ubezpieczenie od ryzyk cybernetycznych

Ubezpieczenie od ryzyk cybernetycznych (potocznie polisa cyber) to umowa ubezpieczenia, która pokrywa finansowe skutki incydentu: koszty przywrócenia systemów i danych, straty z przerwy w działalności oraz roszczenia osób trzecich, na przykład klientów, których dane wyciekły ^[1]. Brytyjskie NCSC opisuje ją jako pomoc w powrocie organizacji do działania, gdy coś związanego z cyberbezpieczeństwem pójdzie źle, i zaznacza, że polisa nie zapobiega atakom ani nie rozwiązuje problemów z bezpieczeństwem ^[1]. Z punktu widzenia zarządzania ryzykiem jest to przeniesienie części ryzyka finansowego na ubezpieczyciela, a nie jego obniżenie.

Zakres ochrony

Według NCSC większość polis reaguje na bezpośrednie skutki incydentu: pomaga szybko odtworzyć sieć, systemy i dane oraz ograniczyć straty z przerwy w działalności ^[1]. Przy wycieku danych zwykle obejmuje obronę przed roszczeniami klientów i innych poszkodowanych oraz ugody, a niektóre polisy idą dalej i pokrywają na przykład oszustwa z użyciem komputera ^[1].

Konkretny zakres zawsze wyznaczają ogólne warunki ubezpieczenia. Na przykładzie polskich warunków z 2023 roku widać typowy podział ^[3]:

W tych warunkach koszty cyberwymuszenia są częścią kosztów naprawienia ^[3]; na tę konstrukcję zwrócili uwagę autorzy analizy prawnej opublikowanej przez Sekurak ^[4].

Wyłączenia i warunki

Ochrona ma granice zapisane w wyłączeniach. Warunki PZU z 2023 roku wyłączają m.in. szkody powstałe w wyniku wojny lub operacji cybernetycznej przypisanej państwu, a także koszty aktualizacji lub ulepszenia aplikacji i systemu informatycznego ubezpieczonego ^[3]. Oznacza to, że polisa może pokryć odtworzenie strony po włamaniu, ale nie modernizację przestarzałego oprogramowania, która zapobiegłaby kolejnemu.

NCSC radzi przed zakupem ustalić m.in., co polisa obejmuje, a czego nie, jakie usługi reagowania na incydent zawiera i co musi być spełnione, aby zgłosić szkodę albo odnowić umowę ^[1]. Ostrzega też, by nie ograniczać się do minimalnych wymagań bezpieczeństwa stawianych przez ubezpieczyciela, bo mogą nie chronić tego, na czym organizacji najbardziej zależy ^[1].

Zapłata okupu to osobna kwestia. Autorzy analizy na Sekuraku wskazują, że ubezpieczyciele w żadnym razie nie gwarantują, że w każdej sytuacji zapłata okupu jest objęta ochroną ^[4]. W Polsce nie ma wprost zakazu płacenia okupu, ale zapłata niesie ryzyka prawne, w tym odpowiedzialność karną osób zarządzających za wyrządzenie szkody spółce oraz ryzyko naruszenia unijnych sankcji ^[4].

Jak ubezpieczyciel ocenia ryzyko

Proces oceny ryzyka przed zawarciem umowy to underwriting. ENISA opisuje go jako ocenę ryzyka firmy prowadzącą do umowy w zamian za roczną składkę, przy czym ubezpieczyciela interesują głównie finansowe skutki incydentu ^[2]. Ubezpieczyciele korzystają m.in. z kwestionariuszy ryzyka wypełnianych przez klientów ^[2].

Raport ENISA z lutego 2024 roku wskazuje trudności tego rynku. Poziom zabezpieczeń klienta silnie wpływa na częstotliwość i wysokość szkód, a ustalenie rzeczywistego profilu ryzyka jest bardzo trudne ^[2]. Ryzyka są też ze sobą powiązane przez wspólne wektory ataku i łączność systemów, więc jeden atak może wywołać wiele szkód naraz ^[2]. Dlatego ENISA uznaje za konieczne ostrożne zasady przyjmowania ryzyka, obejmujące limity odpowiedzialności i wyłączenia ^[2]. Cytowany w raporcie przedstawiciel branży ujmuje to porównaniem: ubezpieczenie domu nie oznacza zostawiania otwartych drzwi ^[2].

Schemat poniżej pokazuje, jak polisa wpisuje się w obsługę incydentu.

RYS. 1Polisa w obsłudze incydentu

W WordPressie

Dla firmy, której sprzedaż zależy od sklepu na WordPressie, najważniejsze są dwie pozycje polisy: przerwa w działalności i koszty odtworzenia. Obie zależą od tego, jak szybko stronę da się przywrócić. Dokumentacja WordPressa przypomina, że pełne odtworzenie wymaga kopii obu części strony, bazy danych i plików, oraz zaleca trzymanie kilku ostatnich kopii w różnych miejscach ^[5]. NCSC zauważa, że ransomware ma mniejsze skutki, gdy kopia zapasowa (backup) jest oddzielona od sieci albo trzymana w usłudze do tego przeznaczonej ^[1].

Pytania z kwestionariusza ubezpieczyciela warto przełożyć na stan konkretnej instalacji:

• czy konta administratorów mają uwierzytelnianie wieloskładnikowe (MFA);
• czy działa zarządzanie poprawkami (patch management) rdzenia, wtyczek i motywów;
• czy istnieje procedura reagowania na incydenty i kto ją uruchamia;
• czy sklep przyjmujący płatności kartą spełnia PCI DSS, a niektóre warunki obejmują ochroną koszty związane z nieprzestrzeganiem tego standardu ^[3].

Wyłączenie kosztów aktualizacji i ulepszeń systemu ^[3] sprawia, że doprowadzenie przestarzałej instalacji do porządku pozostaje kosztem właściciela strony.

Znaczenie

Polisa cyber jest jedną z odpowiedzi na ryzyko szczątkowe, które zostaje po wdrożeniu zabezpieczeń. Decyzja o jej zakupie wynika z szacowania ryzyka i przyjętego apetytu na ryzyko: organizacja porównuje koszt składki z możliwą stratą. Polisa nie zastępuje planu ciągłości działania, ale może sfinansować jego wykonanie. Przy naruszeniu ochrony danych osobowych obowiązki wobec organu nadzorczego i osób, których dane dotyczą, spoczywają na administratorze niezależnie od tego, czy ma ubezpieczenie.

Dobre praktyki

• Przeczytać ogólne warunki, zwłaszcza definicje i wyłączenia, z udziałem osób znających prawo i technikę ^[1].
• Sprawdzić, jakie usługi reagowania na incydent zawiera polisa i jak się z nich korzysta ^[1].
• Traktować wymagania ubezpieczyciela jako minimum, a nie cel ^[1].
• Utrzymywać i testować kopie zapasowe, bo od nich zależy czas przerwy w działalności ^[5].
• Nie zakładać, że okup zostanie zwrócony; ustalić to przed incydentem ^[4].