Kybernetické poistenie: čo poisťovne vyžadujú a ako sa pripraviť

Kybernetické poistenie, teda poistenie kybernetických rizík, dáva zmysel len vtedy, keď firma spĺňa bezpečnostné požiadavky poisťovne. Poisťovne sa dnes pýtajú podrobnejšie ako pred pár rokmi a pri škodovej udalosti môžu overovať, či odpovede v dotazníku zodpovedali skutočnosti. Pozrite sa, čo poistenie typicky kryje, čo poisťovne vyžadujú a ako poistiť firmu proti kybernetickému útoku tak, aby plnenie naozaj prišlo.

Čo poistenie reálne rieši

Kybernetické poistenie dokáže pokryť časť škôd, ale len vtedy, keď firma splní podmienky. Poisťovne požadujú dôkazy o tom, že bezpečnosť je nastavená správne.

Ak tieto podmienky chýbajú, poistné plnenie nemusí prísť.

Čo kybernetické poistenie typicky kryje a čo nie

Rozsah krytia sa medzi poisťovňami líši, preto vždy rozhoduje konkrétna poistná zmluva. V praxi sa však opakuje podobná štruktúra:

• Vlastné škody firmy: náklady na riešenie incidentu, forenznú analýzu, obnovu dát a systémov a často aj ušlý zisk počas prerušenia prevádzky.
• Zodpovednosť voči tretím stranám: nároky zákazníkov a partnerov, ktorých dáta pri útoku unikli.
• Asistenčné služby: linka, na ktorej poisťovňa po nahlásení incidentu zabezpečí špecialistov na jeho riešenie.

Časté výluky tvoria škody spôsobené známou zraniteľnosťou, ktorú firma dlhodobo neopravila, incidenty, ktoré vznikli pred začiatkom poistenia, a škody pri nepravdivo vyplnenom dotazníku. Podvody typu falošná faktúra alebo podvrhnutý e-mail od „riaditeľa“ bývajú kryté len ako pripoistenie. Či sú poistiteľné pokuty od úradov, závisí od zmluvy aj od právnej úpravy.

Na čo firmy často zabúdajú

Najčastejšie chýba pravidelné testovanie obnovy, kontrola prístupov a aktualizácie. Poisťovne to považujú za základ, nie za niečo navyše.

Bez týchto krokov firma riskuje nielen útok, ale aj odmietnutie plnenia.

Dotazník poisťovne: čo musí firma vedieť preukázať

Pred uzavretím zmluvy vyplníte bezpečnostný dotazník. Otázky sa medzi poisťovňami líšia, no takmer vždy sa týkajú týchto oblastí:

1. Viacfaktorové overenie pre e-mail, vzdialený prístup a administrátorské účty.
2. Zálohy oddelené od produkčnej siete, ideálne nemenné, a pravidelne otestovaná obnova.
3. Ochrana koncových zariadení, typicky riešenie EDR namiesto obyčajného antivírusu.
4. Inštalácia bezpečnostných aktualizácií v definovanom čase, najmä pri kritických zraniteľnostiach.
5. Správa privilegovaných účtov: kto má administrátorské práva a prečo.
6. Filtrovanie e-mailov a ochrana pred phishingom.
7. Pravidelné školenie zamestnancov.
8. Plán reakcie na incident s jasnými úlohami a kontaktmi.

Každú odpoveď „áno“ by ste mali vedieť doložiť, napríklad exportom nastavení, reportom zo zálohovacieho systému alebo záznamom z testu obnovy. Vo firme so stovkami zariadení nestačí, že opatrenie existuje. Poisťovňu zaujíma aj to, či pokrýva všetky počítače, servery a pobočky.

Ako sa pripraviť

Najrozumnejší postup je mať prehľad o systémoch a pravidelne ich kontrolovať. Audit ukáže, kde sú slabé miesta a čo treba doplniť.

Na prípravu pomôže IT audit.

Ako poistiť firmu proti kybernetickému útoku v piatich krokoch

1. Zmapujte riziká. Zistite, ktoré systémy a dáta sú pre firmu kritické a koľko dní bez nich vydržíte. Od toho sa odvíja potrebný rozsah krytia.
2. Porovnajte realitu s dotazníkom. Ešte pred rokovaním s poisťovňou si prejdite jej požiadavky a overte, čo máte naozaj nastavené.
3. Doplňte chýbajúce opatrenia. Viacfaktorové overenie alebo oddelené zálohy sa dajú zaviesť v priebehu niekoľkých týždňov, čo býva rýchlejšie ako samotné uzatváranie zmluvy.
4. Vyplňte dotazník pravdivo. Nepresná odpoveď patrí medzi typické dôvody sporov o poistné plnenie.
5. Udržujte stav počas celej zmluvy. Poistenie sa obnovuje každý rok a opatrenia musia fungovať priebežne, nie len v deň podpisu.

Technickú časť, teda nastavenie ochrany, záloh a prístupov tak, aby ste odpovede v dotazníku vedeli doložiť, vám pomôžu pripraviť naši špecialisti na kybernetickú bezpečnosť firiem. Výber poisťovne a posúdenie zmluvy zostáva na vás a vašom poisťovacom sprostredkovateľovi.

Čo by vás ešte mohlo zaujímať

Oplatí sa kybernetické poistenie aj malej firme?

Áno, ak by firma dlhší výpadok alebo únik dát finančne neuniesla. Malé firmy mávajú menšie rezervy, takže aj niekoľkodňové prerušenie prevádzky ich zasiahne citeľne. Poistenie však nenahrádza zabezpečenie, poisťovňa bude aj od malej firmy chcieť viacfaktorové overenie a funkčné zálohy.

Zaplatí poisťovňa výkupné pri ransomvéri?

Závisí to od konkrétnej zmluvy a mnohé poisťovne výkupné nekryjú alebo ho obmedzujú. Omnoho spoľahlivejšie je mať otestované zálohy, z ktorých viete obnoviť prevádzku bez platby. Zaplatenie výkupného navyše nezaručuje, že dáta dostanete späť.

Ako dlho trvá príprava firmy na kybernetické poistenie?

Ak má firma základy v poriadku, na vyplnenie dotazníka a doplnenie dokladov stačí niekoľko dní. Ak chýba viacfaktorové overenie, oddelené zálohy alebo EDR, počítajte typicky s niekoľkými týždňami. V organizáciách so stovkami zariadení a viacerými pobočkami trvá zjednotenie opatrení dlhšie, preto je dobré začať s predstihom.