Permohonan asuransi siber dulu terasa lebih seperti urusan dokumen. Kini, prosesnya jauh lebih mirip tinjauan keamanan. Pemilik bisnis atau COO yang memperbarui polis dapat ditanya tentang autentikasi multifaktor (MFA), cadangan, kontrol akses, pelatihan staf, penambalan, respons insiden, dan pengelolaan kata sandi bahkan sebelum perusahaan asuransi mengonfirmasi persyaratan.
Underwriter ingin mengetahui kontrol apa yang diterapkan, di mana kontrol itu berlaku, seberapa konsisten kontrol tersebut ditegakkan, dan apakah bisnis dapat membuktikannya. Sebab, asuransi siber tidak dapat dijadikan pengganti keamanan siber. Asuransi ini berdampingan dengan kontrol keamanan, perencanaan insiden, proses pemulihan, dan manajemen risiko sebagai bagian dari pengelolaan risiko siber.
Bagi bisnis yang bersiap mengajukan atau memperbarui polis, berikut hal yang perlu Anda ketahui tentang apa yang ingin dilihat perusahaan asuransi sebelum mereka nyaman menanggung risiko.
Apa yang benar-benar diperiksa underwriter asuransi siber
Kontrol yang paling diharapkan perusahaan asuransi
Daftar periksa asuransi siber yang praktis
Mengapa bisnis sulit memenuhi syarat
Bagaimana risiko UKM memengaruhi percakapan asuransi
Bagaimana Proton Pass mendukung kesiapan asuransi siber
Apa yang benar-benar diperiksa underwriter asuransi siber
Penilaian asuransi siber dirancang untuk memahami seberapa besar kemungkinan bisnis mengalami insiden siber, seberapa parah insiden tersebut, dan seberapa siap bisnis tersebut untuk pulih.
Underwriter tidak hanya melihat apa yang dilakukan perusahaan atau berapa besar pendapatan yang dihasilkan. Mereka juga ingin memahami bagaimana perusahaan menangani akses, kredensial, data, sistem, pemasok, dan kelangsungan usaha. Perusahaan dengan kontrol admin yang lemah, tanpa penegakan MFA, dan cadangan yang belum diuji memiliki profil risiko yang berbeda dari perusahaan yang dapat menunjukkan kebijakan yang jelas, kontrol yang ditegakkan, dan bukti pemulihan.
Itulah sebabnya persyaratan asuransi siber sering berfokus pada keamanan operasional. Perusahaan asuransi ingin mengetahui apakah penyerang dapat dengan mudah masuk, apakah bisnis dapat membatasi kerusakan, dan apakah sistem penting dapat dipulihkan tanpa membayar tebusan atau tetap luring selama berhari-hari.
Penilaian risiko asuransi siber dapat melibatkan kuesioner terperinci, pertanyaan lanjutan, permintaan bukti, pemindaian, atau panggilan dengan penyedia TI. Bagi bisnis yang lebih kecil, proses ini bisa sulit, terutama jika keamanan belum memiliki proses formal.
Misalnya, tidak cukup hanya mengatakan bahwa perusahaan Anda menggunakan MFA. Perusahaan asuransi mungkin ingin mengetahui di mana dan bagaimana MFA ditegakkan, apakah MFA mencakup akun admin, dan aplikasi penting mana, jika ada, yang dikecualikan. Jawaban yang lebih kuat bersifat spesifik, terdokumentasi, dan didukung bukti.
Kontrol yang paling diharapkan perusahaan asuransi
Persyaratan asuransi siber berbeda-beda menurut penyedia, jenis polis, ukuran perusahaan, dan profil risiko. Meski begitu, sebagian besar penilaian kini mencari tanda dasar yang sama: apakah bisnis Anda dapat mencegah serangan umum, membatasi kerusakan jika akun terkompromi, pulih dari gangguan, dan membuktikan bahwa kontrol benar-benar diterapkan. Ini sering mencakup bagaimana bisnis Anda menangani kata sandi. Kebijakan kata sandi yang kuat dan pengelola kata sandi bisnis yang aman termasuk praktik terbaik pengelolaan kata sandi yang paling efektif yang dapat Anda terapkan.
MFA
Ini adalah salah satu kontrol pertama yang dicari perusahaan asuransi karena banyak klaim berasal dari penyalahgunaan kredensial. Anda mungkin ditanya apakah 2FA diaktifkan untuk email, VPN, akses jarak jauh, platform cloud, pengelola kata sandi, dan aplikasi penting lainnya.
Penilaian juga dapat berlanjut lebih jauh, menanyakan apakah MFA ditegakkan untuk semua pengguna, hanya untuk sistem tertentu, atau hanya untuk akun admin, dan bagaimana penegakan itu sebenarnya bekerja.
Ada perbedaan antara MFA tersedia dan MFA bersifat wajib: underwriter ingin mengetahui apakah MFA ditegakkan, apakah dikonfigurasi di penyedia identitas atau per aplikasi, dan apa yang terjadi ketika seseorang gagal atau melewati perintah verifikasi.
Jawaban yang lebih kuat menunjukkan di mana MFA diwajibkan, aplikasi mana yang tercakup, bagaimana MFA ditegakkan, dan bagaimana pengecualian disetujui dan ditinjau.
Perlindungan akun admin dan akun istimewa
Perusahaan asuransi juga ingin memahami bagaimana bisnis Anda melindungi akun dengan akses yang ditingkatkan. Akun admin dapat mengubah pengaturan, membuat pengguna, mengakses data sensitif, menonaktifkan kontrol keamanan, atau berpindah antar sistem, sehingga akun tersebut sangat bernilai bagi penyerang.
Bisnis mungkin ditanya apakah akses admin dibatasi untuk orang tertentu, ditinjau secara berkala, dilindungi dengan MFA, dan dipisahkan dari akun pengguna sehari-hari. Bukti dapat mencakup kebijakan akses, daftar pengguna, izin berbasis peran, dan log yang menunjukkan aktivitas istimewa.
Kesiapan cadangan dan pemulihan
Cadangan penting karena perusahaan asuransi melihat lebih dari sekadar pencegahan. Mereka juga ingin mengetahui seberapa cepat bisnis Anda dapat pulih. Jika serangan ransomware, penghapusan tidak sengaja, atau kegagalan sistem memengaruhi bisnis Anda, perusahaan asuransi ingin mengetahui apakah bisnis dapat pulih tanpa membayar tebusan atau kehilangan data penting.
Biasanya ini berarti memiliki cadangan yang rutin, terlindung dari akses tidak sah, dan telah diuji. Tidak cukup hanya mengatakan bahwa cadangan tersedia. Anda harus siap menunjukkan apa yang dicadangkan, seberapa sering cadangan dijalankan, di mana cadangan disimpan, siapa yang dapat mengaksesnya, dan kapan pemulihan terakhir diuji.
Keamanan endpoint dan email
Banyak serangan dimulai melalui kotak masuk atau perangkat karyawan, sehingga perusahaan asuransi sering menanyakan tentang perlindungan endpoint dan email. Ini dapat mencakup anti-malware, deteksi endpoint, pemfilteran spam, perlindungan phishing, dan kontrol yang memblokir lampiran, tautan, atau upaya masuk yang mencurigakan.
Khusus untuk email, perusahaan asuransi juga mungkin menanyakan apakah domain Anda menggunakan autentikasi email (SPF, DKIM, dan DMARC) untuk mencegah penyerang memalsukan alamat perusahaan Anda.
Bagi bisnis yang lebih kecil, hal ini mungkin ditangani oleh penyedia TI atau melalui fitur bawaan dalam alat yang sudah mereka gunakan. Yang penting adalah dapat menjelaskan perlindungan apa yang aktif, perangkat dan akun mana yang tercakup, serta bagaimana peringatan atau insiden ditangani.
Manajemen patch
Perangkat lunak yang usang memberi penyerang jalur yang lebih mudah masuk ke sistem bisnis. Karena itu, perusahaan asuransi mungkin menanyakan seberapa cepat bisnis Anda menerapkan pembaruan keamanan pada sistem operasi, peramban, aplikasi, server, dan perangkat lunak penting lainnya.
Mereka juga mungkin menanyakan apakah pembaruan dilakukan secara otomatis, ditinjau secara manual, atau dikelola oleh penyedia TI eksternal. Jawaban yang lebih kuat menjelaskan siapa yang bertanggung jawab atas manajemen patch, bagaimana pembaruan dilacak, dan bagaimana bisnis menangani kerentanan mendesak.
Pelatihan keamanan karyawan
Perusahaan asuransi tahu bahwa karyawan sering menjadi sasaran melalui phishing, rekayasa sosial, faktur palsu, tautan berbahaya, dan pencurian kredensial.
Pelatihan kesadaran keamanan yang berulang membantu mengurangi paparan tersebut, dan pelatihan kesadaran phishing secara khusus menangani jenis serangan di balik sebagian besar klaim terkait kredensial. Meski begitu, penilaian mungkin meminta lebih dari sekadar pernyataan umum bahwa karyawan telah dilatih.
Bisnis mungkin perlu menunjukkan seberapa sering pelatihan dilakukan, apa yang dicakup, apakah karyawan baru menerima orientasi, dan apakah staf tahu cara melaporkan aktivitas mencurigakan. Pelatihan praktis yang berulang lebih berguna daripada sesi sekali jalan yang tidak pernah ditinjau kembali.
Perencanaan respons insiden
Rencana respons insiden tertulis menunjukkan bahwa bisnis Anda tahu apa yang harus dilakukan ketika terjadi masalah. Perusahaan asuransi mungkin menanyakan apakah bisnis Anda memiliki proses terdokumentasi untuk mengidentifikasi, melaporkan, menahan, dan mengeskalasi insiden keamanan.
Rencana tersebut harus memperjelas siapa yang bertanggung jawab, siapa yang perlu dihubungi, bagaimana bukti disimpan, dan bagaimana perusahaan berkomunikasi dengan karyawan, vendor, pelanggan, penasihat hukum, atau regulator saat diperlukan. Bahkan rencana sederhana lebih baik daripada mengandalkan improvisasi saat krisis.
Kontrol akses pihak ketiga
Vendor, kontraktor, agensi, penyedia TI, dan mitra perangkat lunak dapat menimbulkan risiko ketika mereka memiliki akses ke sistem atau data bisnis. Perusahaan asuransi mungkin menanyakan apakah akses pihak ketiga dibatasi, ditinjau, dan dihapus ketika sudah tidak diperlukan lagi.
Mereka juga mungkin mencari MFA pada akun vendor, kredensial terpisah untuk pengguna eksternal, dan proses yang jelas untuk menyetujui akses. Bisnis harus dapat menunjukkan siapa yang memiliki akses, apa yang dapat mereka akses, mengapa mereka membutuhkannya, dan kapan akses tersebut terakhir ditinjau.
Daftar periksa asuransi siber yang praktis
Sebelum memulai permohonan atau pembaruan asuransi siber, bisnis Anda harus mengumpulkan bukti bahwa kontrol keamanannya tidak hanya direncanakan, tetapi sudah berjalan. Underwriter tidak mengharapkan setiap bisnis yang lebih kecil memiliki dokumentasi tingkat perusahaan. Namun, mereka mengharapkan jawaban yang jelas, praktik yang konsisten, dan bukti bahwa perusahaan dapat menjelaskan bagaimana akses, pemulihan, pelatihan, dan respons insiden ditangani.
Daftar periksa tidak akan menjamin pertanggungan atau menurunkan premi, tetapi dapat membuat penilaian Anda lebih efektif, mengurangi komunikasi bolak-balik, dan membantu bisnis memasuki proses underwriting dengan jawaban yang lebih kuat.
Daftar periksa kesiapan asuransi siber
MFA
Bukti yang perlu disiapkan: Daftar sistem tempat MFA ditegakkan, termasuk email, aplikasi cloud, akses jarak jauh, akun admin, dan pengecualian yang terdokumentasi.
Pengelolaan kata sandi
Bukti yang perlu disiapkan: Kebijakan pengelola kata sandi, catatan adopsi pengguna, struktur brankas bersama, pengaturan admin, dan laporan yang menunjukkan kata sandi lemah, digunakan ulang, atau terekspos.
Cadangan
Bukti yang perlu disiapkan: jadwal cadangan, lokasi penyimpanan, kontrol akses, kebijakan retensi, dan tanggal uji pemulihan terbaru
Paket tanggapan insiden
Bukti yang perlu disiapkan: rencana respons tertulis, kontak eskalasi, peran internal, langkah pelaporan, dan latihan tabletop atau tinjauan rencana terbaru
Catatan pelatihan
Bukti yang perlu disiapkan: tanggal pelatihan keamanan, catatan kehadiran, materi orientasi, konten kesadaran phishing, dan petunjuk pelaporan bagi karyawan
Manajemen patch
Bukti yang perlu disiapkan: kebijakan patch, log pembaruan, daftar sistem yang tercakup, rincian kepemilikan, dan catatan remediasi kerentanan mendesak
Tinjauan akses istimewa
Bukti yang perlu disiapkan: daftar pengguna admin, izin berbasis peran, catatan tinjauan akses, status MFA untuk akun istimewa, dan dokumentasi proses keluar karyawan
Mengapa bisnis sulit memenuhi syarat
Bisnis sering kesulitan dengan asuransi siber karena permohonan mengungkap celah yang dapat tersembunyi dalam operasi sehari-hari. Sebuah perusahaan mungkin sudah menerapkan MFA di sebagian sistem, memiliki cadangan, penyedia TI yang siap dihubungi, dan karyawan yang memahami dasar-dasar phishing. Namun, perusahaan asuransi mencari konsistensi di seluruh bisnis: di mana kontrol diterapkan, siapa yang bertanggung jawab, seberapa sering ditinjau, dan bukti apa yang mendukung setiap jawaban.
Ini sangat sulit bagi bisnis yang lebih kecil yang membangun keamanan secara bertahap, tanpa dokumentasi formal. Akses mungkin diberikan melalui sistem yang berbeda, kredensial bersama mungkin masih tersimpan di spreadsheet alih-alih di pengelola kata sandi tim yang aman, cadangan mungkin belum diuji baru-baru ini, dan pelatihan keamanan mungkin berlangsung secara informal.
Tidak satu pun dari isu ini secara otomatis berarti bisnis tidak dapat diasuransikan, tetapi isu tersebut dapat menimbulkan keterlambatan, pengecualian, premi yang lebih tinggi, atau pertanyaan lanjutan selama proses penilaian risiko.
Permohonan yang paling kuat biasanya bukan yang memiliki program keamanan paling kompleks. Justru yang dapat menunjukkan dengan jelas bagaimana kontrol inti bekerja, di mana celah yang tersisa, dan apa yang dilakukan bisnis untuk menutupnya.
Bagaimana risiko UKM memengaruhi percakapan asuransi
Perusahaan asuransi peduli pada kontrol karena usaha kecil dan menengah tidak luput dari perhatian penyerang. Laporan Keamanan Siber UKM dari Proton menemukan bahwa satu dari empat UKM mengalami pembobolan tahun lalu meskipun telah menerapkan langkah-langkah keamanan siber. Laporan tersebut juga menunjukkan kesalahan manusia, kebijakan keamanan yang tidak konsisten, dan kurangnya kontrol data sebagai penyebab utama.
Banyak bisnis mengajukan permohonan asuransi siber dengan langkah-langkah keamanan yang sudah ada, tetapi penilaian sering kali menunjukkan apakah langkah tersebut konsisten, terkini, dan mudah dibuktikan. MFA mungkin melindungi sebagian akun tetapi tidak yang lain. Cadangan mungkin berjalan sesuai jadwal tetapi tidak memiliki uji pemulihan terbaru. Akses admin mungkin telah meluas seiring pertumbuhan perusahaan, tanpa catatan yang jelas tentang siapa yang masih membutuhkannya.
Bagi COO atau pemilik bisnis, pemeriksaan tersebut dapat berguna bahkan sebelum polis diterbitkan. Hal ini mengubah asumsi sehari-hari menjadi bukti spesifik: daftar akses, catatan cadangan, cakupan MFA, praktik kata sandi, kebijakan yang didokumentasikan, dan celah yang diketahui. Alih-alih mengandalkan apa yang diyakini orang sedang terjadi, bisnis mendapatkan gambaran yang lebih jelas tentang bagaimana kontrolnya benar-benar bekerja.
Jika dilihat dengan cara ini, penilaian bukan hanya hambatan untuk mendapatkan pertanggungan. Penilaian dapat membantu bisnis mengidentifikasi kelemahan yang paling penting selama pembobolan, dan memperbaikinya sebelum menjadi lebih sulit, lebih mahal, atau lebih mengganggu untuk ditangani.
Bagaimana Proton Pass mendukung kesiapan asuransi siber
Penilaian asuransi siber melihat bisnis secara keseluruhan, termasuk cadangan, pembaruan patch, respons insiden, pelatihan karyawan, keamanan jaringan, dan risiko vendor. Pengelola kata sandi tidak dapat memenuhi setiap persyaratan sendirian, tetapi dapat memperkuat salah satu area yang diperiksa secara saksama oleh perusahaan asuransi: bagaimana bisnis Anda menangani pengelolaan kredensial dan akses.
Pengelola kata sandi bisnis seperti Proton Pass for Business membantu tim mengganti kebiasaan kata sandi yang tidak aman dengan sistem yang lebih terkendali. Karyawan dapat membuat dan menyimpan kata sandi unik di brankas kata sandi yang terenkripsi secara end-to-end, menggunakan isi otomatis untuk mengurangi penggunaan ulang, mengelola kunci sandi, dan membagikan kredensial secara aman tanpa mengandalkan email, spreadsheet, utas chat, atau kata sandi yang disimpan peramban.
Autentikasi dua faktor bawaan juga membantu tim menyimpan kata sandi dan kode verifikasi dalam satu alur kerja yang aman, alih-alih menyebarkan akses ke berbagai aplikasi dan perangkat pribadi, yang menambah hambatan dan mendorong orang mencari jalan pintas.
Sebagai pengelola kata sandi untuk tim TI, Proton Pass menambahkan visibilitas dan kontrol yang diperlukan untuk mempermudah penerapan praktik tersebut. Tim dapat mengonfigurasi persyaratan kata sandi, menerapkan kebijakan 2FA, mengelola akses brankas, menetapkan izin berbasis peran, menyediakan pengguna dengan SCIM, mendukung single sign-on (SSO), dan menggunakan log untuk kepatuhan atau tinjauan respons insiden. Fitur-fitur ini dapat mendukung pertanyaan umum dalam proses penilaian risiko seputar MFA, pengelolaan kata sandi, kredensial bersama, akses istimewa, orientasi karyawan baru, proses keluar karyawan, dan tinjauan akses.
Permohonan asuransi siber yang lebih luas tetap memerlukan dokumentasi di seluruh bagian program keamanan lainnya. Namun, untuk bagian kredensial dalam penilaian, Proton Pass dapat membantu bisnis Anda memberikan jawaban yang lebih jelas: siapa yang memiliki akses, bagaimana kredensial dilindungi, bagaimana berbagi dikendalikan, dan bukti apa yang tersedia saat penilai asuransi bertanya.
Penuhi semua persyaratan asuransi siber dengan pengelola kata sandi bisnis.
