Firewall i ochrona urządzeń

OWU odnoszą firewall do wszystkich zewnętrznych bramek systemu informatycznego ubezpieczonego. Nie wystarczy samo posiadanie urządzenia w jednym biurze, jeżeli inne punkty dostępu pozostają poza opisanym zabezpieczeniem. Antywirus klasy biznesowej ma obejmować serwery i punkty końcowe zgodnie z treścią obowiązku.

Praktycznym zadaniem działu IT jest sporządzenie inwentaryzacji oraz wskazanie właściciela utrzymania ochrony. Warto zebrać potwierdzenie wdrożenia i działania. Zakup licencji bez konfiguracji, aktualizacji i nadzoru nie powinien stanowić podstawy bezwarunkowej odpowiedzi we wniosku.

Kopie zapasowe: częstotliwość i odtwarzalność

Pkt 16.1 przewiduje kopie danych niezbędnych do działalności co najmniej raz na siedem dni. Obowiązek ma zostać nałożony również na dostawcę chmury; gdy dane są kopiowane na nośniki mobilne, OWU wskazują zabezpieczenie tych nośników w innej lokalizacji.

Minimum umowne nie rozstrzyga, czy firma akceptuje utratę kilku dni pracy. Dla sklepu lub systemu medycznego może to być biznesowo zbyt wiele. Dlatego osobno ustal dopuszczalną utratę danych i czas odtworzenia, wykonaj próbę przywrócenia oraz dokumentuj wynik. To zalecenie zarządzania ciągłością, a nie dopisany przez serwis paragraf OWU.

MFA i underwriting

Uwierzytelnianie wieloskładnikowe ogranicza ryzyko przejęcia kont, ale nie należy twierdzić, że występuje jako identyczny, samodzielny obowiązek we wszystkich umowach cyber. Aktualny formularz oceny ryzyka, uzgodnienia i polisa mogą wskazywać dodatkowe wymagania dla konkretnej ścieżki.

Firma powinna sprawdzić rzeczywisty zasięg MFA: pocztę, zdalny dostęp, konta uprzywilejowane i usługi chmurowe. Odpowiedź „mamy MFA” jest zbyt ogólna, gdy działa ono tylko na kilku kontach. Jeżeli istnieją wyjątki, należy je ujawnić zgodnie z pytaniami ubezpieczyciela i wyjaśnić ich zakres.

Co się dzieje przy naruszeniu obowiązków

Pkt 16.2 wiąże brak odpowiedzialności z tymi szkodami, które zostaną spowodowane naruszeniem obowiązków lub będą z nim związane. Nie należy upraszczać tego ani do automatycznego pokrycia każdej szkody, ani do tezy, że pojedynczy błąd zawsze unieważnia całą polisę.

Przed zawarciem umowy stwórz macierz: wymaganie, podstawa w dokumencie, odpowiedzialna osoba, dowód, termin uzupełnienia. Oddziel wymagania umowne od dobrych praktyk. W razie braku zabezpieczenia nie zaznaczaj spełnienia na wyrost; poproś o potwierdzenie dostępnej ścieżki lub działań koniecznych przed przyjęciem ryzyka.

Macierz odpowiedzialności za zabezpieczenia