As candidaturas a seguro cibernético costumavam parecer mais burocracia. Hoje, assemelham-se muito mais a uma revisão de segurança. Quem estiver a renovar uma apólice, seja responsável de uma empresa ou diretor de operações, pode ser questionado sobre autenticação multifator (MFA), cópias de segurança, controlos de acesso, formação dos colaboradores, aplicação de patches, resposta a incidentes e gestão de palavras-passe antes de a seguradora confirmar as condições.
Os subscritores querem saber que controlos estão implementados, onde se aplicam, com que consistência são aplicados e se a empresa os consegue comprovar. Isto porque o seguro cibernético não pode ser usado como substituto da cibersegurança. Complementa os controlos de segurança, o planeamento de incidentes, os processos de recuperação e a gestão de riscos como parte da gestão do risco cibernético.
Para as empresas que se preparam para se candidatar ou renovar, eis o que precisa de saber sobre o que as seguradoras esperam ver antes de se sentirem confortáveis em assumir o risco.
O que os subscritores de seguro cibernético realmente verificam
Os controlos que a maioria das seguradoras espera
Uma lista de verificação prática para o seguro cibernético
Por que motivo as empresas têm dificuldade em qualificar-se
Como o risco das PME afeta as conversas com as seguradoras
Como o Proton Pass apoia a preparação para o seguro cibernético
O que os subscritores de seguro cibernético realmente verificam
Uma avaliação de seguro cibernético foi concebida para compreender qual a probabilidade de uma empresa sofrer um incidente cibernético, quão grave esse incidente pode tornar-se e quão preparada a empresa está para recuperar.
O subscritor não olha apenas para o que uma empresa faz ou para quanta receita gera. Também quer compreender como gere o acesso, as credenciais, os dados, os sistemas, os fornecedores e a continuidade. Uma empresa com controlos de administração fracos, sem aplicação de MFA e com cópias de segurança não testadas apresenta um perfil de risco diferente de uma que consegue mostrar políticas claras, controlos aplicados e provas de recuperação.
É por isso que os requisitos do seguro cibernético se concentram frequentemente na segurança operacional. As seguradoras querem saber se os atacantes conseguem entrar facilmente, se a empresa consegue conter os danos e se os sistemas essenciais podem ser restaurados sem pagar um resgate ou permanecer offline durante dias.
A subscrição de seguro cibernético pode envolver um questionário detalhado, perguntas de acompanhamento, pedidos de provas, análises ou chamadas com fornecedores de TI. Para as empresas mais pequenas, este processo pode ser difícil, especialmente quando a segurança não tem processos formais definidos.
Por exemplo, não basta dizer que a sua empresa utiliza MFA. A seguradora pode querer saber onde e como o MFA é aplicado, se abrange contas de administrador e que aplicações críticas, se algumas, ficam de fora. Uma resposta mais sólida é específica, documentada e sustentada por provas.
Os controlos que a maioria das seguradoras espera
Os requisitos do seguro cibernético variam consoante o fornecedor, o tipo de apólice, a dimensão da empresa e o perfil de risco. Ainda assim, a maioria das avaliações procura agora os mesmos sinais básicos: se a sua empresa consegue prevenir ataques comuns, limitar os danos se uma conta for comprometida, recuperar de uma interrupção e provar que os controlos estão realmente implementados. Isto inclui frequentemente a forma como a sua empresa gere as palavras-passe. Uma política de palavras-passe forte e um gestor de palavras-passe empresarial seguro estão entre as melhores práticas de gestão de palavras-passe mais eficazes que pode implementar.
MFA
Este é um dos primeiros controlos que as seguradoras procuram porque muitos pedidos de indemnização derivam do uso indevido de credenciais. Pode ser-lhe perguntado se o 2FA está ativado para e-mail, VPNs, acesso remoto, plataformas na nuvem, gestores de palavras-passe e outras aplicações críticas.
A avaliação pode também ir mais longe, perguntando se o MFA é aplicado a todos os utilizadores, apenas a determinados sistemas ou apenas a contas de administrador, e como funciona realmente essa aplicação.
Há uma diferença entre o MFA estar disponível e o MFA ser obrigatório: o subscritor vai querer saber se é aplicado, se é configurado no fornecedor de identidade ou aplicação a aplicação, e o que acontece quando alguém falha ou contorna a solicitação.
Uma resposta mais sólida mostra onde o MFA é exigido, que aplicações estão abrangidas, como é aplicado e como as exceções são aprovadas e revistas.
Proteção de contas de administrador e privilegiadas
As seguradoras também querem compreender como a sua empresa protege contas com acesso elevado. As contas de administrador podem alterar definições, criar utilizadores, aceder a dados sensíveis, desativar controlos de segurança ou mover-se entre sistemas, o que as torna especialmente valiosas para os atacantes.
As empresas podem ser questionadas sobre se o acesso de administrador está limitado a pessoas específicas, é revisto regularmente, está protegido com MFA e está separado das contas de utilizador do dia a dia. As provas podem incluir políticas de acesso, listas de utilizadores, permissões baseadas em cargos e registos que mostram atividade privilegiada.
Cópias de segurança e preparação para recuperação
As cópias de segurança são importantes porque as seguradoras olham para além da prevenção. Também querem saber com que rapidez a sua empresa consegue recuperar. Se um ataque de ransomware, uma eliminação acidental ou uma falha do sistema afetar a sua empresa, a seguradora quer saber se consegue recuperar sem pagar um resgate ou perder dados críticos.
Isto significa normalmente ter cópias de segurança regulares, protegidas contra acesso não autorizado e testadas. Não basta dizer que existem cópias de segurança. Deve estar preparado para mostrar o que é copiado, com que frequência as cópias de segurança são executadas, onde são armazenadas, quem lhes pode aceder e quando foi testada a última restauração.
Segurança de pontos finais e e-mail
Muitos ataques começam através da caixa de entrada ou do dispositivo de um funcionário, por isso as seguradoras perguntam frequentemente sobre proteção de pontos finais e e-mail. Isto pode incluir anti-malware, deteção de pontos finais, filtragem de spam, proteção contra phishing e controlos que bloqueiam anexos, ligações ou tentativas de início de sessão suspeitas.
Especificamente em relação ao e-mail, as seguradoras podem também perguntar se o seu domínio utiliza autenticação de e-mail (SPF, DKIM e DMARC) para impedir que os atacantes mistifiquem o endereço da sua empresa.
Para as empresas mais pequenas, isto pode ser gerido por um fornecedor de TI ou através de funcionalidades incorporadas nas ferramentas que já utilizam. O importante é conseguir explicar que proteção está ativa, que dispositivos e contas estão abrangidos e como são tratados os alertas ou incidentes.
Gestão de patches
O software desatualizado dá aos atacantes um caminho mais fácil para os sistemas da empresa. Por este motivo, as seguradoras podem perguntar com que rapidez a sua empresa aplica atualizações de segurança a sistemas operativos, navegadores, aplicações, servidores e outro software crítico.
Podem também perguntar se as atualizações são automáticas, revistas manualmente ou geridas por um fornecedor de TI externo. Uma resposta mais sólida explica quem é responsável pela gestão de patches, como são monitorizadas as atualizações e como a empresa lida com vulnerabilidades urgentes.
Formação em segurança para funcionários
As seguradoras sabem que os funcionários são frequentemente alvo de phishing, engenharia social, faturas falsas, ligações maliciosas e roubo de credenciais.
A formação recorrente em consciencialização de segurança ajuda a reduzir essa exposição, e a formação em consciencialização de phishing em particular aborda o tipo de ataque por detrás da maioria dos pedidos de indemnização relacionados com credenciais. Ainda assim, a avaliação pode exigir mais do que uma declaração genérica de que os funcionários receberam formação.
As empresas podem precisar de mostrar com que frequência a formação acontece, o que abrange, se os novos funcionários recebem integração e se os colaboradores sabem como comunicar atividade suspeita. Uma formação prática e recorrente é mais útil do que uma sessão única que ninguém revisita.
Planeamento de resposta a incidentes
Um plano de resposta a incidentes escrito mostra que a sua empresa sabe o que fazer quando algo corre mal. As seguradoras podem perguntar se a sua empresa tem um processo documentado para identificar, comunicar, conter e escalar incidentes de segurança.
O plano deve deixar claro quem é responsável, quem precisa de ser contactado, como são preservadas as provas e como a empresa comunica com funcionários, fornecedores, clientes, advogados ou reguladores quando necessário. Mesmo um plano simples é melhor do que contar com a improvisação durante uma crise.
Controlos de acesso de terceiros
Fornecedores, contratados, agências, fornecedores de TI e parceiros de software podem introduzir risco quando têm acesso a sistemas ou dados da empresa. As seguradoras podem perguntar se o acesso de terceiros é limitado, revisto e removido quando já não é necessário.
Podem também procurar MFA nas contas de fornecedores, credenciais separadas para utilizadores externos e um processo claro para aprovar o acesso. A empresa deve conseguir mostrar quem tem acesso, a que podem aceder, por que motivo precisam dele e quando esse acesso foi revisto pela última vez.
Uma lista de verificação prática para o seguro cibernético
Antes de iniciar uma candidatura ou renovação de seguro cibernético, a sua empresa deve reunir provas de que os seus controlos de segurança não estão apenas planeados, mas já a funcionar. Os subscritores não esperam que todas as empresas mais pequenas tenham documentação ao nível empresarial. Mas esperam respostas claras, práticas consistentes e provas de que a empresa consegue explicar como são geridos o acesso, a recuperação, a formação e a resposta a incidentes.
Uma lista de verificação não garante cobertura nem prémios mais baixos, mas pode tornar a sua avaliação mais eficaz, reduzir o vai e vem e ajudar a empresa a entrar no processo de subscrição com respostas mais sólidas.
Lista de verificação de preparação para o seguro cibernético
MFA
Provas a preparar: Lista de sistemas onde o MFA é aplicado, incluindo e-mail, aplicações na nuvem, acesso remoto, contas de administrador e quaisquer exceções documentadas.
Gestão de palavras-passe
Provas a preparar: Política do gestor de palavras-passe, registos de adoção pelos utilizadores, estrutura de cofres partilhados, definições de administrador e relatórios que mostram palavras-passe fracas, reutilizadas ou expostas.
Cópias de segurança
Provas a preparar: calendário de cópias de segurança, localização do armazenamento, controlos de acesso, política de retenção e a data do teste de restauro mais recente.
Plano de resposta a incidentes
Provas a preparar: plano de resposta escrito, contactos de escalonamento, cargos internos, passos de reporte e qualquer exercício de simulação ou revisão do plano recente.
Registos de formação
Provas a preparar: datas de formação em segurança, registos de presença, materiais de integração, conteúdos de sensibilização para phishing e instruções de reporte para os colaboradores.
Gestão de patches
Provas a preparar: política de correções, registos de atualizações, lista de sistemas abrangidos, detalhes de propriedade e registos de remediação urgente de vulnerabilidades.
Revisão de acessos privilegiados
Provas a preparar: lista de utilizadores administradores, permissões baseadas em cargos, registos de revisão de acessos, estado de MFA para contas privilegiadas e documentação de saída.
Porque é que as empresas têm dificuldade em qualificar-se
As empresas têm frequentemente dificuldade com o seguro cibernético porque a candidatura expõe lacunas que as operações diárias podem ocultar. Uma empresa pode ter MFA em alguns sistemas, cópias de segurança implementadas, um fornecedor de TI disponível e colaboradores que conhecem os princípios básicos do phishing. Mas as seguradoras procuram consistência em toda a empresa: onde os controlos são aplicados, quem é responsável por eles, com que frequência são revistos e que provas sustentam cada resposta.
Isto é especialmente difícil para empresas mais pequenas que construíram a segurança gradualmente, sem documentação formal. O acesso pode ser concedido através de sistemas diferentes, as credenciais partilhadas podem ainda estar em folhas de cálculo em vez de num gestor de palavras-passe de equipa seguro, as cópias de segurança podem não ter sido testadas recentemente e a formação em segurança pode acontecer de forma informal.
Nenhum destes problemas significa automaticamente que uma empresa não é segurável, mas podem criar atrasos, exclusões, prémios mais elevados ou perguntas adicionais durante a subscrição.
As candidaturas mais fortes normalmente não são as que têm os programas de segurança mais complexos. São as que conseguem mostrar claramente como funcionam os controlos essenciais, onde estão as lacunas restantes e o que a empresa está a fazer para as fechar.
Como o risco das PME afeta as conversas sobre seguros
As seguradoras preocupam-se com os controlos porque as pequenas e médias empresas não são invisíveis para os atacantes. O Relatório de Cibersegurança para PME da Proton revelou que uma em cada quatro PME sofreu um incidente no ano passado, apesar de ter medidas de cibersegurança implementadas. O relatório também aponta o erro humano, as políticas de segurança inconsistentes e a falta de controlo de dados como causas principais.
Muitas empresas abordam as suas candidaturas de seguro cibernético com medidas de segurança já implementadas, mas a avaliação mostra frequentemente se essas medidas são consistentes, atuais e fáceis de provar. A MFA pode proteger algumas contas, mas não outras. As cópias de segurança podem ser executadas conforme o calendário, mas não ter um teste de restauro recente por trás. O acesso de administrador pode ter-se expandido à medida que a empresa cresceu, sem um registo claro de quem ainda precisa dele.
Para um COO ou proprietário de uma empresa, esse escrutínio pode ser útil antes mesmo de a apólice ser emitida. Transforma suposições quotidianas em provas específicas: listas de acesso, registos de cópias de segurança, cobertura de MFA, práticas de palavras-passe, políticas documentadas e lacunas conhecidas. Em vez de confiar no que as pessoas acreditam estar a acontecer, a empresa obtém uma imagem mais clara de como os seus controlos funcionam realmente.
Vista desta forma, a avaliação não é apenas um obstáculo à cobertura. Pode ajudar a empresa a identificar as fraquezas que seriam mais importantes durante um incidente e a corrigi-las antes que se tornem mais difíceis, mais dispendiosas ou mais perturbadoras de resolver.
Como o Proton Pass ajuda na preparação para o seguro cibernético
As avaliações de seguro cibernético analisam a empresa como um todo, incluindo cópias de segurança, correções, resposta a incidentes, formação de colaboradores, segurança de rede e risco de fornecedores. Um gestor de palavras-passe não consegue satisfazer todos os requisitos por si só, mas pode reforçar uma das áreas que as seguradoras examinam de perto: a forma como a sua empresa gere a gestão de credenciais e o acesso.
Um gestor de palavras-passe empresarial como o Proton Pass for Business ajuda as equipas a substituir hábitos de palavras-passe inseguros por um sistema mais controlado. Os colaboradores podem criar e armazenar palavras-passe únicas em cofres de palavras-passe encriptados de ponto a ponto, usar o preenchimento automático para reduzir a reutilização, gerir chaves de acesso e partilhar credenciais em segurança sem depender de e-mail, folhas de cálculo, tópicos de conversa ou palavras-passe guardadas no navegador.
A autenticação de dois fatores incorporada também ajuda as equipas a manter palavras-passe e códigos de verificação num único fluxo de trabalho seguro, em vez de dispersar o acesso por diferentes aplicações e dispositivos pessoais, o que acrescenta fricção e empurra as pessoas para atalhos.
Enquanto gestor de palavras-passe para equipas de TI, o Proton Pass acrescenta a visibilidade e o controlo necessários para tornar essas práticas mais fáceis de aplicar. As equipas podem configurar requisitos de palavras-passe, aplicar políticas de 2FA, gerir o acesso ao cofre, atribuir permissões baseadas em cargos, provisionar utilizadores com SCIM, suportar início de sessão único (SSO) e usar registos para revisões de conformidade ou resposta a incidentes. Estas funcionalidades podem apoiar perguntas comuns de subscrição sobre MFA, gestão de palavras-passe, credenciais partilhadas, acesso privilegiado, integração, saída e revisões de acesso.
A candidatura mais ampla de seguro cibernético ainda precisará de documentação em todo o resto do programa de segurança. Mas, para a parte das credenciais da avaliação, o Proton Pass pode ajudar a sua empresa a dar uma resposta mais clara: quem tem acesso, como as credenciais são protegidas, como a partilha é controlada e que provas estão disponíveis quando um subscritor pergunta.
Assinale todos os requisitos do seguro cibernético com um gestor de palavras-passe empresarial.
