Bir İngiltere Küçük İşletmesinin Gerçekten Siber Sigortasına İhtiyacı Var mı?

Siber sigorta İngiltere'de işveren sorumluluk sigortası gibi yasal olarak gerekli değildir, ancak sigortacılar artık baştan yeterince güvenlik sorusu sordukları için, bir poliçe almak sizi aksi halde görmezden gelebileceğiniz boşlukları düzeltmeye zorlar. Müşteri ödeme verileri, kişisel kayıtlar veya İngiltere GDPR'si tarafından korunan herhangi bir şey ele alan küçük bir işletmeyseniz, siber korumayı atlamak ilk olaydan sonra çoğu sahibinin pişman olduğu bir kumardır.

Sigortacılar teklif vermeden önce neleri kontrol eder

Siber teklifi isteyin ve bir mini denetim gibi okunan bir teklif formu dolduracaksınız. İngiltere sigortacılarından standart sorular (Hiscox, AXA ve Lloyd's sendikalarındaki siber-spesifik sigortacılar hepsi benzer bir desen izler) şunları kapsar:

• E-posta ve uzaktan erişime çok faktörlü kimlik doğrulama (özellikle RDP — sigortacılar MFA olmadan açığa çıkan RDP'yi neredeyse otomatik reddetmeye yakın görmüştür)
• Çevrimdışı veya değişmez yedeklemeleriniz olup olmadığı ve bunları ne sıklıkta test ettiğiniz
• Tüm şirket cihazlarında, yalnızca sunucular değil, uç nokta koruması
• Kritik açıklar için yama yönetimi zaman çizelgeleri
• Son 3-5 yılda bir ihlal veya fidye yazılımı olayı yaşayıp yaşamadığınız
• Çalışan güvenlik farkındalığı eğitimi sıklığı

MFA veya yedeklemeye "hayır" yanıtı verin ve ya reddedilir, çok daha yüksek bir primle teklif alır ya da pratik olarak işe yaramayan bir fidye yazılımı alt sınırı olan bir poliçe sunulursunuz. Bu sigortacının zor olması değil — sektör genelindeki ödeme verileri sigortacıları 2021'den beri, fidye yazılımı talepleri arttığında gereksinimler sıkıca uygulamaya zorlamıştır.

Çoğu poliçenin beklediği minimum teknik temel

Pazar genelindeki teklif formlarında sorulanlardan, başvurmadan önce bunu tabanınız olarak düşünün:

• Tüm e-posta hesaplarında ve herhangi bir uzaktan erişim aracında MFA (Microsoft 365 Conditional Access veya Duo gibi bir araç)
• 3-2-1 desenini izleyen yedeklemeler, en az bir kopyası çevrimdışı veya ana ağınızdan hava boşluğunda
• Belgelenmiş bir olay yanıt iletişim — hatta "bu MSP numarasını ara" olsa bile
• Müşteri verilerine dokunan herhangi bir şeyde eski antivirüs değil, uç nokta algılaması
• Açık internetten gelen gelen RDP/SSH'yi kısıtlayan güvenlik duvarı kuralları

Eğer Microsoft 365 ve birkaç dizüstü bilgisayar aracılığıyla her şeyi çalıştıran beş kişilik bir danışmanlık şirketi iseniz, bu bir hafta sonu içinde başarılabilir. Eğer yama yönetimi zamanlaması olmayan eski şirket içi sunucular çalıştırıyorsanız, sigorta işleminin daha uzun sürmesini ve daha pahalıya mal olmasını bekleyin.

Poliçe gerçekten neleri öder

İngiltere siber poliçeleri tipik olarak birkaç tür kapsamı birleştirir ve korunduğunuzu varsaymadan önce her birinin ne yaptığını bilmeye değer:

• Birinci taraf maliyetleri: olay yanıt (adli analiz, ihlal antrenörlüğü gibi bir firma), işletme kesintisi, fidye müzakeresi ve ödeme (yasal olduğu yerde), veri kurtarma, PR/kriz iletişimi
• Üçüncü taraf sorumluluğu: verileri açığa çıkan müşterilerin veya ortakların iddiaları, artı düzenleyici savunma maliyetleri
• ICO cezaları: kapsam değişir — bazı poliçeler cezalara karşı sigortalanabilirlik yasal olarak karmaşık olduğundan düzenleyici cezaları tamamen hariç tutar, bu nedenle dahil olduğunu varsaymaktan ziyade bu fıkrayı dikkatlice okuyun

£2m işletme kesintisi sınırı cömert görünür ta ki bir haftanın kapalı kalmasının kayıp faturalandırma, çalışan zamanı ve müşteri kaybında gerçekten ne kadara mal olduğunu hesaplayana kadar. Bir limit seçmeden önce bu numarayı kendiniz modelleyin — sadece brokerın varsayılan tavsiyesini almayın.

Sigorta olmadan bile bir ihlali yasal olarak bildirmek zorundasınız mı?

Evet ve bu küçük işletmeleri yakalar. İngiltere GDPR'si kapsamında, bir ihlal insanların hakları ve özgürlüklerini riske atarsa, sigorta olup olmadığından bağımsız olarak 72 saat içinde ICO'ya bildirim yapmalısınız. Siber sigorta bu yükümlülüğü kaldırmaz — son tarih gerçekçi yapmak için adli analiz ve yasal desteğin maliyetini öder. Bu desteği kullanmadan ihlal yanıtını yönetmeye çalışmak, bir junior IT müteahhidi ve bir Word belgesi kullanmak, işletmelerin geç kendi kendilerine rapor etmesi ve orijinal olaydan daha fazla ICO incelemesi çizmesinin nasıl sonuçlandığıdır.

Küçük işletme sahiplerini başına çağıran yaygın boşluklar

• Genel işletme sigorta poliçesinin siber olayları kapsadığını varsayma — çoğu artık bunu açıkça hariç tutar
• Teklif formunda bilinen açıkları açıklamama (sigortacılar önemli beyan hatası için poliçeyi geçersiz kılabilir)
• Fidye yazılımı alt sınırını kontrol etmeden en ucuz poliçeyi satın almak, bu bazen başlık kapsama miktarının bir fraksiyonudur
• Hiçbir adlandırılmış olay yanıt sağlayıcısı olmama, yani gerçek saldırı sırasında bir tane bulmakta acele ediyorsunuz

Generalist kişiye siber satıcı değil, siber konusunda uzmanlaşmış bir broker alın. İddia deneyimindeki fark önemlidir.

Sigortacıların gerçekte kontrol ettikleri teknik tarafında daha derine gitmek istiyorsanız, Korra Studio'nun Blue Team ve Digital Forensics segmentlerine bakın — sigorta konuşmalarını çok daha az acılı hale getiren olay yanıt ve yedekleme mimarisi detayında ele alırlar.