Kyberturvavakuutushakemukset tuntuivat aiemmin lähinnä paperityöltä. Nykyään ne muistuttavat paljon enemmän tietoturvakatselmusta. Yrityksen omistajalta tai COO:lta vakuutusta uusiessaan voidaan kysyä monivaiheisesta tunnistautumisesta (MFA), varmuuskopioista, pääsynvalvonnasta, henkilöstön koulutuksesta, päivityksistä, poikkeamien hallinnasta ja salasanojen hallinnasta ennen kuin vakuuttaja edes vahvistaa ehdot.
Vakuuttajat haluavat tietää, mitkä valvontatoimenpiteet ovat käytössä, missä niitä sovelletaan, kuinka johdonmukaisesti niitä noudatetaan ja pystyykö yritys todistamaan sen. Tämä johtuu siitä, että kyberturvavakuutusta ei voi käyttää korvaamaan kyberturvallisuutta. Se on osa tietoturvavalvontaa, poikkeamien suunnittelua, palautumisprosesseja ja riskienhallintaa kyberriskien hallinnassa.
Yrityksille, jotka valmistautuvat hakemaan tai uusimaan vakuutusta, tässä on mitä sinun on tiedettävä siitä, mitä vakuuttajat odottavat näkevänsä ennen kuin he ovat valmiita ottamaan riskin.
Mitä kyberturvavakuutuksen vakuuttajat todella tarkistavat
Valvontatoimenpiteet, joita useimmat vakuuttajat odottavat
Käytännöllinen kyberturvavakuutuksen tarkistuslista
Miksi yritysten on vaikea täyttää vaatimukset
Miten pk-yritysten riski vaikuttaa vakuutuskeskusteluihin
Miten Proton Pass tukee kyberturvavakuutuksen valmiutta
Mitä kyberturvavakuutuksen vakuuttajat todella tarkistavat
Kyberturvavakuutuksen arvioinnin tarkoituksena on ymmärtää, kuinka todennäköisesti yritys joutuu kyberpoikkeamaan, kuinka vakavaksi poikkeama voi tulla ja kuinka valmis yritys on toipumaan.
Vakuuttaja ei katso vain sitä, mitä yritys tekee tai kuinka paljon liikevaihtoa se tuottaa. He haluavat myös ymmärtää, miten se käsittelee pääsyä, kirjautumistietoja, dataa, järjestelmiä, toimittajia ja jatkuvuutta. Yritys, jolla on heikot ylläpitäjän valvontatoimenpiteet, ei MFA:n pakotusta ja testaamattomat varmuuskopiot, edustaa erilaista riskiprofiilia kuin yritys, joka pystyy osoittamaan selkeät käytännöt, noudatetut valvontatoimenpiteet ja palautumisen todisteet.
Siksi kyberturvavakuutuksen vaatimukset keskittyvät usein operatiiviseen turvallisuuteen. Vakuuttajat haluavat tietää, pääsevätkö hyökkääjät helposti sisään, pystyykö yritys rajaamaan vahingot ja voidaanko kriittiset järjestelmät palauttaa ilman lunnaiden maksamista tai useiden päivien offline-tilaa.
Kyberturvavakuutuksen vakuutusprosessiin voi kuulua yksityiskohtainen kyselylomake, tarkentavat kysymykset, todisteiden pyynnöt, skannaukset tai puhelut IT-palveluntarjoajien kanssa. Pienemmille yrityksille tämä prosessi voi olla vaikea, varsinkin kun tietoturvaa ei ole määritelty muodollisiksi prosesseiksi.
Esimerkiksi ei riitä, että sanot yrityksesi käyttävän MFA:ta. Vakuuttaja voi haluta tietää, missä ja miten MFA on pakotettu, kattaako se ylläpitäjätilit ja mitkä kriittiset sovellukset, jos mitkään, on jätetty pois. Vahvempi vastaus on täsmällinen, dokumentoitu ja todisteilla tuettu.
Valvontatoimenpiteet, joita useimmat vakuuttajat odottavat
Kyberturvavakuutuksen vaatimukset vaihtelevat palveluntarjoajan, vakuutustyypin, yrityksen koon ja riskiprofiilin mukaan. Silti useimmat arvioinnit etsivät nyt samoja perusmerkkejä: pystyykö yrityksesi estämään yleiset hyökkäykset, rajaamaan vahingot, jos tili vaarantuu, toipumaan häiriöistä ja todistamaan, että valvontatoimenpiteet ovat todella käytössä. Tähän sisältyy usein se, miten yrityksesi käsittelee salasanoja. Vahva salasanakäytäntö ja turvallinen yrityssalasananhallinta ovat tehokkaimpia salasanojen hallinnan parhaita käytäntöjä, jotka voit ottaa käyttöön.
MFA
Tämä on yksi ensimmäisistä valvontatoimenpiteistä, joita vakuuttajat etsivät, koska monet korvausvaatimukset johtuvat kirjautumistietojen väärinkäytöstä. Sinulta saatetaan kysyä, onko 2FA käytössä sähköpostissa, VPN:issä, etäkäytössä, pilvialustoilla, salasananhallinnoissa ja muissa kriittisissä sovelluksissa.
Arviointi voi mennä pidemmälle ja kysyä, onko MFA pakotettu kaikille käyttäjille, vain tietyille järjestelmille vai vain ylläpitäjätileille, ja miten tämä pakotus käytännössä toimii.
MFA:n saatavuuden ja MFA:n pakollisuuden välillä on ero: vakuuttaja haluaa tietää, onko se pakotettu, onko se määritetty identiteetintarjoajan tasolla vai sovelluskohtaisesti, ja mitä tapahtuu, kun joku epäonnistuu tai ohittaa kehotteen.
Vahvempi vastaus osoittaa, missä MFA vaaditaan, mitkä sovellukset katetaan, miten se pakotetaan ja miten poikkeukset hyväksytään ja tarkistetaan.
Ylläpitäjien ja etuoikeutettujen tilien suojaus
Vakuuttajat haluavat myös ymmärtää, miten yrityksesi suojaa tilejä, joilla on korotetut käyttöoikeudet. Ylläpitäjätilit voivat muuttaa asetuksia, luoda käyttäjiä, käyttää arkaluontoisia tietoja, poistaa tietoturvavalvontoja käytöstä tai siirtyä järjestelmien välillä, mikä tekee niistä erityisen arvokkaita hyökkääjille.
Yrityksiltä voidaan kysyä, onko ylläpitäjän pääsy rajattu tiettyihin henkilöihin, tarkistetaanko se säännöllisesti, suojataanko se MFA:lla ja erotetaanko se tavallisista käyttäjätileistä. Todisteita voivat olla käyttöoikeuskäytännöt, käyttäjäluettelot, roolipohjaiset käyttöoikeudet ja lokit, jotka osoittavat etuoikeutettua toimintaa.
Varmuuskopiot ja palautumisvalmius
Varmuuskopiot ovat tärkeitä, koska vakuuttajat katsovat estämisen taakse. He haluavat myös tietää, kuinka nopeasti yrityksesi voi toipua. Jos kiristysohjelmahyökkäys, vahingossa tapahtuva poistaminen tai järjestelmävika vaikuttaa yritykseesi, vakuuttaja haluaa tietää, voiko se toipua maksamatta lunnaita tai menettämättä kriittistä dataa.
Tämä tarkoittaa yleensä säännöllisiä, luvattomalta pääsyltä suojattuja ja testattuja varmuuskopioita. Ei riitä, että sanot varmuuskopioiden olevan olemassa. Sinun on oltava valmis näyttämään, mitä varmuuskopioidaan, kuinka usein varmuuskopiot ajetaan, missä ne säilytetään, kuka niihin pääsee käsiksi ja milloin palauttaminen viimeksi testattiin.
Päätepisteiden ja sähköpostin tietoturva
Monet hyökkäykset alkavat työntekijän saapuneista tai laitteesta, joten vakuuttajat kysyvät usein päätepisteiden ja sähköpostin suojauksesta. Tähän voi sisältyä haittaohjelmien torjunta, päätepisteiden tunnistus, roskapostin suodatus, tietojenkalastelun torjunta ja valvontatoimenpiteet, jotka estävät epäilyttävät liitteet, linkit tai kirjautumisyritykset.
Erityisesti sähköpostin osalta vakuuttajat voivat myös kysyä, käyttääkö verkkotunnuksesi sähköpostin tunnistautumista (SPF, DKIM ja DMARC) estääkseen hyökkääjiä väärentämästä yrityksesi osoitetta.
Pienemmille yrityksille tämän voi hoitaa IT-palveluntarjoaja tai työkalujen sisäänrakennetut ominaisuudet, joita he jo käyttävät. Tärkeintä on pystyä selittämään, mikä suojaus on aktiivinen, mitkä laitteet ja tilit on katettu sekä miten hälytykset tai poikkeamat hoidetaan.
Päivitysten hallinta
Vanhentunut ohjelmisto antaa hyökkääjille helpomman reitin yritysjärjestelmiin. Tästä syystä vakuuttajat voivat kysyä, kuinka nopeasti yrityksesi asentaa tietoturvapäivitykset käyttöjärjestelmiin, selaimiin, sovelluksiin, palvelimiin ja muihin kriittisiin ohjelmistoihin.
He voivat myös kysyä, ovatko päivitykset automaattisia, manuaalisesti tarkistettuja vai ulkopuolisen IT-palveluntarjoajan hallinnoimia. Vahvempi vastaus selittää, kuka omistaa päivitysten hallinnan, miten päivityksiä seurataan ja miten yritys käsittelee kiireelliset haavoittuvuudet.
Henkilöstön tietoturvakoulutus
Vakuuttajat tietävät, että työntekijöihin kohdistetaan usein tietojenkalastelua, sosiaalista manipulointia, väärennettyjä laskuja, haitallisia linkkejä ja kirjautumistietojen varastamista.
Toistuva tietoturvatietoisuuskoulutus auttaa vähentämään altistumista, ja erityisesti tietojenkalastelutietoisuuskoulutus käsittelee hyökkäystyyppiä, joka on useimpien kirjautumistietoihin liittyvien korvausvaatimusten taustalla. Silti arviointi voi vaatia muutakin kuin yleisen lausunnon siitä, että työntekijät on koulutettu.
Yritysten on ehkä näytettävä, kuinka usein koulutusta järjestetään, mitä se kattaa, saavatko uudet työntekijät perehdytyksen ja tietävätkö työntekijät, miten epäilyttävästä toiminnasta ilmoitetaan. Käytännöllinen, toistuva koulutus on hyödyllisempää kuin kertaluonteinen istunto, johon kukaan ei palaa.
Poikkeamien hallinnan suunnittelu
Kirjallinen poikkeamien hallintasuunnitelma osoittaa, että yrityksesi tietää, mitä tehdä, kun jotain menee pieleen. Vakuuttajat voivat kysyä, onko yritykselläsi dokumentoitu prosessi tietoturvapoikkeamien tunnistamiseen, raportointiin, rajaamiseen ja eskaloimiseen.
Suunnitelmasta tulisi käydä selvästi ilmi, kuka on vastuussa, kehen tulee ottaa yhteyttä, miten todisteet säilytetään ja miten yritys viestii työntekijöiden, toimittajien, asiakkaiden, lakimiesten tai viranomaisten kanssa tarvittaessa. Yksinkertainenkin suunnitelma on parempi kuin improvisointiin turvautuminen kriisin aikana.
Ulkopuolisten tahojen pääsynvalvonta
Toimittajat, urakoitsijat, toimistot, IT-palveluntarjoajat ja ohjelmistokumppanit voivat aiheuttaa riskiä, kun heillä on pääsy yritysjärjestelmiin tai dataan. Vakuuttajat voivat kysyä, onko ulkopuolisten tahojen pääsy rajattu, tarkistettu ja poistettu, kun sitä ei enää tarvita.
He voivat myös etsiä MFA:ta toimittajatileiltä, erillisiä kirjautumistietoja ulkopuolisille käyttäjille ja selkeää prosessia pääsyn hyväksymiseen. Yrityksen tulisi pystyä näyttämään, kuka pääsee käsiksi, mihin he pääsevät käsiksi, miksi he tarvitsevat sitä ja milloin kyseinen pääsy viimeksi tarkistettiin.
Käytännöllinen kyberturvavakuutuksen tarkistuslista
Ennen kyberturvavakuutushakemuksen tai -uudistuksen aloittamista yrityksesi tulisi kerätä todisteita siitä, että sen tietoturvavalvonnat eivät ole vain suunniteltuja, vaan jo toimivia. Vakuuttajat eivät odota jokaiselta pienemmältä yritykseltä yritystason dokumentaatiota. Mutta he odottavat selkeitä vastauksia, johdonmukaisia käytäntöjä ja todisteita siitä, että yritys pystyy selittämään, miten pääsy, palautuminen, koulutus ja poikkeamien hallinta hoidetaan.
Tarkistuslista ei takaa kattavuutta tai alhaisempia vakuutusmaksuja, mutta se voi tehdä arvioinnistasi tehokkaamman, vähentää edestakaista viestintää ja auttaa yritystä astumaan vakuutusprosessiin vahvempien vastausten kanssa.
Kyberturvavakuutuksen valmiuden tarkistuslista
MFA
Valmisteltavat todisteet: Luettelo järjestelmistä, joissa MFA on pakotettu, mukaan lukien sähköposti, pilvisovellukset, etäkäyttö, ylläpitäjätilit ja mahdolliset dokumentoidut poikkeukset.
Salasanan hallinta
Valmisteltavat todisteet: Salasananhallintakäytäntö, käyttäjien käyttöönotto-tiedot, jaetun holvin rakenne, ylläpitäjän asetukset ja raportit, jotka osoittavat heikkoja, uudelleenkäytettyjä tai paljastuneita salasanoja.
Varmuuskopiot
Valmisteltavat todisteet: varmuuskopiointiaikataulu, tallennussijainti, käyttöoikeuksien valvonta, säilytyskäytäntö ja viimeisimmän palautustestin päivämäärä.
Häiriötilanteiden reagointisuunnitelma
Valmisteltavat todisteet: kirjallinen toimintasuunnitelma, eskalaatiokontaktit, sisäiset tehtävät, raportointivaiheet ja mahdollinen äskettäinen pöytäharjoitus tai suunnitelman tarkistus.
Koulutustiedot
Valmisteltavat todisteet: tietoturvakoulutusten päivämäärät, osallistumistiedot, perehdytysmateriaalit, tietojenkalastustietoisuuden sisältö ja raportointiohjeet työntekijöille.
Päivitysten hallinta
Valmisteltavat todisteet: päivityskäytäntö, päivityslokit, luettelo katetuista järjestelmistä, omistajuustiedot ja tiedot kiireellisten haavoittuvuuksien korjaamisesta.
Etuoikeutettujen käyttöoikeuksien tarkistus
Valmisteltavat todisteet: ylläpitäjien käyttäjäluettelo, roolipohjaiset käyttöoikeudet, käyttöoikeuksien tarkistustiedot, etuoikeutettujen tilien MFA-tila ja käytöstä poistamisen dokumentaatio.
Miksi yritysten on vaikea täyttää vaatimukset
Yrityksillä on usein vaikeuksia kyberturvavakuutuksen kanssa, koska hakemus paljastaa puutteita, joita päivittäinen toiminta voi peittää. Yrityksellä voi olla MFA käytössä joissakin järjestelmissä, varmuuskopiot kunnossa, IT-palveluntarjoaja valmiudessa ja työntekijöitä, jotka tuntevat tietojenkalastuksen perusteet. Vakuutuksenantajat etsivät kuitenkin johdonmukaisuutta koko yrityksestä: missä valvontakeinoja noudatetaan, kuka omistaa ne, kuinka usein ne tarkistetaan ja mikä näyttö tukee kutakin vastausta.
Tämä on erityisen vaikeaa pienemmille yrityksille, jotka ovat rakentaneet tietoturvaa vähitellen ilman virallista dokumentaatiota. Käyttöoikeuksia voidaan myöntää eri järjestelmien kautta, jaetut kirjautumistiedot voivat yhä olla laskentataulukoissa turvallisen tiimin salasananhallinnan sijaan, varmuuskopioita ei ehkä ole testattu äskettäin ja tietoturvakoulutus voi tapahtua epävirallisesti.
Mikään näistä ongelmista ei automaattisesti tarkoita, ettei yritystä voi vakuuttaa, mutta ne voivat aiheuttaa viivästyksiä, poissulkemisia, korkeampia vakuutusmaksuja tai lisäkysymyksiä vakuutuksen arvioinnin aikana.
Vahvimmat hakemukset eivät yleensä ole niitä, joissa on monimutkaisimmat tietoturvaohjelmat. Ne ovat niitä, jotka voivat selkeästi osoittaa, miten keskeiset valvontakeinot toimivat, missä jäljellä olevat puutteet ovat ja mitä yritys tekee niiden sulkemiseksi.
Miten pk-yritysten riski vaikuttaa vakuutuskeskusteluihin
Vakuutuksenantajat välittävät valvontakeinoista, koska pienet ja keskisuuret yritykset eivät ole hyökkääjille näkymättömiä. Protonin SMB Cybersecurity Report havaitsi, että joka neljäs pk-yritys joutui tietomurron kohteeksi viime vuonna, vaikka käytössä oli kyberturvatoimenpiteitä. Raportti viittaa myös inhimillisiin virheisiin, epäjohdonmukaisiin tietoturvakäytäntöihin ja datan hallinnan puutteeseen keskeisinä syinä.
Monet yritykset lähestyvät kyberturvavakuutushakemuksiaan tietoturvatoimenpiteet jo käytössä, mutta arviointi osoittaa usein, ovatko toimenpiteet johdonmukaisia, ajantasaisia ja helposti todistettavissa. MFA voi suojata joitakin tilejä, mutta ei toisia. Varmuuskopiot voivat toimia aikataulun mukaisesti, mutta niiden takana ei ole äskettäistä palautustestiä. Ylläpitäjien käyttöoikeudet ovat voineet laajentua yrityksen kasvaessa ilman selkeää kirjaa siitä, kuka niitä edelleen tarvitsee.
Operatiiviselle johtajalle tai yrityksen omistajalle tällainen tarkastelu voi olla hyödyllistä jo ennen kuin vakuutus myönnetään. Se muuttaa arjen oletukset konkreettiseksi näytöksi: käyttöoikeusluettelot, varmuuskopiotiedot, MFA-kattavuus, salasanakäytännöt, dokumentoidut käytännöt ja tunnetut puutteet. Sen sijaan, että luotettaisiin siihen, mitä ihmiset uskovat tapahtuvan, yritys saa selkeämmän kuvan siitä, miten sen valvontakeinot todella toimivat.
Tällä tavoin nähtynä arviointi ei ole vain este vakuutusturvan saamiselle. Se voi auttaa yritystä tunnistamaan heikkoudet, joilla olisi eniten merkitystä tietomurron aikana, ja korjaamaan ne ennen kuin niistä tulee vaikeampia, kalliimpia tai häiritsevämpiä korjata.
Miten Proton Pass tukee kyberturvavakuutuksen valmiutta
Kyberturvavakuutuksen arvioinnit tarkastelevat yritystä kokonaisuutena, mukaan lukien varmuuskopiot, paikkaukset, poikkeamien hallinta, työntekijöiden koulutus, verkkoturvallisuus ja toimittajariski. Salasananhallinta ei yksinään voi täyttää kaikkia vaatimuksia, mutta se voi vahvistaa yhtä aluetta, jota vakuutuksenantajat tutkivat tarkasti: miten yrityksesi hoitaa kirjautumistietojen hallintaa ja käyttöoikeuksia.
Yritysten salasananhallinta, kuten Proton Pass for Business, auttaa tiimejä korvaamaan turvattomat salasanatottumukset hallitummalla järjestelmällä. Työntekijät voivat luoda ja tallentaa ainutlaatuisia salasanoja päästä päähän -salattuihin salasanaholveihin, käyttää automaattitäyttöä uudelleenkäytön vähentämiseksi, hallita pääsyavaimia ja jakaa kirjautumistietoja turvallisesti turvautumatta sähköpostiin, laskentataulukoihin, keskusteluketjuihin tai selaimeen tallennettuihin salasanoihin.
Sisäänrakennettu kaksivaiheinen tunnistautuminen auttaa myös tiimejä pitämään salasanat ja vahvistuskoodit yhdessä turvallisessa työnkulussa sen sijaan, että käyttöoikeudet hajautetaan eri sovelluksiin ja henkilökohtaisiin laitteisiin, mikä lisää kitkaa ja työntää ihmisiä oikoteille.
IT-tiimien salasananhallintana Proton Pass lisää näkyvyyttä ja hallintaa, joita tarvitaan näiden käytäntöjen täytäntöönpanon helpottamiseksi. Tiimit voivat määrittää salasanavaatimukset, panna täytäntöön 2FA-käytäntöjä, hallita holvin käyttöoikeuksia, määrittää roolipohjaisia käyttöoikeuksia, provisioida käyttäjiä SCIM:llä, tukea kertakirjautumista (SSO) ja käyttää lokeja vaatimustenmukaisuuden tai poikkeamien hallinnan tarkistuksiin. Nämä ominaisuudet voivat tukea yleisiä vakuutuksen arviointikysymyksiä, jotka koskevat MFA:ta, salasananhallintaa, jaettuja kirjautumistietoja, etuoikeutettua käyttöä, perehdytystä, käytöstä poistamista ja käyttöoikeuksien tarkistuksia.
Laajempi kyberturvavakuutushakemus tarvitsee edelleen dokumentaatiota muusta tietoturvaohjelmasta. Mutta arvioinnin kirjautumistietoja koskevassa osassa Proton Pass voi auttaa yritystäsi antamaan selkeämmän vastauksen: kenellä on käyttöoikeus, miten kirjautumistiedot on suojattu, miten jakamista valvotaan ja mitä näyttöä on saatavilla, kun vakuutuksen arvioija kysyy.
Rastita kaikki kyberturvavakuutuksen kohdat yritysten salasananhallinnalla.
