Wnioski o ubezpieczenie cybernetyczne kiedyś przypominały bardziej papierologię. Dziś wyglądają znacznie bardziej jak przegląd bezpieczeństwa. Właściciel firmy lub dyrektor operacyjny (COO) odnawiający polisę może zostać zapytany o uwierzytelnianie wieloskładnikowe (MFA), kopie zapasowe, kontrole dostępu, szkolenia personelu, stosowanie poprawek, reagowanie na incydenty i zarządzanie hasłami, zanim ubezpieczyciel w ogóle potwierdzi warunki.
Underwriterzy chcą wiedzieć, jakie kontrole są wdrożone, gdzie mają zastosowanie, jak konsekwentnie są egzekwowane i czy firma potrafi to udowodnić. Wynika to z tego, że ubezpieczenie cybernetyczne nie może zastąpić cyberbezpieczeństwa. Współistnieje ono z kontrolami bezpieczeństwa, planowaniem reagowania na incydenty, procesami odzyskiwania i zarządzaniem ryzykiem w ramach zarządzania ryzykiem cybernetycznym
Jeśli twoja firma przygotowuje się do złożenia wniosku o ubezpieczenie lub jego odnowienia, oto co warto wiedzieć o tym, czego oczekują ubezpieczyciele, zanim zdecydują się przejąć ryzyko.
Co tak naprawdę sprawdzają ubezpieczyciele w ubezpieczeniach cybernetycznych
Zabezpieczenia, których oczekuje większość ubezpieczycieli
Praktyczna lista kontrolna ubezpieczenia cybernetycznego
Dlaczego firmom trudno spełnić wymagania
Jak ryzyko MŚP wpływa na rozmowy z ubezpieczycielami
Jak Proton Pass wspiera gotowość do ubezpieczenia cybernetycznego
Co tak naprawdę sprawdzają ubezpieczyciele w ubezpieczeniach cybernetycznych
Ocena ubezpieczenia cybernetycznego ma na celu ustalenie, jak prawdopodobne jest wystąpienie incydentu cybernetycznego, jak poważny może być ten incydent i jak dobrze firma jest przygotowana do odzyskania sprawności.
Ubezpieczyciel nie patrzy wyłącznie na to, czym zajmuje się firma ani jakie generuje przychody. Chce również zrozumieć, w jaki sposób firma zarządza dostępem, danymi logowania, danymi, systemami, dostawcami i ciągłością działania. Firma ze słabymi zabezpieczeniami administracyjnymi, brakiem wymuszania MFA i niesprawdzonymi kopiami zapasowymi ma inny profil ryzyka niż taka, która potrafi przedstawić jasne zasady, wdrożone zabezpieczenia i dowody na gotowość do odzyskania sprawności.
Dlatego wymagania ubezpieczeń cybernetycznych często koncentrują się na bezpieczeństwie operacyjnym. Ubezpieczyciele chcą wiedzieć, czy atakujący mogą łatwo się dostać, czy firma potrafi ograniczyć szkody oraz czy najważniejsze systemy można przywrócić bez płacenia okupu i pozostawania niedostępnymi przez wiele dni.
Ocena ryzyka w ubezpieczeniach cybernetycznych może obejmować szczegółowy kwestionariusz, pytania uzupełniające, prośby o dowody, skany lub rozmowy z dostawcami usług IT. Dla mniejszych firm ten proces może być trudny, zwłaszcza gdy w obszarze bezpieczeństwa nie opracowano formalnych procedur.
Na przykład nie wystarczy powiedzieć, że twoja firma używa MFA. Ubezpieczyciel może chcieć wiedzieć, gdzie i w jaki sposób wymusza się MFA, czy obejmuje ona konta administracyjne i które krytyczne aplikacje — jeśli w ogóle — zostały pominięte. Lepsza odpowiedź jest konkretna, udokumentowana i poparta dowodami.
Zabezpieczenia, których oczekuje większość ubezpieczycieli
Wymagania dotyczące ubezpieczeń cybernetycznych różnią się w zależności od dostawcy, rodzaju polisy, wielkości firmy i profilu ryzyka. Mimo to większość ocen koncentruje się teraz na tych samych podstawowych sygnałach: czy twoja firma potrafi zapobiegać typowym atakom, ograniczyć szkody, gdy konto zostanie zagrożone, odzyskać sprawność po zakłóceniu i udowodnić, że zabezpieczenia rzeczywiście działają. Często obejmuje to sposób, w jaki twoja firma zarządza hasłami. Silna zasada dotycząca haseł i bezpieczny firmowy menadżer haseł należą do najskuteczniejszych sprawdzonych praktyk zarządzania hasłami, które możesz wdrożyć.
MFA
To jedno z pierwszych zabezpieczeń, na które zwracają uwagę ubezpieczyciele, ponieważ wiele roszczeń wynika z nadużycia danych logowania. Możesz zostać zapytany, czy uwierzytelnianie dwustopniowe jest włączone dla poczty e-mail, sieci VPN, dostępu zdalnego, platform chmurowych, menadżerów haseł i innych krytycznych aplikacji.
Ocena może też pójść dalej i pytać, czy MFA jest wymuszane dla wszystkich użytkowników, tylko dla wybranych systemów czy wyłącznie dla kont administracyjnych oraz jak to wymuszanie faktycznie działa.
Jest różnica między dostępnością MFA a obowiązkowym MFA: ubezpieczyciel będzie chciał wiedzieć, czy jest ono wymuszane, czy jest konfigurowane u dostawcy tożsamości, czy osobno w każdej aplikacji, oraz co się dzieje, gdy ktoś nie przejdzie weryfikacji lub ją ominie.
Lepsza odpowiedź pokazuje, gdzie MFA jest wymagane, które aplikacje są objęte, jak jest wymuszane oraz jak zatwierdza się i weryfikuje wyjątki.
Ochrona kont administracyjnych i uprzywilejowanych
Ubezpieczyciele chcą też zrozumieć, jak twoja firma chroni konta z podwyższonym dostępem. Konta administracyjne mogą zmieniać ustawienia, tworzyć użytkowników, uzyskiwać dostęp do wrażliwych danych, wyłączać zabezpieczenia lub przemieszczać się między systemami, co czyni je szczególnie cennymi dla atakujących.
Firmy mogą zostać zapytane, czy dostęp administracyjny jest ograniczony do konkretnych osób, regularnie weryfikowany, chroniony za pomocą MFA i oddzielony od zwykłych kont użytkowników. Dowody mogą obejmować zasady dostępu, listy użytkowników, uprawnienia oparte na rolach i logi pokazujące aktywność uprzywilejowaną.
Kopie zapasowe i gotowość do odzyskiwania
Kopie zapasowe mają znaczenie, ponieważ ubezpieczyciele patrzą dalej niż na zapobieganie. Chcą też wiedzieć, jak szybko twoja firma może odzyskać sprawność. Jeśli atak ransomware, przypadkowe usunięcie lub awaria systemu wpłyną na twoją firmę, ubezpieczyciel chce wiedzieć, czy może ona odzyskać sprawność bez płacenia okupu i utraty krytycznych danych.
Zwykle oznacza to posiadanie kopii zapasowych, które są regularne, chronione przed nieautoryzowanym dostępem i testowane. Nie wystarczy powiedzieć, że kopie zapasowe istnieją. Trzeba być gotowym pokazać, co jest kopiowane, jak często wykonuje się kopie zapasowe, gdzie są przechowywane, kto ma do nich dostęp i kiedy ostatnio testowano przywracanie.
Bezpieczeństwo punktów końcowych i poczty e-mail
Wiele ataków zaczyna się od skrzynki odbiorczej lub urządzenia pracownika, dlatego ubezpieczyciele często pytają o ochronę punktów końcowych i poczty e-mail. Może ona obejmować ochronę przed złośliwym oprogramowaniem, wykrywanie zagrożeń w punktach końcowych, filtrowanie spamu, ochronę przed próbami wyłudzenia informacji i zabezpieczenia blokujące podejrzane załączniki, linki lub próby logowania.
W przypadku poczty e-mail ubezpieczyciele mogą też zapytać, czy twoja domena używa uwierzytelniania wiadomości e-mail (SPF, DKIM i DMARC), aby uniemożliwić atakującym podszywanie się pod adres twojej firmy.
W mniejszych firmach może się tym zajmować dostawca usług IT lub wbudowane funkcje w narzędziach, których już się używa. Liczy się umiejętność wyjaśnienia, jaka ochrona jest aktywna, które urządzenia i konta są objęte oraz jak obsługuje się alerty lub incydenty.
Zarządzanie poprawkami
Nieaktualne oprogramowanie ułatwia atakującym wejście do systemów firmowych. Dlatego ubezpieczyciele mogą pytać, jak szybko twoja firma instaluje aktualizacje zabezpieczeń w systemach operacyjnych, przeglądarkach, aplikacjach, serwerach i innym krytycznym oprogramowaniu.
Mogą też zapytać, czy aktualizacje są automatyczne, ręcznie weryfikowane czy zarządzane przez zewnętrznego dostawcę usług IT. Lepsza odpowiedź wyjaśnia, kto odpowiada za zarządzanie poprawkami, jak śledzi się aktualizacje i jak firma radzi sobie z pilnymi lukami w zabezpieczeniach.
Szkolenia pracowników z bezpieczeństwa
Ubezpieczyciele wiedzą, że pracownicy są często celem ataków wykorzystujących próby wyłudzenia informacji, inżynierię społeczną, fałszywe faktury, złośliwe linki i kradzież danych logowania.
Regularne szkolenia ze świadomości bezpieczeństwa pomagają ograniczyć to ryzyko, a szkolenia z rozpoznawania prób wyłudzenia informacji w szczególności dotyczą rodzaju ataku stojącego za większością roszczeń związanych z danymi logowania. Ocena może jednak wymagać czegoś więcej niż ogólnego stwierdzenia, że pracownicy są szkoleni.
Firmy mogą musieć pokazać, jak często odbywają się szkolenia, czego dotyczą, czy nowi pracownicy przechodzą szkolenie wdrożeniowe i czy personel wie, jak zgłaszać podejrzane działania. Praktyczne, powtarzalne szkolenia są bardziej przydatne niż jednorazowa sesja, do której nikt nie wraca.
Planowanie reagowania na incydenty
Spisany plan reagowania na incydenty pokazuje, że twoja firma wie, co robić, gdy coś pójdzie nie tak. Ubezpieczyciele mogą zapytać, czy twoja firma ma udokumentowany proces identyfikowania, zgłaszania, ograniczania i eskalowania incydentów bezpieczeństwa.
Plan powinien jasno określać, kto jest odpowiedzialny, z kim należy się skontaktować, jak zabezpiecza się dowody i jak firma komunikuje się z pracownikami, dostawcami, klientami, obsługą prawną lub regulatorami, gdy zajdzie taka potrzeba. Nawet prosty plan jest lepszy niż improwizacja w czasie kryzysu.
Kontrola dostępu stron trzecich
Dostawcy, wykonawcy, agencje, usługodawcy IT i partnerzy oprogramowania mogą wprowadzać ryzyko, gdy mają dostęp do systemów firmowych lub danych. Ubezpieczyciele mogą zapytać, czy dostęp stron trzecich jest ograniczany, weryfikowany i usuwany, gdy nie jest już potrzebny.
Mogą też sprawdzać, czy konta dostawców są chronione MFA, czy użytkownicy zewnętrzni mają oddzielne dane logowania oraz czy istnieje jasny proces zatwierdzania dostępu. Firma powinna umieć pokazać, kto ma dostęp, do czego ma dostęp, dlaczego go potrzebuje i kiedy ten dostęp był ostatnio weryfikowany.
Praktyczna lista kontrolna ubezpieczenia cybernetycznego
Przed rozpoczęciem procesu ubiegania się o ubezpieczenie cybernetyczne lub jego odnowienia twoja firma powinna zebrać dowody, że jej zabezpieczenia nie są tylko planowane, lecz już działają. Ubezpieczyciele nie oczekują, że każda mniejsza firma będzie miała dokumentację na poziomie korporacyjnym. Oczekują jednak jasnych odpowiedzi, spójnych praktyk i dowodów, że firma potrafi wyjaśnić, jak obsługiwane są dostęp, odzyskiwanie, szkolenia i reagowanie na incydenty.
Lista kontrolna nie gwarantuje ochrony ani niższych składek, ale może zwiększyć skuteczność oceny, ograniczyć wymianę pytań i odpowiedzi oraz pomóc firmie wejść w proces oceny ryzyka z lepszymi odpowiedziami.
Lista kontrolna gotowości do ubezpieczenia cybernetycznego
MFA
Dowody do przygotowania: lista systemów, w których wymuszane jest MFA, w tym poczta e-mail, aplikacje chmurowe, dostęp zdalny, konta administracyjne i wszelkie udokumentowane wyjątki.
Zarządzanie hasłami
Dowody do przygotowania: zasada korzystania z menadżera haseł, dane o wdrożeniu wśród użytkowników, struktura współdzielonego sejfu, ustawienia administracyjne i raporty pokazujące słabe, ponownie używane lub ujawnione hasła.
Kopie zapasowe
Dowody do przygotowania: harmonogram kopii zapasowych, lokalizacja przechowywania, kontrola dostępu, zasada przechowywania i data ostatniego testu przywracania.
Plan reagowania na incydenty
Dowody do przygotowania: pisemny plan reagowania, kontakty do eskalacji, wewnętrzne stanowiska, kroki raportowania oraz wszelkie niedawne ćwiczenia symulacyjne lub przeglądy planu.
Dokumentacja szkoleń
Dowody do przygotowania: terminy szkoleń z bezpieczeństwa, dokumentacja obecności, materiały wdrożeniowe, treści dotyczące świadomości prób wyłudzenia informacji oraz instrukcje zgłaszania dla pracowników.
Zarządzanie poprawkami
Dowody do przygotowania: zasada łatania, logi aktualizacji, lista objętych systemów, szczegóły dotyczące właścicieli oraz dokumentacja pilnego usuwania luk w zabezpieczeniach.
Przegląd dostępu uprzywilejowanego
Dowody do przygotowania: lista użytkowników administracyjnych, uprawnienia oparte na stanowiskach, dokumentacja przeglądów dostępu, status MFA dla kont uprzywilejowanych oraz dokumentacja zakończenia współpracy.
Dlaczego firmom trudno spełnić wymagania
Firmy często mają trudności z ubezpieczeniem cybernetycznym, ponieważ wniosek ujawnia luki, które codzienna działalność może ukrywać. Firma może mieć MFA w niektórych systemach, kopie zapasowe, dostawcę IT pod telefonem i pracowników, którzy znają podstawy prób wyłudzenia informacji. Ubezpieczyciele szukają jednak spójności w całej firmie: gdzie mechanizmy kontrolne są egzekwowane, kto za nie odpowiada, jak często są przeglądane i jakie dowody potwierdzają każdą odpowiedź.
Jest to szczególnie trudne dla mniejszych firm, które budowały bezpieczeństwo stopniowo, bez formalnej dokumentacji. Dostęp może być przyznawany przez różne systemy, udostępniane dane logowania mogą nadal znajdować się w arkuszach kalkulacyjnych zamiast w bezpiecznym menadżerze haseł dla zespołu, kopie zapasowe mogą nie być ostatnio testowane, a szkolenia z bezpieczeństwa mogą odbywać się nieformalnie.
Żaden z tych problemów sam w sobie nie oznacza, że firma nie może zostać ubezpieczona, ale mogą powodować opóźnienia, wyłączenia, wyższe składki lub dodatkowe pytania na etapie oceny ryzyka.
Najlepsze wnioski to zwykle nie te składane przez firmy z najbardziej złożonymi programami bezpieczeństwa. To te, które potrafią jasno pokazać, jak działają kluczowe mechanizmy kontrolne, gdzie pozostają luki i co firma robi, aby je zamknąć.
Jak ryzyko małych i średnich firm wpływa na rozmowy z ubezpieczycielami
Ubezpieczyciele zwracają uwagę na mechanizmy kontrolne, ponieważ małe i średnie firmy nie są niewidoczne dla atakujących. Raport Proton Cyberbezpieczeństwo w MŚP wykazał, że co czwarta mała lub średnia firma padła ofiarą naruszenia w zeszłym roku, mimo że miała wdrożone środki bezpieczeństwa. W raporcie jako główne przyczyny wskazano również błąd ludzki, niespójne zasady bezpieczeństwa i brak kontroli nad danymi.
Wiele firm przystępuje do wniosków o ubezpieczenie cybernetyczne, mając już wdrożone środki bezpieczeństwa, ale ocena często pokazuje, czy są one spójne, aktualne i łatwe do udowodnienia. MFA może chronić niektóre konta, ale nie inne. Kopie zapasowe mogą być tworzone zgodnie z harmonogramem, ale nie mieć za sobą niedawnego testu przywracania. Dostęp administratora mógł się rozszerzyć wraz z rozwojem firmy, bez jasnego rejestru tego, kto nadal go potrzebuje.
Dla dyrektora operacyjnego lub właściciela firmy taka weryfikacja może być przydatna jeszcze przed wystawieniem polisy. Zamienia codzienne założenia w konkretne dowody: listy dostępu, dokumentację kopii zapasowych, zakres wdrożenia MFA, praktyki dotyczące haseł, udokumentowane zasady i znane luki. Zamiast opierać się na tym, co ludziom wydaje się, że się dzieje, firma otrzymuje jaśniejszy obraz tego, jak w rzeczywistości działają jej mechanizmy kontrolne.
Postrzegana w ten sposób ocena nie jest wyłącznie przeszkodą w uzyskaniu ochrony. Może pomóc firmie zidentyfikować słabości, które miałyby największe znaczenie podczas naruszenia, i naprawić je, zanim staną się trudniejsze, droższe lub bardziej zakłócające do rozwiązania.
Jak Proton Pass wspiera gotowość do ubezpieczenia cybernetycznego
Oceny ubezpieczenia cybernetycznego patrzą na firmę jako całość, uwzględniając kopie zapasowe, łatanie, reagowanie na incydenty, szkolenia pracowników, bezpieczeństwo sieci i ryzyko związane z dostawcami. Menadżer haseł nie jest w stanie sam spełnić wszystkich wymagań, ale może wzmocnić jeden z obszarów, którym ubezpieczyciele przyglądają się szczególnie uważnie: sposób, w jaki firma podchodzi do zarządzania danymi logowania i dostępu.
Firmowy menadżer haseł, taki jak Proton Pass for Business, pomaga zespołom zastąpić niebezpieczne nawyki związane z hasłami bardziej kontrolowanym systemem. Pracownicy mogą tworzyć i przechowywać unikalne hasła w sejfach haseł zaszyfrowanych end-to-end, korzystać z autouzupełniania, aby ograniczyć ponowne użycie haseł, zarządzać kluczami dostępu i bezpiecznie udostępniać dane logowania bez polegania na poczcie e-mail, arkuszach kalkulacyjnych, wątkach czatu czy hasłach zapisanych w przeglądarce.
Wbudowane uwierzytelnianie dwustopniowe pomaga też zespołom trzymać hasła i kody weryfikacyjne w jednym bezpiecznym przepływie pracy, zamiast rozpraszać dostęp po różnych aplikacjach i prywatnych urządzeniach, co zwiększa tarcie i popycha ludzi do skrótów.
Jako menadżer haseł dla zespołów IT, Proton Pass zapewnia widoczność i kontrolę potrzebne, aby ułatwić egzekwowanie tych praktyk. Zespoły mogą konfigurować wymagania dotyczące haseł, egzekwować zasady uwierzytelniania dwustopniowego, zarządzać dostępem do sejfów, przypisywać uprawnienia oparte na stanowiskach, automatycznie tworzyć użytkowników za pomocą SCIM, obsługiwać logowanie jednokrotne (SSO) i korzystać z logów na potrzeby zgodności lub przeglądów reagowania na incydenty. Te funkcje mogą wspierać typowe pytania oceny ryzyka dotyczące MFA, zarządzania hasłami, udostępnianych danych logowania, dostępu uprzywilejowanego, wdrażania, zakończenia współpracy i przeglądów dostępu.
Szerszy wniosek o ubezpieczenie cybernetyczne nadal będzie wymagał dokumentacji w pozostałych obszarach programu bezpieczeństwa. Jednak w części oceny dotyczącej danych logowania Proton Pass może pomóc firmie udzielić jaśniejszej odpowiedzi: kto ma dostęp, jak chronione są dane logowania, jak kontrolowane jest udostępnianie i jakie dowody są dostępne, gdy ubezpieczyciel o nie zapyta.
Spełnij wszystkie warunki ubezpieczenia cybernetycznego dzięki firmowemu menadżerowi haseł.
