan medarbejdere: Dæk phishing, genbrug af adgangskoder, mistænkelige login-meddelelser og hændelsesrapportering.
- Tjek Deres politik-erklæringer: Overdriv ikke kontrollerne i en applikation. Hvis 2FA kun er aktiveret for nogle systemer, skal De sige det og planlægge den næste forbedring.
Her er en simpel tjekliste til cyberforsikring:
| Sikkerhedskrav | Hvad skal kontrolleres |
| 2FA | Er 2FA aktiveret for e-mail, admin-konti, fjernadgang og sky-tjenester? |
| Unikke adgangskoder | Bruger enhver erhvervskonto en stærk, unik adgangskode? |
| Sikker deling | Administreres delte legitimationsoplysninger via en godkendt adgangskodeadministrator? |
| Test af sikkerhedskopier | Er sikkerhedskopier regelmæssige, beskyttede og testede? |
| Reaktionsplan for hændelser | Ved teamet, hvem der leder, hvem der kontakter forsikringsselskabet, og hvem der godkender akutte handlinger? |
| Medarbejdertræning | Ved medarbejderne, hvordan de rapporterer phishing, mistænkelige logins og mulige databrud? |
| Adgangsgennemgang | Fjernes tidligere medarbejdere, eksterne konsulenter og leverandører fra systemer, som de ikke længere har brug for? |
Protons SMB-cybersikkerhedsrapport kan hjælpe små virksomheder med at benchmarke fælles cybersikkerhedshuller og forstå, hvorfor praktiske kontroller har betydning, før hændelser sker.
For bredere forebyggelsesplanlægning forklarer Protons guide til forebyggelse af databrud for virksomheder, hvordan virksomheder kan reducere sandsynligheden for og konsekvenserne af databrud, før de bliver til forsikringskrav.
Hvordan Proton Pass for Business understøtter forsikringsmulighederne
Cyberforsikring er økonomisk beskyttelse, men underwriting starter med den operationelle virkelighed. Hvis en virksomhed ikke kan vise, hvordan den administrerer adgangskoder, adgang og delte legitimationsoplysninger, kan forsikringsselskabet opleve større usikkerhed.
Proton Pass for Business hjælper med at reducere den usikkerhed ved derved at give Deres team en struktureret måde at administrere legitimationsoplysninger på. Medarbejdere kan generere stærke, unikke adgangskoder, gemme dem i krypterede bokse, bruge autofyld og dele adgang sikkert.
For administratorer understøtter Proton Pass for Business centraliseret brugeradministration, sikker deling, politikker, rapportering og logfiler, SSO-integrationer og SCIM-provisionering. Disse funktioner hjælper Deres virksomhed med at vise, at adgangsadministrationen ikke er improviseret. De understøtter også praktisk dokumentation ved at besvare spørgsmål om, hvem der har adgang, hvor delte legitimationsoplysninger findes, og hvordan adgangskodepraksis styres.
Proton Pass for Business understøtter forsikringsmulighederne på tre måder:
2FA-parathed: Deres team can gemme og administrere legitimationsoplysninger sikkert, samtidig med at der sikres stærk godkendelsespraksis på kritiske konti.
Adgangskontrol: Admins kan organisere bokse, administrere brugere og reducere ukontrolleret deling.
Revisionsspor: Rapportering og logfiler hjælper med at vise, at administrationen af legitimationsoplysninger overvåges.
Cyberforsikring fungerer bedst med stærk sikkerhed
Cyberforsikring kan hjælpe Deres lille virksomhed med at absorbere noget af de økonomiske konsekvenser af en hændelse. Men den fungerer bedst, når den parres med kontroller, der reducerer sandsynligheden for og omfanget af et erstatningskrav.
Før De køber eller fornyer cyberansvarsforsikring, skal De forstå, hvad politikken dækker, hvad den udelukker, og hvilke sikkerhedsbetingelser der gælder. Vær især forsigtig med sikkerhed for legitimationsoplysninger, da genbrugte adgangskoder, uformel deling, uadministreret admin-adgang og unøjagtige svar i applikationen alt sammen kan skabe risici før og efter en hændelse.
Den stærkeste tilgang til cyberforsikring for små virksomheder kombinerer begge dele: økonomisk beskyttelse, når noget går galt, og praktiske kontroller, der gør hændelser mindre sandsynlige, mindre skadelige og lettere at forsvare.
En adgangskodeadministrator til virksomheder som Proton Pass for Business er et af de mest oplagte steder at starte, fordi adgang ofte er central for cyberrisiko, underwriting-spørgsmål og hændelsesberedskab. Når medarbejdere kan generere unikke adgangskoder, dele legitimationsoplysninger sikkert, og admins kan gennemgå adgangspraksis, står virksomheden i en stærkere position.
