Ubezpieczenie cyber dla biura rachunkowego
Jak rozdzielić cyberincydent biura od odpowiedzialności za księgowość?
Biuro rachunkowe powinno ocenić dostęp do danych wielu klientów, terminowość pracy oraz uprawnienia do ich usług. Incydent na jednym serwerze może dotknąć wielu odrębnych podmiotów. Polisa cyber nie zastępuje analizy OC zawodowego, odpowiedzialności umownej ani pełnomocnictw używanych w obsłudze klientów.
Jeden system może zawierać dokumenty wielu administratorów
Przygotuj mapę danych: księgi, faktury, płace, dokumenty pracowników i korespondencję. Określ, kiedy biuro działa jako administrator, a kiedy jako podmiot przetwarzający. W incydencie nie wystarczy jedna zbiorcza informacja, że „wyciekły dane klientów”; zakres naruszenia trzeba powiązać z poszczególnymi zbiorami i umowami.
Ustal, gdzie przechowywane są pełnomocnictwa, certyfikaty i dostęp do usług klientów. Konta współdzielone utrudniają odtworzenie, kto wykonał operację. Powrót programu księgowego nie przywraca automatycznie bezpieczeństwa wszystkich uprawnień, jeśli przejęte zostały również tokeny, sesje albo poczta.
| Zasób | Potencjalny skutek | Co warto ustalić |
|---|---|---|
| Program księgowy | Przerwanie księgowania i raportowania | Kopie baz i test przywrócenia |
| Płace i kadry | Ryzyko dla danych pracowników klientów | Rozdzielenie zbiorów i uprawnień |
| Poczta i pełnomocnictwa | Podszywanie się w kontaktach | Lista dostępu i sposób jego odwołania |
Terminy nie czekają na zakończenie analizy IT
Plan awaryjny powinien wskazywać prace z najbliższym terminem, możliwy sposób wykonania i osobę kontaktową po stronie klienta. Zamiast jednego czasu odtworzenia całego serwera przygotuj kolejność przywracania usług. Część czynności wymaga dostępu do aktualnych danych źródłowych, których nie zastąpi starsza kopia.
W kosztach rozdziel dodatkową pracę po odtworzeniu, utratę własnej marży i roszczenia klientów. Sankcja podatkowa klienta albo kara umowna nie jest automatycznie objęta cyberpolisą. Takie pytania wymagają zestawienia właściwych polis i rzeczywistych okoliczności, nie ogólnego hasła „ochrona finansowa”.
Dane do przygotowania oferty
Podaj liczbę obsługiwanych podmiotów i użytkowników, model pracy zdalnej, dostawców programu oraz sposób przekazywania dokumentów. Warto wskazać, czy klient sam loguje się do portalu, czy dokumenty przychodzą jako załączniki do wiadomości. To dwa różne modele ekspozycji i kontroli dostępu.
Sprawdź MFA do poczty i administracji, przechowywanie kopii poza kontem produkcyjnym oraz test odtworzenia jednej bazy. Ustal zasady zawiadamiania klientów po incydencie i dostępny kontakt awaryjny. Do zapytania nie dołączaj baz księgowych, deklaracji ani list płac; opis skali i kategorii danych powinien wystarczyć na początek.
Uzgodnienie baz po odtworzeniu
Po odzyskaniu programu porównaj datę kopii z ostatnimi zaksięgowanymi dokumentami i potwierdzeniami wysłanych operacji. Odtworzenie starszej bazy może wymagać uzupełnienia pracy, lecz nie wolno dublować zapisów już przyjętych przez system zewnętrzny. Za akceptację stanu powinien odpowiadać wskazany opiekun klienta.
Własny rejestr incydentu powinien obejmować moment wykrycia, decyzje o przywracaniu i potwierdzone okresy ograniczenia pracy. Rozdziel koszt odtworzenia od zwykłych obowiązków wykonywanych po opóźnieniu. Jeżeli klient zgłasza roszczenie, zachowaj oryginalną treść i datę otrzymania; nie zastępuj jej swobodnym opisem rozmowy. Przekazanie dokumentów wymaga bezpiecznego kanału i właściwego zakresu.
Najczęstsze pytania
Czy OC biura automatycznie obejmie odtworzenie baz?
Nie należy tak zakładać. Sprawdź zakres własnych kosztów, odpowiedzialność zawodową i wyłączenia w obu umowach.
Czy zawiadomienie klienta zastępuje zgłoszenie UODO?
Nie. To odrębne czynności. Role i obowiązki trzeba ustalić na podstawie charakteru danych, umów oraz oceny naruszenia.
Na czym opieramy informacje
- PZU: OWU od ryzyk cybernetycznych UZ/162/2023Punkty 1–4, 2.29, 2.30; dokument sprawdzony 2026-11-06. Zakres zależy także od polisy.
- UODO: jakie naruszenia trzeba zgłosićObowiązki administratora wymagają oceny ryzyka. Dostęp 2026-11-06.
- CERT Polska: Bezpieczna PocztaMechanizmy weryfikacji nadawcy SPF, DKIM, DMARC. Dostęp 2026-11-06.
Opisy scenariuszy mają charakter hipotetyczny. Daty źródeł podano przy poszczególnych dokumentach, gdy były dostępne.