क्या एक यूके छोटे व्यवसाय को वास्तव में साइबर बीमा की आवश्यकता है?

साइबर बीमा यूके में कानूनी रूप से आवश्यक नहीं है जैसे नियोक्ता दायित्व बीमा है, लेकिन बीमाकर्ता अब शुरुआत में इतने सारे सुरक्षा प्रश्न पूछते हैं कि एक नीति प्राप्त करना आपको उन खामियों को ठीक करने के लिए मजबूर करता है जो आप अन्यथा अनदेखा कर सकते थे। यदि आप एक छोटा व्यवसाय हैं जो ग्राहक भुगतान डेटा, व्यक्तिगत रिकॉर्ड, या UK GDPR द्वारा कवर किया गया कुछ भी संभालते हैं, तो साइबर कवर को छोड़ना एक जुआ है जिसे अधिकांश मालिक अपनी पहली घटना के बाद पछताते हैं।

बीमाकर्ता उद्धरण देने से पहले क्या जांचते हैं

एक साइबर उद्धरण के लिए पूछें और आप एक प्रस्ताव फॉर्म भरेंगे जो एक मिनी ऑडिट की तरह पढ़ता है। यूके बीमाकर्ताओं से मानक प्रश्न (Hiscox, AXA, और Lloyd's syndicates पर साइबर-विशिष्ट हामीदार सभी एक समान पैटर्न का पालन करते हैं) शामिल हैं:

• ईमेल और रिमोट एक्सेस पर बहु-कारक प्रमाणीकरण (विशेष रूप से RDP — बीमाकर्ता MFA के बिना exposed RDP को लगभग स्वचालित अस्वीकार के रूप में मानते हैं)
• क्या आपके पास ऑफलाइन या immutable बैकअप हैं, और आप उन्हें कितनी बार restore करने का परीक्षण करते हैं
• सभी कंपनी उपकरणों पर endpoint protection, केवल सर्वर नहीं
• महत्वपूर्ण vulnerabilities के लिए patch management timelines
• क्या आपके पास पिछले 3-5 वर्षों में breach या ransomware घटना है
• कर्मचारी security awareness training की आवृत्ति

MFA या backups के लिए "नहीं" का उत्तर दें और आपको या तो अस्वीकार कर दिया जाएगा, बहुत अधिक प्रीमियम पर उद्धृत किया जाएगा, या एक नीति की पेशकश की जाएगी जिसमें ransomware sub-limit है जो व्यावहारिक रूप से बेकार है। यह एक बीमाकर्ता कठिन हो रहा है नहीं — 2021 के बाद से जब ransomware claims में वृद्धि हुई, पूरे उद्योग में payout डेटा ने हामीदारों को आवश्यकताओं को कड़ा करने के लिए धकेल दिया है।

अधिकांश नीतियां जो न्यूनतम तकनीकी आधार की अपेक्षा करती हैं

जो बाजार में प्रस्ताव फॉर्म पर पूछा जाता है, आवेदन करने से पहले इसे अपने floor के रूप में मानें:

• सभी ईमेल खातों और किसी भी रिमोट एक्सेस tooling पर MFA (Microsoft 365 Conditional Access या Duo जैसा एक tool)
• 3-2-1 pattern का पालन करते हुए backups, कम से कम एक कॉपी ऑफलाइन या आपके मुख्य नेटवर्क से air-gapped
• एक documented incident response contact — भले ही यह सिर्फ "इस MSP नंबर को कॉल करें" हो
• Endpoint detection, केवल legacy antivirus नहीं, ग्राहक डेटा को छूने वाली कोई भी चीज पर
• Firewall rules जो खुली इंटरनेट से inbound RDP/SSH को प्रतिबंधित करते हैं

यदि आप Microsoft 365 और एक जोड़ी laptops के माध्यम से सब कुछ चलाने वाला एक पांच-व्यक्ति consultancy हैं, तो यह एक सप्ताहांत में प्राप्य है। यदि आप patching schedule के साथ कोई legacy on-prem servers चला रहे हैं, तो underwriting process लंबा होने और अधिक खर्चीला होने की उम्मीद करें।

पॉलिसी वास्तव में क्या भुगतान करती है

यूके साइबर नीतियां आमतौर पर कई प्रकार के कवर को bundle करती हैं, और यह जानना लायक है कि आवेदन करने से पहले प्रत्येक क्या करता है कि आप सुरक्षित हैं:

• First-party costs: incident response (forensics, आपके breach coach जैसी एक फर्म), business interruption, ransom negotiation और payment (जहां कानूनी हो), data recovery, PR/crisis comms
• Third-party liability: ग्राहकों या partners से दावे जिनका डेटा exposed था, साथ ही regulatory defence costs
• ICO fines: कवर अलग-अलग है — कुछ policies regulatory fines को पूरी तरह exclude करते हैं क्योंकि UK में penalties की insurability कानूनी रूप से murky है, इसलिए इस clause को सावधानी से पढ़ें बजाय यह मान लेने के कि यह included है

एक £2m business interruption limit उदार लगता है जब तक आप यह calculate नहीं करते कि downtime का एक सप्ताह वास्तव में खोए हुए invoicing, staff time, और client churn में आपको कितना खर्च करता है। एक limit चुनने से पहले उस संख्या को स्वयं model करें — केवल broker की default recommendation न लें।

क्या आपको बीमा के बिना भी एक breach की legally रिपोर्ट करनी होगी?

हां, और यह छोटे व्यवसायों को पकड़ता है। UK GDPR के तहत, यदि एक breach लोगों के अधिकारों और स्वतंत्रताओं को जोखिम में डालता है, तो आपको 72 घंटों में ICO को notify करना चाहिए, बीमा हो या न हो। साइबर बीमा उस दायित्व को नहीं हटाता — यह forensics और कानूनी समर्थन के लिए भुगतान करता है जो deadline को पूरा करना realistic बनाता है। एक junior IT contractor और एक Word document का उपयोग करके breach response को चलाने का प्रयास करना ही है कि कैसे businesses देर से self-report करते हैं और मूल घटना की तुलना में अधिक ICO scrutiny को आकर्षित करते हैं।

सामान्य gaps जो छोटे business owners को trip करते हैं

• यह मानना कि एक general business insurance policy साइबर घटनाओं को cover करता है — अधिकांश अब इसे explicitly exclude करते हैं
• प्रस्ताव फॉर्म पर known vulnerabilities को disclose नहीं करना (बीमाकर्ता material non-disclosure के लिए policy को void कर सकते हैं)
• सबसे सस्ती policy खरीदना बिना ransomware sub-limit को check किए, जो कभी-कभी headline coverage amount का एक fraction है
• कोई named incident response provider नहीं, जिसका अर्थ है कि आप actual attack के दौरान एक को खोजने के लिए scramble कर रहे हैं

एक broker प्राप्त करें जो साइबर में विशेषज्ञ है, एक generalist नहीं जो इसे एक add-on के रूप में बेचता है। claim experience में अंतर महत्वपूर्ण है।

यदि आप underwriting conversations को बहुत कम दर्दनाक बनाने वाली तकनीकी विस्तार में बीमाकर्ता वास्तव में क्या check कर रहे हैं, इस पर गहराई से जाना चाहते हैं, तो Korra Studio के Blue Team और Digital Forensics segments को देखें — वे incident response और backup architecture को उस प्रकार के विस्तार में cover करते हैं।