Bisnis kecil terus-menerus ditanya tentang asuransi siber oleh klien, investor, tim pengadaan, pemberi pinjaman, dan mitra yang ingin mengetahui apa yang terjadi jika pembobolan, insiden ransomware, atau pengambilalihan akun mengganggu bisnis.
Bagi pendiri dan COO, asuransi siber jarang sekali hanya berupa pembelian ya-atau-tidak. Perusahaan harus terlebih dahulu memahami apa yang dibeli, apa yang diharapkan oleh pihak penanggung, dan bagaimana keamanan kredensial dapat memengaruhi cakupan jika klaim terjadi.
Panduan ini menjelaskan cakupan asuransi siber, hal yang mungkin dikecualikan, kontrol keamanan apa yang sering dicari oleh penanggung, dan bagaimana manajemen akses dan kredensial yang lebih baik dapat mendukung kelayakan asuransi. Harap dicatat bahwa ini bukan nasihat keuangan.
Apa saja yang biasanya dicakup oleh asuransi tanggung jawab siber?
Hal yang mungkin tidak dicakup oleh asuransi siber
Hal yang harus diperkirakan penanggung sebelum menerbitkan kebijakan
Risiko kelalaian dalam keamanan kredensial
Mengapa postur keamanan yang baik dapat memengaruhi biaya asuransi siber
Berapa biaya asuransi siber bisnis?
Konteks asuransi siber untuk bisnis kecil
Cara bersiap sebelum mengajukan asuransi siber
Bagaimana Proton Pass for Business mendukung kelayakan asuransi
Asuransi siber berfungsi paling baik dengan keamanan yang kuat
Apa itu asuransi siber?
Asuransi siber adalah kebijakan yang membantu bisnis mengelola dampak keuangan dari insiden siber. Asuransi ini dapat mendukung pemulihan setelah peristiwa seperti ransomware, akses tidak sah, pembobolan data, kompromi email bisnis, malware, insiden privasi, atau gangguan layanan digital.
UK National Cyber Security Centre(jendela baru) menyatakan bahwa asuransi siber dapat membantu organisasi pulih dari insiden siber, tetapi juga menekankan bahwa asuransi bukanlah pengganti keamanan siber yang baik.
Asuransi siber dapat membantu membayar respons, pemulihan, dan dukungan spesialis setelah insiden, tetapi tidak mencegah peristiwa itu sendiri. Jika penyerang menggunakan kata sandi yang dicuri, mengambil alih akun, atau mengakses data digital pelanggan, bisnis tetap harus membatasi kerusakan, membuktikan kontrol apa yang diterapkan, dan memulihkan operasi. Menerapkan kontrol keamanan yang lebih kuat sebelum membeli kebijakan akan memudahkan untuk menunjukkan bahwa bisnis telah mengambil tindakan pencegahan yang wajar.
Apa saja yang biasanya dicakup oleh asuransi tanggung jawab siber?
Kebijakan asuransi siber bervariasi, sehingga cakupan bergantung pada penanggung, pialang, rumusan kebijakan, batasan, dan pengecualian. Namun, sebagian besar kebijakan dibuat berdasarkan dua kategori besar: biaya pihak pertama dan tanggung jawab pihak ketiga.
Biaya pihak pertama
Cakupan pihak pertama membantu mengatasi biaya yang dihadapi bisnis secara langsung setelah insiden siber. Association of British Insurers(jendela baru) menggambarkan asuransi siber sebagai perlindungan yang dapat membantu bisnis dengan biaya serangan siber dan mendukung deteksi, respons, serta pemulihan.
Secara praktis, ini adalah bagian dari kebijakan yang dapat membantu perusahaan membayar pekerjaan yang diperlukan untuk memahami apa yang terjadi, membatasi insiden, memulihkan sistem, dan menjaga bisnis tetap berjalan.
Tergantung pada kebijakannya, biaya pihak pertama dapat mencakup:
- Respons insiden dan investigasi forensik
- Saran hukum dan dukungan notifikasi pembobolan
- Pemulihan sistem dan pemulihan data
- Kerugian gangguan bisnis
- Negosiasi ransomware dan dukungan pembayaran, jika diizinkan secara hukum dan dicakup
- Komunikasi krisis
- Dukungan pelanggan atau monitoring kredit setelah pembobolan
- Biaya yang terkait dengan pemulihan aset digital
Bagi bisnis kecil, biaya-biaya ini menimbulkan tekanan langsung. Insiden ransomware atau pengambilalihan akun dapat menunda pekerjaan klien, menghentikan pembayaran, mengganggu operasi, dan memaksa pengeluaran mendesak bahkan sebelum dampak penuhnya jelas.
Tanggung jawab pihak ketiga
Cakupan pihak ketiga membantu ketika orang atau organisasi lain mengajukan klaim terhadap bisnis setelah insiden terjadi. Ini dapat mencakup pelanggan, mitra, pemasok, atau pihak terdampak lainnya.
Tergantung pada kebijakan, hal ini dapat mencakup biaya pembelaan hukum, penyelesaian, klaim privasi, klaim kontraktual, dan biaya investigasi tertentu. Hal ini sangat relevan untuk bisnis yang mengelola catatan pelanggan, data karyawan, informasi pembayaran, dokumen keuangan, file hukum, pekerjaan klien yang bersifat rahasia, atau informasi komersial yang sensitif.
Hal yang mungkin tidak dicakup oleh asuransi siber
Asuransi tanggung jawab siber bukanlah perlindungan tanpa batas. Setiap kebijakan memiliki ketentuan, pengecualian, dan kewajiban yang harus dipahami bisnis sebelum membeli.
Area umum yang perlu diperiksa meliputi:
Isu yang sudah ada sebelumnya: Kebijakan mungkin tidak mencakup insiden yang terkait dengan kerentanan yang diketahui, kompromi sebelumnya, atau kegagalan yang sudah ada sebelum cakupan dimulai.
Kegagalan untuk mempertahankan kontrol: Jika aplikasi menyatakan bahwa autentikasi dua faktor (2FA), cadangan cloud, atau tinjauan akses telah diterapkan, tetapi kontrol tersebut tidak benar-benar dipertahankan, cakupan dapat disengketakan.
Kelalaian atau salah saji: Klaim dapat menjadi lebih sulit jika bisnis menyalahartikan postur keamanannya atau mengabaikan risiko kredensial yang jelas.
Pengecualian perang dan serangan yang didukung negara: Beberapa kebijakan mungkin membatasi cakupan untuk serangan siber yang didukung negara, terkait perang, atau sistemik. Tinjau bagian ini dengan cermat bersama pialang alih-alih mengasumsikan bahwa setiap insiden siber dicakup.
Denda dan penalti: Beberapa kebijakan mengecualikan denda pidana, perdata, atau regulasi, penalti, atau sanksi yang diwajibkan secara hukum untuk dibayar oleh bisnis.
Keamanan kredensial dapat menjadi bagian dari percakapan cakupan setelah pembobolan. Jika insiden dimulai dengan kata sandi yang digunakan kembali, kredensial admin yang dibagikan, atau akun yang seharusnya dihapus beberapa bulan sebelumnya, isunya bukan hanya teknis. Hal ini dapat menimbulkan pertanyaan tentang apakah bisnis memiliki kontrol akses yang wajar.
Hal yang harus diperkirakan penanggung sebelum menerbitkan kebijakan
Penjaminan emisi asuransi siber telah menjadi lebih berfokus pada keamanan. NCSC menyarankan bisnis untuk memahami standar keamanan siber apa yang telah diterapkan, kontrol apa yang perlu ditingkatkan, dan apakah bisnis dapat menjawab pertanyaan penanggung secara akurat sebelum membeli cakupan.
Lebih aman untuk berbicara tentang bukti kontrol keamanan daripada mengatakan bahwa setiap penanggung memerlukan produk tertentu. Persyaratan bervariasi menurut penanggung, ukuran bisnis, sektor, pendapatan, sensitivitas data, dan riwayat klaim.
Pertanyaan penjaminan emisi yang umum dapat mencakup apakah:
- 2FA diaktifkan untuk email, akses jarak jauh, akun admin, alat bisnis, dan layanan cloud.
- Cadangan penyimpanan cloud bersifat rutin, terlindungi, dan diuji.
- Bisnis memiliki rencana penanganan insiden.
- Karyawan menerima pelatihan kesadaran keamanan.
- Perlindungan endpoint telah diterapkan.
- Akses ditinjau dan dihapus saat orang keluar.
- Akun dengan hak istimewa dikontrol.
- Kata sandi bersifat unik, kuat, dan dikelola melalui kebijakan kredensial yang jelas.
Penanggung mungkin tidak secara khusus mewajibkan pengelola kata sandi di setiap aplikasi, tetapi mereka sering mencari bukti kematangan manajemen kredensial dan kontrol akses: kebijakan kata sandi dan pembagian yang jelas, penegakan 2FA, tinjauan akses, akun dengan hak istimewa yang dilindungi, dan pengurangan penggunaan kembali kata sandi.
Pengelola kata sandi bisnis mendukung bukti tersebut dengan memberi karyawan cara yang aman untuk membuat, menyimpan, mengisi otomatis, dan membagikan kredensial. Alat ini juga memberikan visibilitas yang lebih baik kepada administrator mengenai praktik akses, penegakan kebijakan, kesiapan 2FA, dan kontrol akses dengan hak istimewa dibandingkan kata sandi yang tersimpan di browser, spreadsheet, atau pesan obrolan yang tersebar.
Risiko kelalaian dalam keamanan kredensial
Salah satu risiko terbesar bagi bisnis kecil adalah mengasumsikan bahwa asuransi siber akan mencakup insiden apa pun hanya karena ada kebijakan. Dalam praktiknya, cakupan dapat bergantung pada apakah bisnis memenuhi ketentuan kebijakan dan apakah pernyataan keamanannya akurat.
Keamanan kredensial adalah titik lemah yang umum. Perusahaan mungkin mengatakan bahwa mereka menerapkan kontrol akses yang kuat, tetapi karyawan mungkin masih membagikan kata sandi melalui obrolan, menggunakan kembali kredensial yang sama di berbagai sistem, menyimpan kata sandi admin di spreadsheet, atau gagal menggunakan 2FA secara konsisten pada akun penting.
Kesenjangan tersebut dapat terlihat jelas setelah terjadi insiden. Penanggung mungkin meninjau bagaimana pembobolan terjadi, apakah kontrol yang diwajibkan telah diterapkan, dan apakah bisnis mengikuti prosedurnya sendiri. Klaim yang terkait dengan risiko kredensial yang diabaikan mungkin lebih sulit untuk dipertahankan daripada klaim di mana bisnis dapat menunjukkan bahwa mereka memiliki kontrol, pelatihan, dan manajemen akses yang wajar.
Pengelola kata sandi bisnis seperti Proton Pass for Business membantu mengurangi risiko tersebut dengan membuat kontrol kredensial lebih mudah diterapkan dalam pekerjaan sehari-hari. Alat ini mendukung kata sandi yang unik, pembagian yang aman, onboarding dan offboarding yang aman, serta manajemen akses yang lebih jelas. Hal ini membantu memastikan bahwa karyawan mengelola kredensial sesuai dengan kebijakan keamanan yang dinyatakan oleh bisnis.
Mengapa postur keamanan yang baik dapat memengaruhi biaya asuransi siber
Biaya asuransi siber bisnis bergantung pada banyak faktor, termasuk ukuran perusahaan, pendapatan, sektor, sensitivitas data, riwayat klaim, batasan cakupan, deduktibel, dan kematangan keamanan. Tidak ada fitur keamanan yang dapat menjamin premi yang lebih rendah. Namun, kontrol yang lebih baik dapat membuat bisnis terlihat kurang berisiko bagi penanggung.
Secara praktis, postur keamanan memengaruhi tiga pertanyaan keuangan:
Apakah bisnis bisa mendapatkan cakupan? Beberapa penanggung mungkin menolak pemohon yang berisiko lebih tinggi atau membatasi ketentuan jika kontrol dasar tidak ada.
Berapa biaya kebijakannya? Baseline keamanan yang lebih kuat dapat mendukung penetapan harga yang lebih baik, meskipun premium bergantung pada penanggung dan profil risiko.
Apa yang terjadi selama klaim? Dokumentasi dan kontrol yang lebih baik dapat mempermudah untuk menunjukkan apa yang telah diterapkan sebelum insiden.
Pasar asuransi siber Inggris menunjukkan mengapa penanggung memeriksa kontrol dengan lebih cermat. ABI(jendela baru) melaporkan bahwa penanggung di Inggris membayar £197 juta dalam klaim siber pada tahun 2024, peningkatan sebesar 230% dari tahun ke tahun. Malware dan ransomware menyumbang 51% dari klaim, naik dari 32% pada tahun 2023.
Bagi pendiri atau COO, ROI dari keamanan melampaui pencegahan pembobolan. Hal ini juga terlihat dalam kelayakan asuransi, aplikasi yang lebih bersih, lebih sedikit pengecualian, pertahanan klaim yang lebih kuat, dan lebih sedikit gangguan operasional jika terjadi sesuatu.
Berapa biaya asuransi siber bisnis?
Biaya asuransi siber untuk bisnis kecil sekitar $1.550 per tahun(jendela baru) rata-rata di AS, meskipun premium dapat berkisar dari beberapa ratus dolar hingga lebih dari $8.000 tergantung pada risiko bisnis, kontrol keamanan, dan batas cakupan.
Di Inggris, kebijakan dasar untuk bisnis kecil dimulai dari kurang dari £200(jendela baru) per tahun, sementara bisnis kecil mungkin membayar antara £500 dan £3.500(jendela baru), tergantung pada omzet, industri, langkah-langkah keamanan, eksposur data, dan tingkat cakupan mereka.
Konteks asuransi siber untuk bisnis kecil
Asuransi siber dapat terasa membingungkan bagi bisnis kecil karena cakupannya tidak distandarisasi. Dua kebijakan mungkin sama-sama disebut “asuransi siber” tetapi berbeda secara signifikan dalam hal pengecualian, batasan, layanan respons, rumusan ransomware, penyedia respons insiden yang disetujui, dan persyaratan keamanan sebelum serta setelah insiden.
Association of British Insurers(jendela baru) menggambarkannya sebagai perlindungan yang dapat membantu bisnis mengelola biaya serangan siber serta mendukung respons dan pemulihan.
Proses pembelian yang praktis harus mencakup tiga percakapan:
Dengan pialang atau penanggung: Apa saja yang dicakup, dikecualikan, dan diwajibkan?
Dengan penyedia TI atau keamanan: Kontrol mana yang sudah diterapkan, dan kesenjangan mana yang paling penting?
Dengan kepemimpinan: Tingkat risiko keuangan dan operasional apa yang dapat diserap secara realistis oleh bisnis?
Asuransi siber harus ditinjau baik sebagai produk keuangan maupun pemeriksaan kesiapan keamanan. Semakin baik bisnis memahami kontrol akses, cadangan, proses penanganan insiden, dan manajemen kredensialnya, semakin mudah untuk mengevaluasi apakah suatu kebijakan sesuai dengan risiko nyata.
Cara bersiap sebelum mengajukan asuransi siber
Sebelum mengajukan, perlakukan proses asuransi seperti pemeriksaan kesiapan keamanan. Kematangan tingkat perusahaan tidak diperlukan, tetapi jawaban yang akurat sangat dibutuhkan.
Mulailah dengan langkah-langkah berikut:
- Tinjau kontrol akses: Periksa akun mana yang memiliki hak istimewa, apakah 2FA diaktifkan, dan apakah mantan karyawan atau vendor masih memiliki akses.
- Perkuat manajemen kredensial: Ganti kata sandi yang digunakan kembali, hapus kata sandi yang dibagikan dari obrolan dan spreadsheet, serta buat proses yang jelas untuk pembagian yang aman.
- Dokumentasikan cadangan: Ketahui apa saja yang dicadangkan, seberapa sering, di mana cadangan disimpan, dan kapan pemulihan terakhir kali diuji.
- Tulis rencana penanganan insiden: Tentukan siapa yang memimpin, siapa yang menghubungi penanggung, siapa yang menangani pelanggan, dan siapa yang dapat menyetujui tindakan darurat.
- Latih karyawan: Cakup phishing, penggunaan kembali kata sandi, perintah masuk yang mencurigakan, dan pelaporan insiden.
- Periksa pernyataan kebijakan: Jangan melebih-lebihkan kontrol pada aplikasi. Jika 2FA hanya diaktifkan untuk beberapa sistem, nyatakan demikian dan rencanakan peningkatan berikutnya.
Berikut adalah daftar periksa asuransi siber yang sederhana:
| Persyaratan keamanan | Hal yang perlu diperiksa |
| 2FA | Apakah 2FA diaktifkan untuk email, akun admin, akses jarak jauh, dan layanan cloud? |
| Kata sandi unik | Apakah setiap akun bisnis menggunakan kata sandi yang kuat dan unik? |
| Berbagi dengan aman | Apakah kredensial yang dibagikan dikelola melalui pengelola kata sandi yang disetujui? |
| Pengujian cadangan | Apakah cadangan bersifat rutin, terlindungi, dan diuji? |
| Paket tanggapan insiden | Apakah tim mengetahui siapa yang memimpin, siapa yang menghubungi penanggung, dan siapa yang menyetujui tindakan mendesak? |
| Pelatihan karyawan | Apakah karyawan mengetahui cara melaporkan phishing, masuk mencurigakan, dan kemungkinan pembobolan? |
| Tinjauan akses | Apakah mantan karyawan, kontraktor, dan vendor dihapus dari sistem yang tidak lagi mereka butuhkan? |
Laporan keamanan siber UKM Proton dapat membantu bisnis kecil melakukan tolok ukur kesenjangan keamanan siber yang umum dan memahami mengapa kontrol praktis itu penting sebelum insiden terjadi.
Untuk perencanaan pencegahan yang lebih luas, panduan Proton tentang pencegahan pembobolan data untuk bisnis menjelaskan bagaimana bisnis dapat mengurangi kemungkinan dan dampak pembobolan sebelum menjadi klaim asuransi.
Bagaimana Proton Pass for Business mendukung kelayakan asuransi
Asuransi siber adalah perlindungan keuangan, tetapi penjaminan emisi dimulai dengan realitas operasional. Jika bisnis tidak dapat menunjukkan bagaimana cara mengelola kata sandi, akses, dan kredensial yang dibagikan, penanggung mungkin melihat lebih banyak ketidakpastian.
Proton Pass for Business membantu mengurangi ketidakpastian tersebut dengan memberikan tim cara terstruktur untuk mengelola kredensial. Karyawan dapat membuat kata sandi yang kuat dan unik, menyimpannya dalam brankas terenkripsi, menggunakan isi otomatis, dan membagikan akses dengan aman.
Untuk administrator, Proton Pass for Business mendukung manajemen pengguna terpusat, pembagian aman, kebijakan, pelaporan dan log, integrasi SSO, serta provisi SCIM. Fitur-fitur ini membantu bisnis menunjukkan bahwa manajemen akses tidak dilakukan secara mendadak. Fitur-fitur tersebut juga mendukung bukti praktis dengan menjawab pertanyaan seperti siapa yang memiliki akses, di mana kredensial yang dibagikan berada, dan bagaimana praktik kata sandi diatur.
Proton Pass for Business mendukung kelayakan asuransi dalam tiga cara:
Kesiapan 2FA: Tim dapat menyimpan dan mengelola kredensial dengan aman sambil memastikan praktik autentikasi yang kuat pada akun penting.
Kontrol akses: Admin dapat mengatur brankas, mengelola pengguna, dan mengurangi pembagian yang tidak terkontrol.
Jejak audit: Pelaporan dan log membantu menunjukkan bahwa manajemen kredensial sedang dimonitor.
Asuransi siber berfungsi paling baik dengan keamanan yang kuat
Asuransi siber dapat membantu bisnis kecil menyerap sebagian dampak keuangan dari suatu insiden. Namun, asuransi ini berfungsi paling baik jika dipasangkan dengan kontrol yang mengurangi kemungkinan dan tingkat keparahan klaim.
Sebelum membeli atau memperbarui asuransi tanggung jawab siber, pahami apa saja yang dicakup oleh kebijakan, apa saja yang dikecualikan, dan kondisi keamanan apa yang berlaku. Berhati-hatilah terutama dengan keamanan kredensial, karena kata sandi yang digunakan kembali, pembagian informal, akses admin yang tidak dikelola, dan jawaban aplikasi yang tidak akurat semuanya dapat menimbulkan risiko sebelum dan sesudah insiden.
Pendekatan terkuat untuk asuransi siber bagi bisnis kecil menggabungkan keduanya: perlindungan keuangan saat terjadi kesalahan, dan kontrol praktis yang membuat insiden lebih kecil kemungkinannya terjadi, tidak terlalu merusak, dan lebih mudah dipertahankan.
Pengelola kata sandi bisnis seperti Proton Pass for Business adalah salah satu titik awal paling jelas karena akses sering kali menjadi pusat risiko siber, pertanyaan penjaminan emisi, dan respons insiden. Ketika karyawan dapat membuat kata sandi unik, membagikan kredensial dengan aman, dan admin dapat meninjau praktik akses, bisnis berada dalam posisi yang lebih kuat.
