Чи потребна малому бізнесу у Великобританії кібер-страховка?

Кібер-страховка не є юридично обов'язковою у Великобританії, як страховка від цивільної відповідальності роботодавців, але страховики тепер ставлять достатньо питань безпеки на початку, щоб отримання полісу змусило вас виправити прогалини, які ви могли б ігнорувати. Якщо ви малий бізнес, що обробляє дані про платежі клієнтів, особисті записи або що-небудь охоплене UK GDPR, отримання без кібер-покриття — це ризик, який більшість власників жалкує після першого інциденту.

Що перевіряють страховики перед котируванням

Запитайте котирування кібер-страховки і ви заповните форму пропозиції, яка читається як мініатюрний аудит. Стандартні питання від британських страховиків (Hiscox, AXA та спеціалізовані підписники Lloyd's syndicates дотримуються подібного шаблону) охоплюють:

• Багатофакторну автентифікацію в електронній пошті та віддаленому доступі (особливо RDP — страховики розглядають відкритий RDP без MFA як близький до автоматичної відмови)
• Наявність автономних або незмінних резервних копій та як часто ви тестуєте їх відновлення
• Захист кінцевих точок на всіх корпоративних пристроях, не тільки на серверах
• Графіки оновлень критичних вразливостей
• Чи були у вас порушення або інциденти з програмами-вимагачами за останні 3-5 років
• Частоту навчання свідомості безпеки працівників

Відповідьте «ні» на MFA або резервні копії і ви або отримаєте відмову, або котирування за значно вищою премією, або поліс з обмеженням по програмам-вимагачам, який практично непридатний. Це не страховик, який утруднює — дані виплат по всій індустрії змусили підписників посилити вимоги з 2021 року, коли позови за програмами-вимагачами зростали.

Мінімальна технічна база, яку очікує більшість полісів

На основі того, що запитується у формах пропозиції на ринку, розглядайте це як вашу базу перед поданням заяви:

• MFA на всіх облікових записах електронної пошти та будь-якому інструменті віддаленого доступу (Microsoft 365 Conditional Access або інструмент на кшталт Duo)
• Резервні копії за схемою 3-2-1, з принаймні однією копією в автономному режимі або відокремленою від вашої основної мережі
• Документований контакт реагування на інцидент — навіть якщо це просто «телефонуйте цьому MSP»
• Виявлення кінцевих точок, а не просто застаріла антивірусна програма, на всьому, що торкається даних клієнтів
• Правила брандмауера, що обмежують вхідний RDP/SSH з відкритого інтернету

Якщо ви п'ятиособова консультаційна фірма, яка запускає все через Microsoft 365 та кілька ноутбуків, це досяжно за вихідний день. Якщо ви запускаєте застарілі локальні сервери без графіка оновлень, очікуйте, що процес андерайтингу триватиме довше й коштуватиме дорожче.

Що насправді платить поліс

Британські кібер-поліси зазвичай об'єднують кілька видів покриття, і варто знати, що робить кожен перед тим, як припустити, що ви захищені:

• Витрати першої сторони: реагування на інцидент (судебна експертиза, фірма на кшталт вашого консультанта з порушень), перерва в діяльності, переговори про выкуп та платіж (де це законно), відновлення даних, PR/управління кризою
• Відповідальність третьої сторони: позови від клієнтів або партнерів, чиї дані були розкриті, плюс витрати на захист від регулювання
• Штрафи ICO: покриття варіюється — деякі поліси повністю виключають штрафи за регулюванням, оскільки страхованість штрафів юридично двозначна у Великобританії, тому уважно читайте цей пункт замість припущення, що він включений

Обмеження з переривання діяльності у £2m звучить щедро до тих пір, поки ви не обчислите, що насправді коштує вам тиждень простою в залишених рахунках, часі персоналу та відтоці клієнтів. Змоделюйте цю цифру самостійно перед вибором обмеження — не просто приймайте рекомендацію брокера за замовчуванням.

Чи юридично потрібно повідомляти про порушення навіть без страховки?

Так, і це спіймає малі бізнеси. Під UK GDPR, якщо порушення ризикує правами та свободами людей, ви повинні повідомити ICO протягом 72 годин, страховка чи ні. Кібер-страховка не видаляє це зобов'язання — вона платить за судебну експертизу та юридичну підтримку, яка робить дотримання крайнього терміну реалістичним. Спроба управління реагуванням на порушення без цієї підтримки, використовуючи молодого IT-контрактора та документ Word, — це як бізнеси самостійно повідомляють пізно і привертають більше уваги ICO, ніж первинний інцидент того вартий.

Типові прогалини, які підставляють власників малого бізнесу

• Припущення, що загальна бізнес-страховка покриває кібер-інциденти — більшість тепер явно це виключають
• Неповідомлення про відомі вразливості в формі пропозиції (страховики можуть анулювати поліс за суттєве неповідомлення)
• Купівля найдешевшого полісу без перевірки обмеження за програмами-вимагачами, яке іноді становить частку суми покриття з формулювання
• Відсутність названого постачальника реагування на інцидент, тобто ви барахтаєтеся у пошуках його під час фактичної атаки

Шукайте брокера, який спеціалізується на кібер, а не генераліста, який продає його як додаток. Різниця в досвіді претензій є значною.

Якщо ви хочете глибше вивчити технічну сторону того, що насправді перевіряють страховики, див. Korra Studio's Blue Team та Digital Forensics segments — вони охоплюють реагування на інциденти та архітектуру резервних копій у деталях, які роблять розмови андерайтингу набагато менш болючими.