Transfer ryzyka w praktyce

Firewall ogranicza możliwość dostępu do sieci, a kopia zapasowa może pomóc odzyskać informacje. Żaden z tych elementów nie rozstrzyga jednak, kto sfinansuje doradztwo prawne, obsługę roszczeń albo ekonomiczne skutki zatrzymania pracy. Właśnie tę drugą warstwę należy analizować przy zakupie ubezpieczenia.

Nie oznacza to przeniesienia całego ryzyka na zakład ubezpieczeń. Firma nadal ponosi udział własny, wydatki poza zakresem oraz skutki przekraczające dostępne limity. Zarząd powinien znać te wartości przed incydentem, kiedy ma jeszcze możliwość zaplanowania rezerwy.

Zdarzenie, szkoda, zgłoszenie

W opisie cyberataku często mieszają się trzy pojęcia. Zdarzeniem może być nieuprawniony dostęp. Szkodą może być określona utrata zysku albo koszt dochodzeniowy. Zgłoszenie uruchamia natomiast procedurę obsługi przewidzianą w umowie. Sama obecność ataku nie dowodzi jeszcze istnienia ubezpieczonej szkody.

Pkt 1 OWU rozróżnia kategorie ochrony i ich warunki czasowe. Znaczenie mają również definicje, data wsteczna, okres ubezpieczenia oraz reguły zgłoszenia. Dlatego porównując dwie propozycje, trzeba sprawdzić zarówno katalog kosztów, jak i moment, w którym zdarzenie lub roszczenie ma zostać stwierdzone i zgłoszone.

Co sprawdzić w firmie

Zidentyfikuj właściciela każdego procesu: sprzedaży, finansów, produkcji, rezerwacji i obsługi klienta. Przy każdym zapisz krytyczny system, dostawcę oraz maksymalny akceptowalny czas niedostępności. Dodaj lokalizację kopii i datę ostatniego udanego testu odtworzenia.

Następnie ustal, czy incydent może dotyczyć jednocześnie własnych operacji i zobowiązań wobec innych podmiotów. Software house świadczący usługi klientom ma inny problem niż sklep korzystający z gotowej platformy. OC zawodowe, polisa majątkowa i cyber mogą odpowiadać na różne fragmenty takiej ekspozycji.

Dlaczego OWU trzeba czytać razem z polisą

OWU definiują konstrukcję umowy, natomiast polisa identyfikuje podmioty, sumę, udział własny, okres oczekiwania i inne uzgodnienia. Ogólny opis na stronie nie potwierdza włączenia konkretnego ryzyka do indywidualnej oferty. Ewentualne odstępstwa trzeba odczytywać z dokumentacji umownej.

Przed decyzją poproś o wyjaśnienie trzech scenariuszy właściwych firmie: zatrzymania własnych systemów, utraty danych oraz problemu u dostawcy. Zapisz odpowiedzi z odniesieniami do dokumentów. To praktyczny sposób sprawdzenia, czy oczekiwania nie wykraczają poza proponowaną ochronę.

Bezpieczeństwo i finansowanie