As solicitações de seguro cibernético costumavam parecer mais uma questão de papelada. Hoje, parecem muito mais uma revisão de segurança. Um proprietário de empresa ou COO que renova uma apólice pode ser questionado sobre autenticação multifator (MFA), backups, controles de acesso, treinamento de equipe, aplicação de patches, resposta a incidentes e gerenciamento de senhas antes mesmo de a seguradora confirmar os termos.
Os subscritores querem saber quais controles estão implementados, onde se aplicam, com que consistência são aplicados e se a empresa consegue comprovar isso. Isso porque o seguro cibernético não pode substituir a segurança cibernética. Ele atua ao lado de controles de segurança, planejamento de incidentes, processos de recuperação e gerenciamento de riscos como parte da gestão do risco cibernético
Para empresas que estão se preparando para solicitar ou renovar, veja o que você precisa saber sobre o que as seguradoras esperam ver antes de se sentirem confortáveis em assumir o risco.
O que os subscritores de seguro cibernético realmente verificam
Os controles que a maioria das seguradoras espera
Uma lista de verificação prática para o seguro cibernético
Por que as empresas têm dificuldade para se qualificar
Como o risco das PMEs afeta as conversas sobre seguro
Como o Proton Pass ajuda na preparação para o seguro cibernético
O que os subscritores de seguro cibernético realmente verificam
Uma avaliação de seguro cibernético tem como objetivo entender a probabilidade de uma empresa sofrer um incidente cibernético, a gravidade que esse incidente pode atingir e o quanto a empresa está preparada para se recuperar.
O subscritor não analisa apenas o que a empresa faz ou quanta receita ela gera. Ele também quer entender como ela lida com acesso, credenciais, dados, sistemas, fornecedores e continuidade. Uma empresa com controles administrativos fracos, sem aplicação de MFA e com backups não testados apresenta um perfil de risco diferente daquela que consegue mostrar políticas claras, controles aplicados e evidências de recuperação.
É por isso que os requisitos do seguro cibernético costumam se concentrar na segurança operacional. As seguradoras querem saber se os invasores conseguem entrar facilmente, se a empresa consegue conter os danos e se os sistemas essenciais podem ser restaurados sem pagar resgate ou ficar off-line por dias.
A subscrição de seguro cibernético pode envolver um questionário detalhado, perguntas de acompanhamento, solicitações de evidências, escaneamentos ou ligações com fornecedores de TI. Para empresas menores, esse processo pode ser difícil, especialmente quando a segurança não estabeleceu processos formais.
Por exemplo, não basta dizer que sua empresa usa MFA. A seguradora pode querer saber onde e como o MFA é aplicado, se ele cobre contas administrativas e quais aplicativos críticos, se houver, ficam de fora. Uma resposta mais sólida é específica, documentada e respaldada por evidências.
Os controles que a maioria das seguradoras espera
Os requisitos do seguro cibernético variam conforme o provedor, o tipo de apólice, o tamanho da empresa e o perfil de risco. Ainda assim, a maioria das avaliações agora busca os mesmos sinais básicos: se sua empresa consegue prevenir ataques comuns, limitar os danos quando uma conta é comprometida, se recuperar de interrupções e comprovar que os controles realmente estão implementados. Isso geralmente inclui como sua empresa lida com senhas. Uma política de senhas robusta e um gerenciador de senhas corporativo seguro estão entre as melhores práticas de gerenciamento de senhas mais eficazes que você pode adotar.
MFA
Este é um dos primeiros controles que as seguradoras procuram, porque muitos sinistros decorrem do uso indevido de credenciais. Você pode ser questionado se a 2FA está ativada para e-mail, VPNs, acesso remoto, plataformas em nuvem, gerenciadores de senhas e outros aplicativos críticos.
A avaliação também pode ir além, perguntando se o MFA é aplicado a todos os usuários, apenas a determinados sistemas ou apenas a contas administrativas, e como essa aplicação funciona na prática.
Há uma diferença entre o MFA estar disponível e o MFA ser obrigatório: o subscritor vai querer saber se ele é aplicado, se é configurado no provedor de identidade ou aplicativo por aplicativo, e o que acontece quando alguém falha ou contorna a solicitação.
Uma resposta mais sólida mostra onde o MFA é exigido, quais aplicativos são cobertos, como ele é aplicado e como as exceções são aprovadas e revisadas.
Proteção de contas administrativas e privilegiadas
As seguradoras também querem entender como sua empresa protege contas com acesso elevado. Contas administrativas podem alterar configurações, criar usuários, acessar dados sensíveis, desativar controles de segurança ou transitar entre sistemas, o que as torna especialmente valiosas para os invasores.
As empresas podem ser questionadas se o acesso administrativo é limitado a pessoas específicas, revisado regularmente, protegido com MFA e separado das contas de usuário do dia a dia. As evidências podem incluir políticas de acesso, listas de usuários, permissões baseadas em função e registros que mostram atividades privilegiadas.
Backups e preparação para recuperação
Os backups são importantes porque as seguradoras vão além da prevenção. Elas também querem saber com que rapidez sua empresa consegue se recuperar. Se um ataque de ransomware, uma exclusão acidental ou uma falha de sistema afetar sua empresa, a seguradora quer saber se ela consegue se recuperar sem pagar resgate ou perder dados críticos.
Isso geralmente significa ter backups regulares, protegidos contra acesso não autorizado e testados. Não basta dizer que existem backups. Você deve estar preparado para mostrar o que é incluído no backup, com que frequência os backups são executados, onde são armazenados, quem pode acessá-los e quando a restauração foi testada pela última vez.
Segurança de pontos de extremidade e de e-mail
Muitos ataques começam pela caixa de entrada ou pelo dispositivo de um funcionário, por isso as seguradoras costumam perguntar sobre proteção de pontos de extremidade e de e-mail. Isso pode incluir antimalware, detecção em pontos de extremidade, filtragem de spam, proteção contra phishing e controles que bloqueiam anexos, links ou tentativas de início de sessão suspeitos.
Especificamente para e-mail, as seguradoras também podem perguntar se seu domínio usa autenticação de e-mail (SPF, DKIM e DMARC) para impedir que invasores falsifiquem o endereço da sua empresa.
Para empresas menores, isso pode ser feito por um fornecedor de TI ou por meio de recursos integrados nas ferramentas que elas já usam. O que importa é conseguir explicar qual proteção está ativa, quais dispositivos e contas são cobertos e como os alertas ou incidentes são tratados.
Gerenciamento de patches
Softwares desatualizados oferecem aos invasores um caminho mais fácil para os sistemas da empresa. Por isso, as seguradoras podem perguntar com que rapidez sua empresa aplica atualizações de segurança a sistemas operacionais, navegadores, aplicativos, servidores e outros softwares críticos.
Elas também podem perguntar se as atualizações são automáticas, revisadas manualmente ou gerenciadas por um fornecedor de TI externo. Uma resposta mais sólida explica quem é responsável pelo gerenciamento de patches, como as atualizações são rastreadas e como a empresa trata vulnerabilidades urgentes.
Treinamento de segurança para funcionários
As seguradoras sabem que os funcionários costumam ser alvos de phishing, engenharia social, faturas falsas, links maliciosos e roubo de credenciais.
O treinamento de conscientização sobre segurança recorrente ajuda a reduzir essa exposição, e o treinamento de conscientização sobre phishing em particular aborda o tipo de ataque por trás da maioria dos sinistros relacionados a credenciais. Ainda assim, a avaliação pode exigir mais do que uma declaração genérica de que os funcionários recebem treinamento.
As empresas podem precisar mostrar com que frequência o treinamento acontece, o que ele abrange, se os novos funcionários passam por integração e se a equipe sabe como relatar atividades suspeitas. Um treinamento prático e recorrente é mais útil do que uma sessão única que ninguém revisita.
Planejamento de resposta a incidentes
Um plano de resposta a incidentes por escrito mostra que sua empresa sabe o que fazer quando algo dá errado. As seguradoras podem perguntar se sua empresa tem um processo documentado para identificar, relatar, conter e escalar incidentes de segurança.
O plano deve deixar claro quem é responsável, quem precisa ser contatado, como as evidências são preservadas e como a empresa se comunica com funcionários, fornecedores, clientes, assessoria jurídica ou órgãos reguladores quando necessário. Mesmo um plano simples é melhor do que contar com a improvisação durante uma crise.
Controles de acesso de terceiros
Fornecedores, prestadores de serviços, agências, provedores de TI e parceiros de software podem introduzir riscos quando têm acesso aos sistemas ou aos dados da empresa. As seguradoras podem perguntar se o acesso de terceiros é limitado, revisado e removido quando não é mais necessário.
Elas também podem verificar se há MFA nas contas de fornecedores, credenciais separadas para usuários externos e um processo claro para aprovar acessos. A empresa deve ser capaz de mostrar quem tem acesso, ao que pode acessar, por que precisa disso e quando esse acesso foi revisado pela última vez.
Uma lista de verificação prática para o seguro cibernético
Antes de iniciar uma solicitação ou renovação de seguro cibernético, sua empresa deve reunir provas de que seus controles de segurança não estão apenas planejados, mas já funcionando. Os subscritores não esperam que toda empresa menor tenha documentação de nível corporativo. Mas esperam respostas claras, práticas consistentes e evidências de que a empresa consegue explicar como o acesso, a recuperação, o treinamento e a resposta a incidentes são tratados.
Uma lista de verificação não garante cobertura nem prêmios menores, mas pode tornar sua avaliação mais eficaz, reduzir a troca de mensagens e ajudar a empresa a entrar no processo de subscrição com respostas mais sólidas.
Lista de verificação de preparação para o seguro cibernético
MFA
Evidências a preparar: lista de sistemas em que o MFA é aplicado, incluindo e-mail, aplicativos em nuvem, acesso remoto, contas administrativas e quaisquer exceções documentadas.
Gerenciamento de senhas
Evidências a preparar: política de gerenciador de senhas, registros de adoção pelos usuários, estrutura de cofres compartilhados, configurações administrativas e relatórios que mostram senhas fracas, reutilizadas ou expostas.
Backups
Evidências a preparar: Cronograma de backup, localização do armazenamento, controles de acesso, política de retenção e a data do teste de restauração mais recente.
Plano de resposta a incidentes
Evidências a preparar: Plano de resposta por escrito, contatos de escalonamento, funções internas, etapas de notificação e qualquer exercício de simulação recente ou revisão do plano.
Registros de treinamento
Evidências a preparar: Datas de treinamento de segurança, registros de presença, materiais de integração, conteúdo de conscientização sobre phishing e instruções de notificação para funcionários.
Gerenciamento de patches
Evidências a preparar: Política de patches, registros de atualização, lista de sistemas cobertos, detalhes de propriedade e registros para remediação urgente de vulnerabilidades.
Revisão de acesso privilegiado
Evidências a preparar: Lista de usuários administradores, permissões baseadas em funções, registros de revisão de acesso, status de MFA para contas privilegiadas e documentação de desligamento.
Por que as empresas têm dificuldade para se qualificar
As empresas muitas vezes têm dificuldade com o seguro cibernético porque a proposta expõe lacunas que a operação diária pode ocultar. Uma empresa pode ter MFA em alguns sistemas, backups em vigor, um provedor de TI de plantão e funcionários que conhecem o básico sobre phishing. Mas as seguradoras buscam consistência em toda a empresa: onde os controles são aplicados, quem é responsável por eles, com que frequência são revisados e quais evidências sustentam cada resposta.
Isso é especialmente difícil para empresas menores que construíram a segurança aos poucos, sem documentação formal. O acesso pode ser concedido por sistemas diferentes, credenciais compartilhadas ainda podem ficar em planilhas em vez de em um gerenciador de senhas para equipes seguro, os backups podem não ter sido testados recentemente, e o treinamento de segurança pode acontecer de forma informal.
Nenhum desses problemas significa automaticamente que uma empresa não pode ser segurada, mas eles podem criar atrasos, exclusões, prêmios mais altos ou perguntas de acompanhamento durante a subscrição.
As propostas mais fortes geralmente não são as que têm os programas de segurança mais complexos. São as que conseguem mostrar claramente como os controles essenciais funcionam, onde estão as lacunas restantes e o que a empresa está fazendo para fechá-las.
Como o risco das PMEs afeta as conversas sobre seguro
As seguradoras se preocupam com controles porque pequenas e médias empresas não são invisíveis para os atacantes. O Relatório de Cibersegurança para PMEs da Proton descobriu que uma em cada quatro PMEs sofreu violações no ano passado, apesar de ter medidas de cibersegurança em vigor. O relatório também aponta erro humano, políticas de segurança inconsistentes e falta de controle de dados como causas principais.
Muitas empresas abordam suas propostas de seguro cibernético com medidas de segurança já implementadas, mas a avaliação frequentemente mostra se essas medidas são consistentes, atuais e fáceis de comprovar. A MFA pode proteger algumas contas, mas não outras. Os backups podem ser executados dentro do cronograma, mas não ter um teste de restauração recente por trás deles. O acesso administrativo pode ter se ampliado conforme a empresa cresceu, sem um registro claro de quem ainda precisa dele.
Para um diretor de operações (COO) ou proprietário de empresa, esse escrutínio pode ser útil antes mesmo da emissão da apólice. Ele transforma suposições do dia a dia em evidências específicas: listas de acesso, registros de backup, cobertura de MFA, práticas de senha, políticas documentadas e lacunas conhecidas. Em vez de confiar no que as pessoas acreditam que está acontecendo, a empresa obtém um panorama mais claro de como seus controles realmente funcionam.
Vista dessa forma, a avaliação não é apenas um obstáculo à cobertura. Ela pode ajudar a empresa a identificar as fraquezas que mais importariam durante uma violação e corrigi-las antes que se tornem mais difíceis, caras ou disruptivas de resolver.
Como o Proton Pass ajuda na preparação para o seguro cibernético
As avaliações de seguro cibernético analisam a empresa como um todo, incluindo backups, aplicação de patches, resposta a incidentes, treinamento de funcionários, segurança de rede e risco de fornecedores. Um gerenciador de senhas não consegue atender sozinho a todos os requisitos, mas pode fortalecer uma das áreas que as seguradoras examinam de perto: como sua empresa lida com gerenciamento de credenciais e acesso.
Um gerenciador de senhas para empresas como o Proton Pass for Business ajuda as equipes a substituir hábitos inseguros de senhas por um sistema mais controlado. Os funcionários podem criar e armazenar senhas exclusivas em cofres de senhas criptografados de ponta a ponta, usar o preenchimento automático para reduzir a reutilização, gerenciar passkeys e compartilhar credenciais com segurança sem depender de e-mail, planilhas, tópicos de chat ou senhas salvas no navegador.
A autenticação de dois fatores integrada também ajuda as equipes a manter senhas e códigos de verificação em um único fluxo de trabalho seguro, em vez de espalhar o acesso por diferentes aplicativos e dispositivos pessoais, o que adiciona atrito e leva as pessoas a buscar atalhos.
Como um gerenciador de senhas para equipes de TI, o Proton Pass adiciona a visibilidade e o controle necessários para facilitar a aplicação dessas práticas. As equipes podem configurar requisitos de senha, aplicar políticas de A2F, gerenciar o acesso ao cofre, atribuir permissões baseadas em funções, provisionar usuários com SCIM, oferecer suporte a logon único (SSO) e usar registros para revisões de conformidade ou resposta a incidentes. Esses recursos podem ajudar a responder a perguntas comuns de subscrição sobre MFA, gerenciamento de senhas, credenciais compartilhadas, acesso privilegiado, integração, desligamento e revisões de acesso.
A proposta mais ampla de seguro cibernético ainda exigirá documentação sobre o restante do programa de segurança. Mas, para a parte de credenciais da avaliação, o Proton Pass pode ajudar sua empresa a dar uma resposta mais clara: quem tem acesso, como as credenciais são protegidas, como o compartilhamento é controlado e quais evidências estão disponíveis quando um subscritor pergunta.
Atenda a todos os requisitos do seguro cibernético com um gerenciador de senhas para empresas.
