Đơn xin bảo hiểm mạng trước đây thường giống thủ tục giấy tờ. Ngày nay, chúng giống một cuộc đánh giá bảo mật hơn nhiều. Chủ doanh nghiệp hoặc COO gia hạn chính sách bảo hiểm có thể được hỏi về xác thực đa yếu tố (MFA), sao lưu, kiểm soát truy cập, đào tạo nhân viên, vá lỗi, ứng phó sự cố và quản lý mật khẩu trước khi công ty bảo hiểm xác nhận các điều khoản.
Các chuyên viên thẩm định bảo hiểm muốn biết những biện pháp kiểm soát nào đang được áp dụng, chúng được áp dụng ở đâu, mức độ thực thi nhất quán ra sao và liệu doanh nghiệp có thể chứng minh điều đó hay không. Điều này là vì bảo hiểm mạng không thể thay thế cho an ninh mạng. Bảo hiểm mạng song hành cùng các biện pháp kiểm soát bảo mật, lập kế hoạch ứng phó sự cố, quy trình khôi phục và quản lý rủi ro như một phần của việc quản lý rủi ro mạng.
Với các doanh nghiệp đang chuẩn bị nộp đơn hoặc gia hạn, đây là những điều cần biết về những gì công ty bảo hiểm mong đợi trước khi họ sẵn sàng chấp nhận rủi ro.
Các chuyên viên thẩm định bảo hiểm mạng thực sự kiểm tra những gì
Những biện pháp kiểm soát mà hầu hết công ty bảo hiểm mong đợi
Danh sách kiểm tra bảo hiểm mạng thực tế
Vì sao doanh nghiệp gặp khó khăn để đủ điều kiện
Rủi ro của doanh nghiệp nhỏ và vừa ảnh hưởng đến các cuộc trao đổi về bảo hiểm như thế nào
Proton Pass hỗ trợ mức độ sẵn sàng cho bảo hiểm mạng như thế nào
Các chuyên viên thẩm định bảo hiểm mạng thực sự kiểm tra những gì
Đánh giá bảo hiểm mạng được thiết kế để hiểu khả năng doanh nghiệp gặp sự cố mạng, mức độ nghiêm trọng của sự cố đó và mức độ sẵn sàng khôi phục của doanh nghiệp.
Chuyên viên thẩm định không chỉ xem xét doanh nghiệp làm gì hay tạo ra bao nhiêu doanh thu. Họ cũng muốn hiểu cách doanh nghiệp xử lý quyền truy cập, thông tin đăng nhập, dữ liệu, hệ thống, nhà cung cấp và tính liên tục. Một doanh nghiệp có biện pháp kiểm soát quản trị yếu, không thực thi MFA và sao lưu chưa được kiểm thử sẽ có hồ sơ rủi ro khác với doanh nghiệp có thể đưa ra chính sách rõ ràng, biện pháp kiểm soát được thực thi và bằng chứng khôi phục.
Đó là lý do các yêu cầu bảo hiểm mạng thường tập trung vào bảo mật vận hành. Công ty bảo hiểm muốn biết liệu kẻ tấn công có thể dễ dàng xâm nhập, doanh nghiệp có thể hạn chế thiệt hại và các hệ thống thiết yếu có thể được khôi phục mà không phải trả tiền chuộc hoặc duy trì ngoại tuyến trong nhiều ngày hay không.
Việc thẩm định bảo hiểm mạng có thể bao gồm bảng câu hỏi chi tiết, câu hỏi tiếp theo, yêu cầu cung cấp bằng chứng, quét hoặc trao đổi với nhà cung cấp dịch vụ IT. Với doanh nghiệp nhỏ hơn, quá trình này có thể khó khăn, đặc biệt khi bảo mật chưa có quy trình chính thức.
Ví dụ, chỉ nói rằng công ty bạn sử dụng MFA là chưa đủ. Công ty bảo hiểm có thể muốn biết MFA được thực thi ở đâu và như thế nào, liệu có bao gồm tài khoản quản trị viên hay không và những ứng dụng quan trọng nào, nếu có, bị bỏ sót. Một câu trả lời mạnh mẽ cần cụ thể, được ghi lại và có bằng chứng.
Những biện pháp kiểm soát mà hầu hết công ty bảo hiểm mong đợi
Các yêu cầu bảo hiểm mạng khác nhau tùy theo nhà cung cấp, loại chính sách, quy mô công ty và hồ sơ rủi ro. Tuy nhiên, hầu hết các đánh giá hiện nay đều tìm kiếm những dấu hiệu cơ bản giống nhau: liệu doanh nghiệp có thể ngăn chặn các cuộc tấn công phổ biến, hạn chế thiệt hại nếu một tài khoản bị xâm phạm, khôi phục sau gián đoạn và chứng minh rằng các biện pháp kiểm soát thực sự đang được áp dụng hay không. Điều này thường bao gồm cách doanh nghiệp xử lý mật khẩu. Một chính sách mật khẩu mạnh mẽ và một trình quản lý mật khẩu doanh nghiệp an toàn nằm trong số những thực hành quản lý mật khẩu tốt nhất hiệu quả nhất mà doanh nghiệp có thể áp dụng.
MFA
Đây là một trong những biện pháp kiểm soát đầu tiên mà công ty bảo hiểm tìm kiếm vì nhiều yêu cầu bồi thường bắt nguồn từ việc lạm dụng thông tin đăng nhập. Doanh nghiệp có thể được hỏi liệu 2FA có được kích hoạt cho email, VPN, truy cập từ xa, nền tảng đám mây, trình quản lý mật khẩu và các ứng dụng quan trọng khác hay không.
Đánh giá cũng có thể đi xa hơn, hỏi liệu MFA có được thực thi cho tất cả người dùng, chỉ cho một số hệ thống nhất định hay chỉ cho tài khoản quản trị viên, và việc thực thi đó thực sự diễn ra như thế nào.
Có sự khác biệt giữa việc MFA khả dụng và MFA bắt buộc: chuyên viên thẩm định sẽ muốn biết liệu MFA có được thực thi hay không, được cấu hình tại nhà cung cấp danh tính hay theo từng ứng dụng, và điều gì xảy ra khi ai đó không vượt qua hoặc bỏ qua lời nhắc.
Một câu trả lời mạnh mẽ hơn cho thấy MFA được yêu cầu ở đâu, những ứng dụng nào được bao phủ, cách MFA được thực thi và cách các trường hợp ngoại lệ được phê duyệt và xem xét.
Bảo vệ tài khoản quản trị viên và tài khoản đặc quyền
Công ty bảo hiểm cũng muốn hiểu cách doanh nghiệp bảo vệ các tài khoản có quyền truy cập cao. Tài khoản quản trị viên có thể thay đổi cài đặt, tạo người dùng, truy cập dữ liệu nhạy cảm, vô hiệu hóa biện pháp kiểm soát bảo mật hoặc di chuyển giữa các hệ thống, khiến chúng đặc biệt có giá trị đối với kẻ tấn công.
Doanh nghiệp có thể được hỏi liệu quyền truy cập quản trị có bị giới hạn cho những người cụ thể, được xem xét thường xuyên, được bảo vệ bằng MFA và tách biệt khỏi tài khoản người dùng thông thường hay không. Bằng chứng có thể bao gồm chính sách truy cập, danh sách người dùng, quyền dựa trên vai trò và nhật ký cho thấy hoạt động đặc quyền.
Sao lưu và mức độ sẵn sàng khôi phục
Sao lưu quan trọng vì công ty bảo hiểm nhìn xa hơn phòng ngừa. Họ cũng muốn biết doanh nghiệp có thể khôi phục nhanh đến mức nào. Nếu một cuộc tấn công mã độc tống tiền, xóa nhầm hoặc lỗi hệ thống ảnh hưởng đến doanh nghiệp, công ty bảo hiểm muốn biết liệu doanh nghiệp có thể khôi phục mà không phải trả tiền chuộc hoặc mất dữ liệu quan trọng hay không.
Điều này thường có nghĩa là có các bản sao lưu thường xuyên, được bảo vệ khỏi truy cập trái phép và được kiểm thử. Chỉ nói rằng có bản sao lưu là chưa đủ. Doanh nghiệp cần sẵn sàng cho biết những gì được sao lưu, tần suất chạy sao lưu, nơi lưu trữ, ai có thể truy cập và lần cuối cùng việc khôi phục được kiểm thử là khi nào.
Bảo mật điểm cuối và email
Nhiều cuộc tấn công bắt đầu từ hộp thư đến hoặc thiết bị của nhân viên, vì vậy công ty bảo hiểm thường hỏi về bảo vệ điểm cuối và email. Điều này có thể bao gồm chống mã độc, phát hiện điểm cuối, lọc thư rác, bảo vệ chống lừa đảo và các biện pháp kiểm soát chặn tệp đính kèm, liên kết hoặc nỗ lực đăng nhập đáng ngờ.
Riêng với email, công ty bảo hiểm cũng có thể hỏi liệu miền của doanh nghiệp có sử dụng xác thực email (SPF, DKIM và DMARC) để ngăn kẻ tấn công giả mạo địa chỉ của công ty hay không.
Với doanh nghiệp nhỏ hơn, việc này có thể do nhà cung cấp dịch vụ IT xử lý hoặc thông qua các tính năng tích hợp trong công cụ họ đã sử dụng. Điều quan trọng là có thể giải thích biện pháp bảo vệ nào đang hoạt động, thiết bị và tài khoản nào được bao phủ cũng như cách xử lý cảnh báo hoặc sự cố.
Quản lý bản vá
Phần mềm lỗi thời tạo đường dễ dàng hơn cho kẻ tấn công xâm nhập hệ thống doanh nghiệp. Vì vậy, công ty bảo hiểm có thể hỏi doanh nghiệp áp dụng bản cập nhật bảo mật nhanh đến mức nào cho hệ điều hành, trình duyệt, ứng dụng, máy chủ và phần mềm quan trọng khác.
Họ cũng có thể hỏi liệu các bản cập nhật có tự động, được xem xét thủ công hay được quản lý bởi nhà cung cấp dịch vụ IT bên ngoài hay không. Một câu trả lời mạnh mẽ hơn giải thích ai chịu trách nhiệm quản lý bản vá, cách theo dõi cập nhật và cách doanh nghiệp xử lý các lỗ hổng khẩn cấp.
Đào tạo bảo mật cho nhân viên
Công ty bảo hiểm biết rằng nhân viên thường là mục tiêu của lừa đảo, kỹ thuật xã hội, hóa đơn giả, liên kết độc hại và đánh cắp thông tin đăng nhập.
Đào tạo nhận thức bảo mật định kỳ giúp giảm nguy cơ đó, và đào tạo nhận thức về lừa đảo đặc biệt giải quyết kiểu tấn công đằng sau hầu hết các yêu cầu bồi thường liên quan đến thông tin đăng nhập. Tuy nhiên, đánh giá có thể yêu cầu nhiều hơn một tuyên bố chung rằng nhân viên đã được đào tạo.
Doanh nghiệp có thể cần cho thấy tần suất đào tạo, nội dung đào tạo bao gồm những gì, liệu nhân viên mới có được đào tạo hội nhập hay không và liệu nhân viên có biết cách báo cáo hoạt động đáng ngờ hay không. Đào tạo thực tế, định kỳ hữu ích hơn một phiên đào tạo một lần mà không ai xem lại.
Lập kế hoạch ứng phó sự cố
Một kế hoạch ứng phó sự cố bằng văn bản cho thấy doanh nghiệp biết cần làm gì khi có sự cố. Công ty bảo hiểm có thể hỏi liệu doanh nghiệp có quy trình được ghi lại để nhận diện, báo cáo, hạn chế và leo thang sự cố bảo mật hay không.
Kế hoạch cần nêu rõ ai chịu trách nhiệm, cần liên hệ với ai, cách bảo toàn bằng chứng và cách công ty liên lạc với nhân viên, nhà cung cấp, khách hàng, cố vấn pháp lý hoặc cơ quan quản lý khi cần thiết. Ngay cả một kế hoạch đơn giản cũng tốt hơn việc ứng biến trong khủng hoảng.
Kiểm soát truy cập của bên thứ ba
Nhà cung cấp, nhà thầu, đại lý, nhà cung cấp dịch vụ IT và đối tác phần mềm có thể tạo ra rủi ro khi họ có quyền truy cập vào hệ thống hoặc dữ liệu doanh nghiệp. Công ty bảo hiểm có thể hỏi liệu quyền truy cập của bên thứ ba có được giới hạn, xem xét và xóa khi không còn cần thiết hay không.
Họ cũng có thể tìm kiếm MFA trên tài khoản nhà cung cấp, thông tin đăng nhập riêng cho người dùng bên ngoài và quy trình rõ ràng để phê duyệt quyền truy cập. Doanh nghiệp cần có thể cho biết ai có quyền truy cập, họ có thể truy cập những gì, vì sao họ cần quyền đó và lần cuối quyền truy cập đó được xem xét là khi nào.
Danh sách kiểm tra bảo hiểm mạng thực tế
Trước khi bắt đầu đơn đăng ký hoặc gia hạn bảo hiểm mạng, doanh nghiệp nên thu thập bằng chứng cho thấy các biện pháp kiểm soát bảo mật không chỉ được lên kế hoạch mà còn đang hoạt động. Các chuyên viên thẩm định không kỳ vọng mọi doanh nghiệp nhỏ hơn đều có tài liệu cấp doanh nghiệp. Nhưng họ kỳ vọng có câu trả lời rõ ràng, thực hành nhất quán và bằng chứng rằng công ty có thể giải thích cách xử lý quyền truy cập, khôi phục, đào tạo và ứng phó sự cố.
Danh sách kiểm tra sẽ không đảm bảo được bảo hiểm hoặc giảm phí bảo hiểm, nhưng có thể giúp đánh giá hiệu quả hơn, giảm trao đổi qua lại và giúp doanh nghiệp bước vào quá trình thẩm định với câu trả lời mạnh mẽ hơn.
Danh sách kiểm tra mức độ sẵn sàng cho bảo hiểm mạng
MFA
Bằng chứng cần chuẩn bị: Danh sách các hệ thống nơi MFA được thực thi, bao gồm email, ứng dụng đám mây, truy cập từ xa, tài khoản quản trị viên và mọi trường hợp ngoại lệ đã được ghi lại.
Quản lý mật khẩu
Bằng chứng cần chuẩn bị: Chính sách trình quản lý mật khẩu, hồ sơ sử dụng của người dùng, cấu trúc kho chia sẻ, cài đặt quản trị viên và báo cáo cho thấy mật khẩu yếu, dùng lại hoặc bị lộ.
Sao lưu
Bằng chứng cần chuẩn bị: Lịch sao lưu, vị trí lưu trữ, kiểm soát truy cập, chính sách lưu giữ và ngày kiểm tra khôi phục gần nhất.
Kế hoạch ứng phó sự cố
Bằng chứng cần chuẩn bị: Kế hoạch ứng phó bằng văn bản, liên hệ leo thang, vai trò nội bộ, các bước báo cáo và bất kỳ cuộc diễn tập bàn giấy hoặc đánh giá kế hoạch gần đây.
Hồ sơ đào tạo
Bằng chứng cần chuẩn bị: Ngày đào tạo bảo mật, hồ sơ tham dự, tài liệu giới thiệu nhân viên mới, nội dung nhận thức về lừa đảo và hướng dẫn báo cáo cho nhân viên.
Quản lý bản vá
Bằng chứng cần chuẩn bị: Chính sách vá lỗi, nhật ký cập nhật, danh sách các hệ thống được bảo vệ, chi tiết quyền sở hữu và hồ sơ khắc phục lỗ hổng khẩn cấp.
Đánh giá quyền truy cập đặc quyền
Bằng chứng cần chuẩn bị: Danh sách người dùng quản trị viên, quyền dựa trên vai trò, hồ sơ đánh giá quyền truy cập, trạng thái MFA cho tài khoản đặc quyền và tài liệu thôi việc.
Tại sao doanh nghiệp gặp khó khăn để đủ điều kiện
Doanh nghiệp thường gặp khó khăn với bảo hiểm mạng vì đơn đăng ký phơi bày những lỗ hổng mà hoạt động hàng ngày có thể che giấu. Một công ty có thể có MFA trên một số hệ thống, sao lưu dự phòng, nhà cung cấp dịch vụ IT túc trực và nhân viên hiểu biết cơ bản về lừa đảo. Nhưng các công ty bảo hiểm tìm kiếm sự nhất quán trên toàn doanh nghiệp: kiểm soát được thực thi ở đâu, ai sở hữu chúng, tần suất đánh giá và bằng chứng nào hỗ trợ từng câu trả lời.
Điều này đặc biệt khó khăn đối với các doanh nghiệp nhỏ đã xây dựng bảo mật dần dần mà không có tài liệu chính thức. Quyền truy cập có thể được cấp thông qua các hệ thống khác nhau, thông tin đăng nhập được chia sẻ vẫn có thể nằm trong bảng tính thay vì trong trình quản lý mật khẩu nhóm an toàn, sao lưu có thể chưa được kiểm tra gần đây và đào tạo bảo mật có thể diễn ra không chính thức.
Không có sự cố nào trong số này tự động có nghĩa là doanh nghiệp không thể mua bảo hiểm, nhưng chúng có thể gây ra sự chậm trễ, loại trừ, phí bảo hiểm cao hơn hoặc câu hỏi tiếp theo trong quá trình thẩm định.
Những đơn đăng ký mạnh nhất thường không phải là những đơn có chương trình bảo mật phức tạp nhất. Chúng là những đơn có thể thể hiện rõ ràng cách các kiểm soát cốt lõi hoạt động, những lỗ hổng còn lại ở đâu và doanh nghiệp đang làm gì để khắc phục chúng.
Cách rủi ro SMB ảnh hưởng đến hội thoại về bảo hiểm
Các công ty bảo hiểm quan tâm đến kiểm soát vì doanh nghiệp vừa và nhỏ không vô hình trước những kẻ tấn công. Báo cáo An ninh mạng cho SMB của Proton phát hiện rằng cứ bốn SMB thì có một bị vi phạm trong năm ngoái dù đã có các biện pháp an ninh mạng. Báo cáo cũng chỉ ra lỗi con người, chính sách bảo mật không nhất quán và thiếu kiểm soát dữ liệu là những nguyên nhân chính.
Nhiều doanh nghiệp tiếp cận đơn bảo hiểm mạng của họ với các biện pháp bảo mật đã được thiết lập, nhưng đánh giá thường cho thấy liệu các biện pháp đó có nhất quán, hiện tại và dễ chứng minh không. MFA có thể bảo vệ một số tài khoản nhưng không bảo vệ những tài khoản khác. Sao lưu có thể chạy đúng lịch nhưng không có thử nghiệm khôi phục gần đây. Quyền truy cập quản trị viên có thể đã mở rộng khi công ty phát triển mà không có hồ sơ rõ ràng về ai vẫn cần nó.
Đối với COO hoặc chủ doanh nghiệp, sự giám sát đó có thể hữu ích trước khi hợp đồng bảo hiểm được ban hành. Nó biến những giả định hàng ngày thành bằng chứng cụ thể: danh sách truy cập, hồ sơ sao lưu, phạm vi MFA, thực hành mật khẩu, chính sách được ghi chép và những lỗ hổng đã biết. Thay vì dựa vào những gì mọi người tin là đang diễn ra, doanh nghiệp có được bức tranh rõ ràng hơn về cách các kiểm soát thực sự hoạt động.
Nhìn theo cách này, đánh giá không chỉ là trở ngại cho việc mua bảo hiểm. Nó có thể giúp doanh nghiệp xác định những điểm yếu quan trọng nhất trong một vụ vi phạm và khắc phục chúng trước khi chúng trở nên khó khăn hơn, tốn kém hơn hoặc gây gián đoạn nhiều hơn.
Cách Proton Pass hỗ trợ việc sẵn sàng cho bảo hiểm mạng
Đánh giá bảo hiểm mạng xem xét doanh nghiệp một cách tổng thể, bao gồm sao lưu, vá lỗi, ứng phó sự cố, đào tạo nhân viên, an ninh mạng và rủi ro nhà cung cấp. Một trình quản lý mật khẩu không thể đáp ứng mọi yêu cầu một mình, nhưng nó có thể củng cố một trong những lĩnh vực mà công ty bảo hiểm xem xét kỹ lưỡng: cách doanh nghiệp của bạn xử lý quản lý thông tin đăng nhập và quyền truy cập.
Một trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business giúp các nhóm thay thế thói quen mật khẩu không an toàn bằng một hệ thống được kiểm soát tốt hơn. Nhân viên có thể tạo và lưu trữ mật khẩu duy nhất trong kho mật khẩu được mã hóa đầu cuối, sử dụng tự động điền để giảm việc tái sử dụng, quản lý mã khóa và chia sẻ thông tin đăng nhập một cách an toàn mà không cần dựa vào email, bảng tính, chuỗi trò chuyện hoặc mật khẩu do trình duyệt lưu.
Xác thực hai yếu tố tích hợp cũng giúp các nhóm giữ mật khẩu và mã xác minh trong một quy trình bảo mật, thay vì phân tán quyền truy cập trên các ứng dụng và thiết bị cá nhân khác nhau, điều này gây thêm ma sát và đẩy mọi người đến các đường tắt.
Với tư cách là trình quản lý mật khẩu cho nhóm IT, Proton Pass bổ sung khả năng hiển thị và kiểm soát cần thiết để giúp các thực hành đó dễ thực thi hơn. Các nhóm có thể định cấu hình yêu cầu mật khẩu, thực thi chính sách 2FA, quản lý quyền truy cập kho, gán quyền dựa trên vai trò, cấp phát người dùng bằng SCIM, hỗ trợ đăng nhập một lần (SSO) và sử dụng nhật ký để tuân thủ hoặc đánh giá ứng phó sự cố. Những tính năng này có thể hỗ trợ các câu hỏi thẩm định phổ biến về MFA, quản lý mật khẩu, thông tin đăng nhập được chia sẻ, quyền truy cập đặc quyền, giới thiệu nhân viên mới, thôi việc và đánh giá quyền truy cập.
Đơn bảo hiểm mạng tổng thể vẫn sẽ cần tài liệu trên phần còn lại của chương trình bảo mật. Nhưng đối với phần thông tin đăng nhập của đánh giá, Proton Pass có thể giúp doanh nghiệp của bạn đưa ra câu trả lời rõ ràng hơn: ai có quyền truy cập, thông tin đăng nhập được bảo vệ như thế nào, việc chia sẻ được kiểm soát ra sao và bằng chứng nào có sẵn khi người thẩm định hỏi.
Đánh dấu mọi ô bảo hiểm mạng với một trình quản lý mật khẩu doanh nghiệp.
