Ansökningar om cyberförsäkring kändes tidigare mest som pappersarbete. I dag känns de mer som en säkerhetsgranskning. En företagare eller COO som förnyar en försäkring kan få frågor om multifaktorautentisering (MFA), säkerhetskopior, åtkomstkontroller, personalutbildning, patchning, incidenthantering och lösenordshantering innan försäkringsbolaget ens bekräftar villkoren.
Försäkringsgivare vill veta vilka kontroller som finns på plats, var de tillämpas, hur konsekvent de efterlevs och om verksamheten kan bevisa det. Det beror på att cyberförsäkring inte kan ersätta cybersäkerhet. Den finns vid sidan av säkerhetskontroller, incidentberedskap, återställningsprocesser och riskhantering som en del av att hantera cyberrisk.
För företag som förbereder sig för att ansöka om eller förnya: här är vad du behöver veta om vad försäkringsgivarna förväntar sig se innan de känner sig trygga med att ta på sig risken.
Vad riskbedömare för cyberförsäkring egentligen kontrollerar
De kontroller som de flesta försäkringsgivare förväntar sig
En praktisk checklista för cyberförsäkring
Varför företag har svårt att kvalificera sig
Hur risker för små och medelstora företag påverkar försäkringsdiskussioner
Hur Proton Pass stöder beredskap för cyberförsäkring
Vad riskbedömare för cyberförsäkring egentligen kontrollerar
En cyberförsäkringsbedömning är utformad för att förstå hur sannolikt det är att ett företag drabbas av en cyberincident, hur allvarlig incidenten kan bli och hur väl förberett företaget är på att återhämta sig.
Riskbedömaren tittar inte bara på vad ett företag gör eller hur mycket intäkter det genererar. De vill också förstå hur företaget hanterar åtkomst, inloggningsuppgifter, data, system, leverantörer och kontinuitet. Ett företag med svaga admin-kontroller, ingen MFA-tillämpning och otestade säkerhetskopior har en annan riskprofil än ett företag som kan visa upp tydliga policyer, tillämpade kontroller och bevis på återställning.
Det är därför cyberförsäkringskrav ofta fokuserar på operativ säkerhet. Försäkringsgivare vill veta om angripare enkelt kan ta sig in, om företaget kan begränsa skadorna och om viktiga system kan återställas utan att betala lösensumma eller vara offline i flera dagar.
Underwriting av cyberförsäkring kan innebära ett detaljerat frågeformulär, uppföljningsfrågor, begäranden om bevis, skanningar eller samtal med IT-leverantörer. För mindre företag kan denna process vara svår, särskilt när säkerhetsarbetet inte har fastställt formella processer.
Det räcker till exempel inte att säga att ditt företag använder MFA. En försäkringsgivare kan vilja veta var och hur MFA tillämpas, om det omfattar admin-konton och vilka kritiska applikationer som i så fall lämnas utanför. Ett starkare svar är specifikt, dokumenterat och underbyggt med bevis.
De kontroller som de flesta försäkringsgivare förväntar sig
Krav för cyberförsäkring varierar beroende på leverantör, policytyp, företagsstorlek och riskprofil. Ändå letar de flesta bedömningar nu efter samma grundläggande tecken: om ditt företag kan förhindra vanliga attacker, begränsa skadorna om ett konto komprometteras, återhämta sig från störningar och bevisa att kontroller faktiskt finns på plats. Detta inkluderar ofta hur ditt företag hanterar lösenord. En stark lösenordspolicy och en säker lösenordshanterare för företag är bland de mest effektiva bästa metoderna för lösenordshantering du kan införa.
MFA
Detta är en av de första kontrollerna försäkringsgivare letar efter, eftersom många skadeanspråk härrör från missbruk av inloggningsuppgifter. Du kan bli ombedd att ange om 2FA är aktiverat för e-post, VPN, fjärråtkomst, molnplattformar, lösenordshanterare och andra kritiska applikationer.
Bedömningen kan också gå längre och fråga om MFA tillämpas för alla användare, endast för vissa system eller endast för admin-konton, och hur den tillämpningen faktiskt fungerar.
Det är skillnad på att MFA är tillgängligt och att MFA är obligatoriskt: en riskbedömare vill veta om det tillämpas, om det konfigureras hos identitetsleverantören eller app för app, och vad som händer när någon misslyckas eller kringgår uppmaningen.
Ett starkare svar visar var MFA krävs, vilka applikationer som omfattas, hur det tillämpas och hur undantag godkänns och granskas.
Skydd för admin- och privilegierade konton
Försäkringsgivare vill också förstå hur ditt företag skyddar konton med förhöjd åtkomst. Admin-konton kan ändra inställningar, skapa användare, få åtkomst till känsliga data, inaktivera säkerhetskontroller eller flytta mellan system, vilket gör dem särskilt värdefulla för angripare.
Företag kan bli ombedda att ange om admin-åtkomst är begränsad till specifika personer, granskas regelbundet, skyddas med MFA och separeras från vanliga användarkonton. Bevis kan inkludera åtkomstpolicyer, användarlistor, rollbaserade behörigheter och loggar som visar privilegierad aktivitet.
Säkerhetskopior och återställningsberedskap
Säkerhetskopior spelar roll eftersom försäkringsgivare ser bortom förebyggande åtgärder. De vill också veta hur snabbt ditt företag kan återhämta sig. Om en ransomware-attack, oavsiktlig radering eller systemfel drabbar ditt företag, vill försäkringsgivaren veta om det kan återhämta sig utan att betala lösensumma eller förlora kritiska data.
Detta innebär vanligtvis att ha säkerhetskopior som är regelbundna, skyddade från obehörig åtkomst och testade. Det räcker inte att säga att säkerhetskopior finns. Du bör vara redo att visa vad som säkerhetskopieras, hur ofta säkerhetskopior körs, var de lagras, vem som kan få åtkomst till dem och när återställning senast testades.
Slutpunkts- och e-postsäkerhet
Många attacker börjar via en anställds inkorg eller enhet, så försäkringsgivare frågar ofta om skydd för slutpunkter och e-post. Detta kan inkludera anti-malware, slutpunktsdetektering, skräppostfiltrering, nätfiskeskydd och kontroller som blockerar misstänkta bilagor, länkar eller inloggningsförsök.
För e-post specifikt kan försäkringsgivare också fråga om din domän använder e-postautentisering (SPF, DKIM och DMARC) för att stoppa angripare från att spoofa företagets adress.
För mindre företag kan detta hanteras av en IT-leverantör eller genom inbyggda funktioner i de verktyg de redan använder. Det viktiga är att kunna förklara vilket skydd som är aktivt, vilka enheter och konton som omfattas och hur varningar eller incidenter hanteras.
Hantering av programkorrigeringar
Föråldrad mjukvara ger angripare en enklare väg in i företagets system. På grund av detta kan försäkringsgivare fråga hur snabbt ditt företag tillämpar säkerhetsuppdateringar för operativsystem, webbläsare, applikationer, servrar och annan kritisk mjukvara.
De kan också fråga om uppdateringar är automatiska, manuellt granskade eller hanteras av en extern IT-leverantör. Ett starkare svar förklarar vem som ansvarar för patchhantering, hur uppdateringar spåras och hur företaget hanterar akuta sårbarheter.
Säkerhetsutbildning för anställda
Försäkringsgivare vet att anställda ofta utsätts för nätfiske, social manipulering, falska fakturor, skadliga länkar och stöld av inloggningsuppgifter.
Återkommande säkerhetsmedvetenhetsträning hjälper till att minska den exponeringen, och nätfiskemedvetenhetsträning särskilt hanterar den attacktyp som ligger bakom de flesta anspråk relaterade till inloggningsuppgifter. Ändå kan bedömningen kräva mer än ett allmänt uttalande om att anställda är utbildade.
Företag kan behöva visa hur ofta utbildning sker, vad den omfattar, om nyanställda får introduktion och om personalen vet hur man rapporterar misstänkt aktivitet. Praktisk, återkommande utbildning är mer användbar än en engångssession som ingen återvänder till.
Planering av incidenthantering
En skriftlig incidenthanteringsplan visar att ditt företag vet vad som ska göras när något går fel. Försäkringsgivare kan fråga om ditt företag har en dokumenterad process för att identifiera, rapportera, begränsa och eskalera säkerhetsincidenter.
Planen bör tydliggöra vem som är ansvarig, vem som behöver kontaktas, hur bevis bevaras och hur företaget kommunicerar med anställda, leverantörer, kunder, juridiskt ombud eller tillsynsmyndigheter vid behov. Även en enkel plan är bättre än att förlita sig på improvisation under en kris.
Åtkomstkontroller för tredje part
Leverantörer, entreprenörer, byråer, IT-leverantörer och mjukvarupartner kan innebära risk när de har åtkomst till affärssystem eller data. Försäkringsgivare kan fråga om åtkomst för tredje part är begränsad, granskad och borttagen när den inte längre behövs.
De kan också leta efter MFA på leverantörskonton, separata inloggningsuppgifter för externa användare och en tydlig process för att godkänna åtkomst. Företaget bör kunna visa vem som har åtkomst, vad de kan få åtkomst till, varför de behöver det och när åtkomsten senast granskades.
En praktisk checklista för cyberförsäkring
Innan du påbörjar en ansökan eller förnyelse av cyberförsäkring bör ditt företag samla bevis på att dess säkerhetskontroller inte bara är planerade, utan redan fungerar. Riskbedömare förväntar sig inte att varje mindre företag har dokumentation på företagsnivå. Men de förväntar sig tydliga svar, konsekventa rutiner och bevis på att företaget kan förklara hur åtkomst, återställning, utbildning och incidenthantering hanteras.
En checklista garanterar inte täckning eller lägre premier, men den kan göra din bedömning mer effektiv, minska fram- och tillbakaskickandet och hjälpa företaget att gå in i underwriting-processen med starkare svar.
Checklista för beredskap inför cyberförsäkring
MFA
Bevis att förbereda: Lista över system där MFA tillämpas, inklusive e-post, molnappar, fjärråtkomst, admin-konton och eventuella dokumenterade undantag.
Lösenordshantering
Bevis att förbereda: Policy för lösenordshanterare, register över användaranvändning, struktur för delade valv, admin-inställningar och rapporter som visar svaga, återanvända eller exponerade lösenord.
Säkerhetskopior
Bevis att förbereda: Schema för säkerhetskopiering, lagringsplats, åtkomstkontroller, lagringspolicy och datumet för det senaste återställningstestet.
Incidentplan
Underlag att förbereda: Skriftlig beredskapsplan, eskaleringskontakter, interna roller, rapporteringssteg och eventuell nyligen genomförd bordsövning eller genomgång av planen.
Utbildningsregister
Underlag att förbereda: Datum för säkerhetsutbildningar, närvaroregister, introduktionsmaterial, innehåll för nätfiskemedvetenhet och rapporteringsinstruktioner för anställda.
Hantering av programkorrigeringar
Underlag att förbereda: Policy för patchning, uppdateringsloggar, lista över omfattade system, ägaruppgifter och dokumentation för akut åtgärdande av sårbarheter.
Granskning av privilegierad åtkomst
Underlag att förbereda: Lista över adminanvändare, rollbaserade behörigheter, register över åtkomstgranskningar, MFA-status för privilegierade konton och avslutningsdokumentation.
Varför företag har svårt att kvalificera sig
Företag har ofta svårt med cyberförsäkringar eftersom ansökan blottlägger luckor som den dagliga verksamheten kan dölja. Ett företag kan ha MFA på vissa system, säkerhetskopior på plats, en IT-leverantör tillgänglig och anställda som kan grunderna i nätfiske. Men försäkringsbolag letar efter konsekvens i hela verksamheten: där kontroller tillämpas, vem som äger dem, hur ofta de ses över och vilket underlag som stöder varje svar.
Detta är särskilt svårt för mindre företag som har byggt upp sin säkerhet gradvis, utan formell dokumentation. Åtkomst kan beviljas genom olika system, delade inloggningsuppgifter kan fortfarande finnas i kalkylblad i stället för i en säker lösenordshanterare för team, säkerhetskopior kanske inte har testats nyligen och säkerhetsutbildning kan ske informellt.
Inget av dessa problem innebär automatiskt att ett företag inte går att försäkra, men de kan leda till förseningar, undantag, högre premier eller följdfrågor under riskbedömningen.
De starkaste ansökningarna är vanligtvis inte de med de mest komplexa säkerhetsprogrammen. De är de som tydligt kan visa hur kärnkontroller fungerar, var de kvarvarande luckorna finns och vad företaget gör för att täppa till dem.
Hur risker för små och medelstora företag påverkar försäkringsdiskussioner
Försäkringsbolag bryr sig om kontroller eftersom små och medelstora företag inte är osynliga för angripare. Protons SMB Cybersecurity Report visade att vart fjärde litet eller medelstort företag drabbades av intrång förra året trots att de hade cybersäkerhetsåtgärder på plats. Rapporten pekar också på mänskliga fel, inkonsekventa säkerhetspolicyer och bristande datakontroll som huvudorsaker.
Många företag närmar sig sina cyberförsäkringsansökningar med säkerhetsåtgärder redan på plats, men bedömningen visar ofta om dessa åtgärder är konsekventa, aktuella och lätta att styrka. MFA kan skydda vissa konton men inte andra. Säkerhetskopior kan köras enligt schema men sakna ett nyligen genomfört återställningstest. Adminåtkomst kan ha utökats i takt med att företaget växt, utan ett tydligt register över vem som fortfarande behöver den.
För en COO eller företagare kan den granskningen vara användbar redan innan försäkringen har utfärdats. Den förvandlar vardagliga antaganden till konkret underlag: åtkomstlistor, register över säkerhetskopior, MFA-täckning, lösenordsrutiner, dokumenterade policyer och kända luckor. I stället för att förlita sig på vad folk tror händer får företaget en tydligare bild av hur kontrollerna faktiskt fungerar.
Sett på det sättet är bedömningen inte bara ett hinder för försäkring. Den kan hjälpa företaget att identifiera de svagheter som skulle spela störst roll vid ett intrång och åtgärda dem innan de blir svårare, dyrare eller mer störande att hantera.
Hur Proton Pass stöder beredskap för cyberförsäkring
Bedömningar för cyberförsäkring tittar på verksamheten som helhet, inklusive säkerhetskopior, patchning, incidenthantering, personalutbildning, nätverkssäkerhet och leverantörsrisk. En lösenordshanterare kan inte uppfylla alla krav på egen hand, men den kan stärka ett av de områden som försäkringsbolag granskar noga: hur ditt företag hanterar hantering av inloggningsuppgifter och åtkomst.
En lösenordshanterare för företag som Proton Pass for Business hjälper team att ersätta osäkra lösenordsvanor med ett mer kontrollerat system. Anställda kan skapa och lagra unika lösenord i end-to-end-krypterade lösenordsvalv, använda autofyll för att minska återanvändning, hantera passnycklar och på ett säkert sätt dela inloggningsuppgifter utan att förlita sig på e-post, kalkylblad, chattrådar eller lösenord som sparats i webbläsaren.
Inbyggd tvåfaktorsautentisering hjälper också team att hålla lösenord och verifieringskoder i ett säkert arbetsflöde, i stället för att sprida ut åtkomst över olika appar och personliga enheter, vilket skapar friktion och driver människor mot genvägar.
Som en lösenordshanterare för IT-team ger Proton Pass den synlighet och kontroll som behövs för att göra dessa rutiner lättare att upprätthålla. Team kan konfigurera lösenordskrav, upprätthålla 2FA-policyer, hantera åtkomst till valv, tilldela rollbaserade behörigheter, etablera användare med SCIM, stödja enkel inloggning (SSO) och använda loggar för efterlevnad eller granskning av incidenthantering. Dessa funktioner kan stödja vanliga frågor vid riskbedömning kring MFA, lösenordshantering, delade inloggningsuppgifter, privilegierad åtkomst, introduktion, avslut och åtkomstgranskningar.
Den bredare cyberförsäkringsansökan kommer fortfarande att behöva dokumentation inom resten av säkerhetsprogrammet. Men för den del av bedömningen som gäller inloggningsuppgifter kan Proton Pass hjälpa ditt företag att ge ett tydligare svar: vem som har åtkomst, hur inloggningsuppgifter skyddas, hur delning kontrolleras och vilket underlag som finns tillgängligt när en riskbedömare frågar.
Bocka av alla punkter för cyberförsäkring med en lösenordshanterare för företag.
