Apakah Asuransi Siber Benar-benar Diperlukan oleh Bisnis Kecil UK?

Asuransi siber tidak diwajibkan secara hukum di UK seperti asuransi tanggung jawab majikan, tetapi perusahaan asuransi sekarang mengajukan cukup banyak pertanyaan keamanan di muka sehingga mendapatkan polis memaksa Anda untuk memperbaiki celah yang mungkin Anda abaikan sebelumnya. Jika Anda adalah bisnis kecil yang menangani data pembayaran pelanggan, catatan pribadi, atau apa pun yang dicakup oleh UK GDPR, mengabaikan perlindungan siber adalah taruhan yang paling pemilik sesal setelah insiden pertama mereka.

Apa yang diperiksa perusahaan asuransi sebelum mereka akan memberikan penawaran

Minta penawaran siber dan Anda akan mengisi formulir proposal yang terlihat seperti audit mini. Pertanyaan standar dari perusahaan asuransi UK (Hiscox, AXA, dan underwriter khusus siber di serikat Lloyd's semuanya mengikuti pola yang serupa) mencakup:

• Autentikasi multi-faktor pada email dan akses jarak jauh (terutama RDP — perusahaan asuransi memperlakukan RDP yang terbuka tanpa MFA seperti penolakan otomatis)
• Apakah Anda memiliki backup offline atau immutable, dan seberapa sering Anda menguji pemulihannya
• Perlindungan endpoint di semua perangkat perusahaan, bukan hanya server
• Jadwal manajemen patch untuk kerentanan kritis
• Apakah Anda pernah mengalami pelanggaran atau insiden ransomware dalam 3-5 tahun terakhir
• Frekuensi pelatihan kesadaran keamanan karyawan

Jawab "tidak" untuk MFA atau backup dan Anda akan ditolak, dikutip dengan premi yang jauh lebih tinggi, atau ditawarkan polis dengan sub-limit ransomware yang praktis tidak berguna. Ini bukan perusahaan asuransi yang sulit — data pembayaran di seluruh industri telah mendorong underwriter untuk mengetatkan persyaratan keras sejak 2021, ketika klaim ransomware melonjak.

Garis dasar teknis minimum yang paling polis harapkan

Dari apa yang ditanyakan pada formulir proposal di seluruh pasar, perlakukan ini sebagai dasar Anda sebelum melamar:

• MFA pada semua akun email dan alat akses jarak jauh apa pun (Microsoft 365 Conditional Access atau alat seperti Duo)
• Backup mengikuti pola 3-2-1, dengan setidaknya satu salinan offline atau air-gapped dari jaringan utama Anda
• Kontak respons insiden yang terdokumentasi — meskipun hanya "hubungi nomor MSP ini"
• Deteksi endpoint, bukan hanya antivirus warisan, pada apa pun yang menyentuh data pelanggan
• Aturan firewall yang membatasi RDP/SSH inbound dari internet terbuka

Jika Anda adalah konsultansi lima orang yang menjalankan segalanya melalui Microsoft 365 dan beberapa laptop, ini dapat dicapai dalam waktu akhir pekan. Jika Anda menjalankan on-prem warisan tanpa jadwal patching, harapkan proses underwriting memakan waktu lebih lama dan biaya lebih tinggi.

Apa yang sebenarnya dibayar oleh polis

Polis siber UK biasanya menggabungkan beberapa jenis perlindungan, dan ada baiknya mengetahui apa yang dilakukan masing-masing sebelum Anda menganggap Anda terlindungi:

• Biaya pihak pertama: respons insiden (forensik, perusahaan seperti pelatih pelanggaran Anda), gangguan bisnis, negosiasi dan pembayaran tebusan (di mana legal), pemulihan data, PR/komsos krisis
• Tanggung jawab pihak ketiga: klaim dari pelanggan atau mitra yang datanya terbuka, ditambah biaya pertahanan regulasi
• Denda ICO: cakupan bervariasi — beberapa polis mengecualikan denda regulasi sepenuhnya karena asuransi penalti secara hukum kaya di UK, jadi baca klausa ini dengan hati-hati daripada menganggap itu termasuk

Batas gangguan bisnis £2m terdengar murah hati sampai Anda menghitung apa yang benar-benar dihabiskan seminggu downtime untuk Anda dalam invoicing yang hilang, waktu staf, dan churn klien. Modelkan angka itu sendiri sebelum memilih batas — jangan hanya ambil rekomendasi default broker.

Apakah Anda secara hukum harus melaporkan pelanggaran bahkan tanpa asuransi?

Ya, dan ini menangkap bisnis kecil. Di bawah UK GDPR, jika pelanggaran mengancam hak dan kebebasan orang, Anda harus memberi tahu ICO dalam 72 jam, asuransi atau tidak. Asuransi siber tidak menghilangkan kewajiban itu — itu membayar forensik dan dukungan hukum yang membuat memenuhi tenggat waktu realistis. Mencoba menjalankan respons pelanggaran tanpa dukungan itu, menggunakan kontraktor IT junior dan dokumen Word, adalah bagaimana bisnis berakhir melaporkan sendiri terlambat dan menarik lebih banyak pengawasan ICO daripada insiden asli yang dijamin.

Kesenjangan umum yang membuat pemilik bisnis kecil terjebak

• Menganggap polis asuransi bisnis umum mencakup insiden siber — sebagian besar sekarang mengecualikannya secara eksplisit
• Tidak mengungkapkan kerentanan yang diketahui pada formulir proposal (perusahaan asuransi dapat membatalkan polis untuk non-disclosure yang material)
• Membeli polis termurah tanpa memeriksa sub-limit ransomware, yang kadang-kadang merupakan sebagian kecil dari jumlah cakupan headline
• Tidak ada penyedia respons insiden bernama, artinya Anda sedang bingung menemukan satu selama serangan sebenarnya

Dapatkan broker yang mengkhususkan diri pada siber, bukan generalis yang menjualnya sebagai add-on. Perbedaan dalam pengalaman klaim itu signifikan.

Jika Anda ingin mendalami sisi teknis dari apa yang sebenarnya diperiksa perusahaan asuransi, lihat segmen Blue Team dan Digital Forensics Korra Studio — mereka mencakup respons insiden dan arsitektur backup dalam jenis detail yang membuat percakapan underwriting jauh lebih tidak menyakitkan.