Ubezpieczenie cyber dla firm
Ubezpieczenie cyber uzupełnia zabezpieczenia techniczne i procedury. Nie działa „od wszystkiego”: zakres, suma ubezpieczenia, udział własny, okres oczekiwania i wyłączenia wynikają z polisy oraz OWU.
Dobra analiza cyberpolisy łączy zakres ochrony z konkretnym profilem ryzyka firmy.
W aktualnych OWU PZU ochrona jest opisana przez cztery główne obszary: szkody z tytułu roszczeń, szkodę związaną z zakłóceniem działalności, koszty naprawienia po Naruszeniu Danych lub Naruszeniu Bezpieczeństwa Sieci oraz określone szkody związane ze standardami PCI. Każdy z tych obszarów ma własne definicje i warunki.
Cztery rzeczy do sprawdzenia przed zawarciem umowy
Najlepszy punkt wyjścia to nie cena, lecz zgodność zakresu z rzeczywistą ekspozycją firmy.
Zdarzenia
Jakie incydenty są zdefiniowane w OWU i polisie?
Koszty
Jakie kategorie kosztów mogą być objęte ochroną?
Ograniczenia
Jak działają limity, udział własny, Okres Oczekiwania i wyłączenia?
Wymagania
Jakie informacje i zabezpieczenia są potrzebne w procesie oceny ryzyka?
Zakres trzeba czytać razem z definicjami
Samo wystąpienie cyberataku nie przesądza o odpowiedzialności PZU. Znaczenie mają m.in. definicja zdarzenia, data wsteczna, moment zgłoszenia, limity, udział własny i wyłączenia.
OWU nakładają konkretne obowiązki bezpieczeństwa
OWU wymagają m.in. biznesowej zapory firewall na zewnętrznych bramkach, biznesowego programu antywirusowego na serwerach i punktach końcowych oraz kopii danych niezbędnych do działalności co najmniej raz na 7 dni. Naruszenie tych obowiązków może wyłączyć odpowiedzialność za szkody spowodowane takim naruszeniem lub z nim związane.
Zakłócenie działalności ma własne zasady
Dla szkody związanej z zakłóceniem działalności OWU przewidują Okres Oczekiwania wskazany w polisie. Ochrona utraty zysku brutto i uzasadnionych wydatków jest ograniczona zasadami z OWU, w tym maksymalnym okresem do 180 dni od początku przerwy.
Nie każdy podmiot może być Ubezpieczającym w tej formule
OWU UZ/162/2023 stanowią, że Ubezpieczającym nie może być osoba fizyczna. Na podstawie OWU UZ/162/2023 nie można potwierdzić możliwości zawarcia tej umowy przez osobę fizyczną prowadzącą JDG. Taki przypadek wymaga odrębnej weryfikacji w PZU przed przedstawieniem produktu.
Cyberbezpieczeństwo i cyberubezpieczenie pełnią różne role
Polisa nie zastępuje zabezpieczeń technicznych i organizacyjnych. Oba obszary powinny się uzupełniać.
| Obszar | Cyberbezpieczeństwo | Cyberubezpieczenie |
|---|---|---|
| Cel | Ograniczanie prawdopodobieństwa i skutków incydentu. | Finansowanie i organizacja określonych skutków zdarzenia, jeśli mieszczą się w umowie. |
| Przed incydentem | MFA, backup, aktualizacje, segmentacja, kontrola dostępu, procedury. | Ocena ryzyka, dobór zakresu, sum, limitów i udziału własnego. |
| Po incydencie | Izolacja, analiza, odtworzenie i poprawa zabezpieczeń. | Zgłoszenie zdarzenia i korzystanie z ochrony zgodnie z polisą oraz OWU. |