Liệu một doanh nghiệp nhỏ ở Anh có thực sự cần bảo hiểm an ninh mạng?

Bảo hiểm an ninh mạng không phải là yêu cầu theo luật pháp ở Anh như bảo hiểm trách nhiệm của người sử dụng lao động, nhưng các công ty bảo hiểm hiện nay đặt ra đủ câu hỏi về bảo mật từ đầu, khiến việc nhận được một hợp đồng bảo hiểm buộc bạn phải sửa các lỗ hổng mà bạn có thể đã bỏ qua nếu không. Nếu bạn là một doanh nghiệp nhỏ xử lý dữ liệu thanh toán của khách hàng, hồ sơ cá nhân, hoặc bất cứ thứ gì được bảo vệ bởi UK GDPR, việc bỏ qua bảo vệ an ninh mạng là một sự liều lĩnh mà hầu hết các chủ doanh nghiệp đều hối tiếc sau sự cố đầu tiên của họ.

Những gì các công ty bảo hiểm kiểm tra trước khi đưa ra báo giá

Yêu cầu báo giá bảo hiểm an ninh mạng và bạn sẽ điền vào mẫu đề xuất đọc như một cuộc kiểm toán nhỏ. Các câu hỏi tiêu chuẩn từ các công ty bảo hiểm ở Anh (Hiscox, AXA, và các nhà cung cấp bảo hiểm chuyên biệt tại các hội sở Lloyd's đều tuân theo một mô hình tương tự) bao gồm:

• Xác thực đa yếu tố trên email và truy cập từ xa (đặc biệt là RDP — các công ty bảo hiểm xem RDP bị lộ mà không có MFA gần như từ chối tự động)
• Liệu bạn có bản sao lưu ngoại tuyến hoặc bất biến, và bạn kiểm tra khôi phục chúng bao lâu một lần
• Bảo vệ điểm cuối trên tất cả các thiết bị công ty, không chỉ các máy chủ
• Lịch trình vá lỗi cho các lỗ hổng quan trọng
• Liệu bạn đã gặp phải sự cố bị xâm phạm hoặc tấn công ransomware trong 3-5 năm qua
• Tần suất đào tạo nhận thức về bảo mật của nhân viên

Trả lời "không" với MFA hoặc bản sao lưu và bạn sẽ bị từ chối, được báo giá với mức phí cao hơn nhiều, hoặc được cung cấp một chính sách có giới hạn phụ ransomware thực tế không hữu ích. Đây không phải là công ty bảo hiểm có ý khó khăn — dữ liệu thanh toán trên toàn ngành đã thúc đẩy các nhà cung cấp bảo hiểm siết chặt yêu cầu kể từ năm 2021, khi các khiếu nại ransomware tăng vọt.

Đường cơ sở kỹ thuật tối thiểu mà hầu hết các chính sách mong đợi

Dựa trên những gì được yêu cầu trên các biểu mẫu đề xuất trên toàn thị trường, hãy xem xét đây là mức tối thiểu của bạn trước khi nộp đơn:

• MFA trên tất cả các tài khoản email và bất kỳ công cụ truy cập từ xa nào (Microsoft 365 Conditional Access hoặc một công cụ như Duo)
• Bản sao lưu theo mô hình 3-2-1, với ít nhất một bản sao ngoại tuyến hoặc được cách ly khỏi mạng chính của bạn
• Một liên hệ ứng phó sự cố được ghi chép — thậm chí chỉ là "gọi số MSP này"
• Phát hiện điểm cuối, không chỉ antivirus cũ, trên bất cứ thứ gì chạm vào dữ liệu khách hàng
• Quy tắc tường lửa hạn chế RDP/SSH đến từ internet mở

Nếu bạn là một công ty tư vấn năm người chạy mọi thứ qua Microsoft 365 và một vài máy tính xách tay, điều này có thể thực hiện được trong một cuối tuần. Nếu bạn đang chạy máy chủ on-prem cũ mà không có lịch trình vá lỗi, hãy dự kiến quá trình underwriting sẽ mất nhiều thời gian hơn và tốn kém hơn.

Những gì chính sách thực sự thanh toán cho

Các chính sách an ninh mạng ở Anh thường gom các loại bảo vệ khác nhau, và điều đáng để biết những gì mỗi loại làm trước khi bạn cho rằng bạn được bảo vệ:

• Chi phí bên thứ nhất: ứng phó sự cố (pháp y, một công ty như huấn luyện viên bị xâm phạm của bạn), ngừng hoạt động kinh doanh, đàm phán và thanh toán tiền chuộc (nếu hợp pháp), khôi phục dữ liệu, PR/khủng hoảng truyền thông
• Trách nhiệm bên thứ ba: các khiếu nại từ khách hàng hoặc đối tác có dữ liệu bị lộ, cộng với chi phí bảo vệ theo quy định
• Phạt ICO: bảo vệ khác nhau — một số chính sách loại trừ hoàn toàn phạt theo quy định vì tính bảo hiểm được của các hình phạt trong luật pháp ở Anh là mơ hồ, vì vậy hãy đọc kỹ mệnh đề này thay vì cho rằng nó được bao gồm

Giới hạn ngừng hoạt động kinh doanh £2 triệu nghe có vẻ hào phóng cho đến khi bạn tính toán chi phí thực tế của một tuần ngừng hoạt động đối với bạn trong việc mất lập hoá đơn, thời gian nhân viên và churn khách hàng. Mô hình con số đó cho chính bạn trước khi chọn giới hạn — đừng chỉ lấy khuyến nghị mặc định của nhà môi giới.

Bạn có phải báo cáo một sự cố vi phạm theo luật pháp thậm chí không có bảo hiểm?

Có, và điều này làm cho các doanh nghiệp nhỏ bất ngờ. Theo UK GDPR, nếu một sự cố vi phạm rủi ro quyền và tự do của mọi người, bạn phải thông báo cho ICO trong vòng 72 giờ, có hoặc không có bảo hiểm. Bảo hiểm an ninh mạng không loại bỏ nghĩa vụ đó — nó thanh toán cho pháp y và hỗ trợ pháp lý giúp đáp ứng thời hạn thực tế. Cố gắng phản ứng sự cố vi phạm mà không có hỗ trợ đó, sử dụng một nhà thầu CNTT cấp dưới và một tài liệu Word, là cách các doanh nghiệp kết thúc việc tự báo cáo muộn và thu hút nhiều sự chú ý của ICO hơn sự cố ban đầu bảo đảm.

Những khoảng trống phổ biến làm cho các chủ doanh nghiệp nhỏ gặp sự cố

• Giả định rằng một chính sách bảo hiểm kinh doanh chung bao gồm các sự cố an ninh mạng — hầu hết hiện nay loại trừ nó rõ ràng
• Không tiết lộ các lỗ hổng đã biết trên mẫu đề xuất (các công ty bảo hiểm có thể hủy bỏ chính sách vì không tiết lộ bản chất)
• Mua chính sách rẻ nhất mà không kiểm tra giới hạn phụ ransomware, đôi khi chỉ là một phần nhỏ của số tiền bảo vệ tiêu đề
• Không có nhà cung cấp ứng phó sự cố được đặt tên, có nghĩa là bạn đang tìm kiếm một người trong cuộc tấn công thực tế

Hãy nhận được một nhà môi giới chuyên về an ninh mạng, không phải một chuyên gia đa năng bán nó như một add-on. Sự khác biệt trong kinh nghiệm khiếu nại là đáng kể.

Nếu bạn muốn tìm hiểu sâu hơn về phía kỹ thuật của những gì các công ty bảo hiểm thực sự kiểm tra, hãy xem các phân đoạn Blue Team và Digital Forensics của Korra Studio — chúng bao gồm ứng phó sự cố và kiến trúc sao lưu với chi tiết khiến các cuộc trò chuyện underwriting ít đau đớn hơn rất nhiều.