Ubezpieczenie cyber dla firmy może pokrywać określone koszty powstałe po ataku hakerskim, ransomware, wycieku danych albo awarii systemów spowodowanej incydentem cybernetycznym. W zależności od konkretnej polisy ochrona może obejmować zarówno własne straty przedsiębiorstwa, np. odtworzenie danych i przerwę w działalności, jak i odpowiedzialność wobec klientów lub innych osób, których dane zostały naruszone.
Polisa cyber nie zastępuje jednak zabezpieczeń technicznych. Ubezpieczyciel przed zawarciem umowy może wymagać m.in. stosowania kopii zapasowych, uwierzytelniania wieloskładnikowego czy aktualizacji systemów, a ostateczny zakres ochrony zawsze wynika z warunków konkretnego ubezpieczenia.
Czym jest ubezpieczenie cyber i dla kogo jest przeznaczone?
Ubezpieczenie cyber to polisa chroniąca przed określonymi finansowymi skutkami incydentów dotyczących systemów informatycznych, sieci i danych. Może być przydatna zarówno dużej firmie technologicznej, jak i niewielkiemu przedsiębiorcy, który korzysta z poczty elektronicznej, bankowości internetowej, systemu księgowego lub przechowuje dane klientów.
Ryzyko cybernetyczne nie dotyczy wyłącznie firm prowadzących działalność online.
Atak może zatrzymać sprzedaż, uniemożliwić dostęp do dokumentów, zaszyfrować komputery pracowników, spowodować ujawnienie danych osobowych albo doprowadzić do roszczeń kontrahentów.
Szczególnie narażone są firmy:
- przetwarzające dane osobowe klientów,
- korzystające z systemów sprzedażowych i magazynowych,
- posiadające sklepy internetowe,
- prowadzące płatności elektroniczne,
- świadczące usługi profesjonalne,
- przechowujące dokumentację medyczną lub finansową,
- uzależnione od ciągłego dostępu do systemów IT.
Wyciek danych może uruchomić także obowiązki wynikające z RODO. Administrator powinien zgłosić naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych.
Najczęstsze zagrożenia cybernetyczne dla firm
Najpoważniejsze incydenty nie muszą polegać na spektakularnym „włamaniu hakera”. Dla firmy równie groźne mogą być ransomware, przejęcie konta e-mail, wyłudzenie przelewu czy kradzież danych dostępowych pracownika.
Ministerstwo Cyfryzacji wskazywało m.in. na rosnące znaczenie wycieków danych oraz ataków ransomware. W praktyce takie incydenty mogą prowadzić jednocześnie do przerwy operacyjnej, utraty danych i problemów prawnych.
Atak ransomware i szyfrowanie danych
Ransomware może zablokować firmie dostęp do systemów, plików i kopii dokumentów, a następnie doprowadzić do wielodniowego przestoju. Nowoczesne ataki często łączą szyfrowanie z wcześniejszą kradzieżą danych i groźbą ich publikacji.
Dla przedsiębiorstwa problemem nie jest wyłącznie sam zaszyfrowany komputer.
Koszty mogą obejmować:
- pracę specjalistów IT,
- analizę sposobu włamania,
- odtworzenie danych,
- zakup lub ponowną konfigurację sprzętu,
- utracone przychody podczas przestoju,
- powiadomienie klientów,
- konsultacje prawne.
Ministerstwo Cyfryzacji zalicza ransomware prowadzące do wycieków danych do najbardziej destrukcyjnych rodzajów cyberataków.
Nie każda polisa automatycznie pokrywa natomiast zapłatę żądanej przez przestępców kwoty. Taki element może podlegać osobnym warunkom, ograniczeniom prawnym lub wyłączeniom.
Wyciek i utrata danych osobowych
Wyciek danych może oznaczać nieuprawnione ujawnienie, dostęp, utratę lub zmianę informacji dotyczących klientów, pracowników lub kontrahentów. Oprócz kosztów technicznych firma może wtedy ponosić koszty realizacji obowiązków wynikających z ochrony danych osobowych.
Incydent może wymagać szybkiej oceny ryzyka, ustalenia zakresu naruszenia oraz kontaktu z UODO.
Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, administrator może być również zobowiązany do poinformowania osób, których dane dotyczą.
Ubezpieczenie cyber może – zależnie od wariantu – pokrywać m.in. koszty ekspertów pomagających ustalić, jakie informacje wyciekły oraz jakie obowiązki należy w związku z tym wykonać.
Phishing i oszustwa płatnicze, np. „fałszywy prezes”
Phishing może prowadzić zarówno do kradzieży danych logowania, jak i do bezpośredniej straty pieniędzy. Szczególnym przykładem jest fraud typu „fałszywy prezes”, w którym pracownik otrzymuje wiarygodnie wyglądające polecenie wykonania pilnego przelewu.
Trzeba jednak uważać przy wyborze polisy.
Ochrona przed skutkami samego włamania do systemu nie zawsze oznacza automatyczne pokrycie pieniędzy dobrowolnie przelanych przez pracownika na konto oszusta.
Ryzyko social engineering, phishingu lub fraudu płatniczego może wymagać osobnego rozszerzenia. Warto to sprawdzić w OWU przed zawarciem umowy.
Co obejmuje polisa cyber – zakres ochrony
Dobra polisa cyber może łączyć ochronę własnych kosztów przedsiębiorstwa z odpowiedzialnością cywilną wobec osób trzecich. Zakres powinien być dobrany do tego, jakie dane firma posiada i jak poważne byłyby skutki kilkugodzinnego lub kilkudniowego wyłączenia jej systemów.
W dużym uproszczeniu warto rozróżnić:
Polisa cyber może obejmować | Polisa może nie obejmować bez dodatkowego rozszerzenia |
odtworzenie systemów i danych | płatności wykonane wskutek „fałszywego prezesa” |
informatykę śledczą | każde żądanie okupu |
koszty prawników po naruszeniu | wcześniej znane incydenty |
określoną przerwę w działalności | szkody wynikające z niespełniania wymogów bezpieczeństwa |
odpowiedzialność wobec osób trzecich | kary umowne |
koszty komunikacji kryzysowej | każde naruszenie własności intelektualnej |
reakcję na naruszenie danych | zdarzenia wyłączone terytorialnie lub jurysdykcyjnie |
Ostateczny zakres zależy zawsze od polisy i OWU.
Koszty odtworzenia danych i systemów IT
Po cyberataku jednym z największych kosztów może być przywrócenie przedsiębiorstwa do normalnej pracy. Ubezpieczenie może obejmować uzasadnione koszty odtworzenia danych, rekonfiguracji systemów albo pracy specjalistów IT.
Nie oznacza to jednak gwarancji odzyskania wszystkich informacji.
Polisa finansuje określone działania i koszty, natomiast techniczna możliwość przywrócenia danych zależy m.in. od jakości kopii zapasowych i skali uszkodzenia.
Dlatego podczas zakupu warto sprawdzić, czy ubezpieczenie pokrywa zarówno odtworzenie danych, jak i koszty zewnętrznych ekspertów.
Przerwa w działalności spowodowana atakiem
Incydent cybernetyczny może zatrzymać działalność nawet wtedy, gdy fizyczny majątek firmy nie został uszkodzony. Polisa może obejmować określoną utratę zysku lub dodatkowe koszty działania powstałe w wyniku przestoju systemów.
Przykładem może być sklep internetowy, który przez trzy dni nie może realizować zamówień po ataku ransomware.
Warto sprawdzić:
- minimalny czas przestoju uruchamiający ochronę,
- maksymalny okres odpowiedzialności,
- sposób obliczania utraconego wyniku,
- limit świadczenia,
- czy awaria dostawcy usług IT również jest objęta ochroną.
Odpowiedzialność cywilna wobec osób trzecich – RODO, klienci, kontrahenci
Cyberatak może prowadzić nie tylko do własnych kosztów firmy, ale również do roszczeń klientów lub innych osób. Polisa może obejmować odpowiedzialność cywilną związaną z naruszeniem bezpieczeństwa danych albo poufności informacji, w granicach wskazanych w umowie.
Jeżeli doszło do ujawnienia danych, osoby poszkodowane mogą dochodzić swoich praw niezależnie od tego, czy firma była bezpośrednim sprawcą ataku.
Właśnie dlatego przy ochronie danych osobowych trzeba analizować nie tylko techniczne zabezpieczenia, ale też potencjalne koszty odpowiedzialności wobec osób trzecich.
Koszty obsługi incydentu – prawnicy, informatycy śledczy, PR
Pierwsze godziny po ataku mogą decydować o skali późniejszych strat. Polisa cyber może finansować dostęp do specjalistów zajmujących się informatyką śledczą, prawem, ochroną danych oraz komunikacją kryzysową.
Takie wsparcie może być szczególnie istotne, gdy firma nie posiada własnego dużego działu IT czy zespołu prawnego.
Po poważnym wycieku trzeba równolegle:
ustalić źródło ataku, odciąć przestępców od systemu, określić zakres wycieku, ocenić obowiązki RODO i przygotować komunikację.
Czego ubezpieczenie cyber zwykle nie obejmuje – wyłączenia i ograniczenia
Polisa cyber nie oznacza nieograniczonej odpowiedzialności ubezpieczyciela za każdy problem informatyczny. Szczególnie dokładnie trzeba sprawdzić wymagania dotyczące zabezpieczeń, wcześniejszych incydentów, działań umyślnych, kar umownych i określonych rodzajów oszustw.
W zależności od ubezpieczyciela wyłączenia lub ograniczenia mogą dotyczyć m.in.:
- zdarzeń znanych przed zawarciem polisy,
- działania umyślnego,
- braku wymaganych zabezpieczeń,
- nieaktualizowania krytycznych systemów mimo znanej podatności,
- awarii niezwiązanych z incydentem cybernetycznym,
- kar umownych,
- części sankcji administracyjnych,
- fraudu płatniczego bez odpowiedniego rozszerzenia,
- określonych zdarzeń wojennych lub państwowych operacji cybernetycznych.
Firma powinna więc sprawdzić nie tylko listę ryzyk objętych ochroną, ale również warunki, które musi spełniać przez cały okres ubezpieczenia.
Ile kosztuje ubezpieczenie cyber i od czego zależy składka?
Cena polisy cyber zależy od profilu ryzyka przedsiębiorstwa, dlatego nie istnieje jeden uniwersalny cennik dla wszystkich firm. Znaczenie mają m.in. przychody, branża, liczba przetwarzanych danych, suma ubezpieczenia i poziom zabezpieczeń informatycznych.
Ubezpieczyciel może pytać o:
- roczne przychody,
- rodzaj działalności,
- liczbę pracowników,
- liczbę rekordów danych osobowych,
- kopie zapasowe,
- MFA,
- aktualizacje systemów,
- ochronę poczty,
- historię wcześniejszych incydentów,
- współpracę z dostawcami zewnętrznymi.
Znaczenie ma także oczekiwany zakres: odpowiedzialność wobec osób trzecich, przerwa w działalności, fraud czy wyższe limity mogą wpływać na wysokość składki.
Jak przygotować firmę do zawarcia polisy cyber?
Przed zakupem polisy warto najpierw ustalić, jakie systemy i dane są krytyczne dla działalności oraz ile kosztowałby ich kilkudniowy brak. Kolejnym krokiem powinno być sprawdzenie istniejących zabezpieczeń i dopasowanie sumy ubezpieczenia do realnej skali potencjalnej szkody.
Dobrą praktyką jest przygotowanie odpowiedzi na pytania:
- jakie dane przechowujemy,
- gdzie są kopie zapasowe,
- kto ma uprawnienia administracyjne,
- czy używamy MFA,
- jaki byłby koszt jednego dnia przestoju,
- czy współpracujemy z dostawcami chmurowymi,
- czy mieliśmy wcześniej incydenty,
- jakie wymagania wobec cyberubezpieczenia mają kontrahenci.
Nie warto również analizować polisy cyber w oderwaniu od pozostałych ryzyk przedsiębiorstwa. Przy wyborze ubezpieczeń dla firm można zestawić cyber z OC działalności, ochroną majątku czy innymi polisami i sprawdzić, gdzie kończy się odpowiedzialność jednego produktu, a zaczyna drugiego.
Podsumowanie
Ubezpieczenie cyber dla firmy może ograniczyć finansowe skutki ataku hakerskiego, ransomware, utraty danych lub wycieku informacji o klientach. Ochrona może obejmować zarówno własne koszty przedsiębiorstwa, jak i odpowiedzialność wobec osób trzecich.
Szczególnie ważne są koszty odtworzenia systemów, informatyka śledcza, przerwa w działalności oraz obsługa naruszenia danych osobowych. W wielu produktach dostępne są także koszty prawników i zarządzania komunikacją kryzysową.
Nie każde zdarzenie jest jednak objęte automatycznie. Fraud płatniczy, zapłata okupu, określone kary czy zdarzenia wynikające z braku wymaganych zabezpieczeń mogą podlegać wyłączeniom.
Dlatego przy wyborze polisy warto zacząć nie od ceny, ale od pytania: jakie zdarzenie cybernetyczne mogłoby najbardziej zaszkodzić naszej firmie i ile kosztowałoby przywrócenie normalnego działania?
FAQ – ubezpieczenie cyber dla firmy
Czy ubezpieczenie cyber obejmuje ransomware?
Może obejmować określone skutki ransomware, np. informatykę śledczą, odtworzenie danych lub przestój. Nie oznacza to automatycznej ochrony każdego kosztu, w tym zapłaty okupu.
Czy polisa cyber pokrywa wyciek danych osobowych?
Może obejmować koszty reakcji na naruszenie oraz odpowiedzialność cywilną, jeżeli przewidują to warunki polisy.
Czy cyberubezpieczenie obejmuje karę za RODO?
Nie należy zakładać automatycznego pokrycia każdej administracyjnej kary pieniężnej. Zakres dotyczący sankcji zależy od warunków produktu oraz dopuszczalności ich ubezpieczenia.
Czy polisa pokrywa przestój firmy?
Może obejmować przerwę w działalności spowodowaną incydentem cybernetycznym, ale zwykle obowiązują limity i warunki dotyczące czasu trwania przestoju.
Czy firma bez sklepu internetowego potrzebuje ubezpieczenia cyber?
Ryzyko może występować także w firmie stacjonarnej, jeśli korzysta ona z systemów IT, poczty, bankowości elektronicznej albo przetwarza dane klientów.
Czy phishing jest objęty polisą?
Skutki przejęcia konta lub incydentu bezpieczeństwa mogą mieścić się w ochronie. Utrata pieniędzy wskutek oszustwa typu social engineering często wymaga jednak osobnego rozszerzenia.
Czy polisa cyber zastępuje zabezpieczenia IT?
Nie. Ubezpieczyciel może wręcz uzależniać udzielenie ochrony od stosowania określonych zabezpieczeń.
