Ubezpieczenie chroniące w razie ataku hakerów

– Zagrożeń atakiem hakerów nie da się wyeliminować, nawet stosując najostrzejsze procedury bezpieczeństwa – mówi Paulina Radgowska, broker z Marsh Polska. – Firmy muszą nieustannie szkolić swoich pracowników oraz stosować odpowiednie formy ochrony. Przeprowadzone przez Marsh badanie potwierdza, że dla 46 proc. ankietowanych najpoważniejsze zagrożenia wynikają z przestępczości zorganizowanej oraz działalności hakerów.

Ubezpieczenia cyberryzyka są produktem relatywnie nowym na polskim rynku – zostały wprowadzone w odpowiedzi na coraz częściej występujące w cyberprzestrzeni incydenty. Chodzi o to, aby wypełnić luki w ochronie w tradycyjnych polisach ubezpieczeniowych.

– Tego typu ryzyka kojarzone są często z atakiem hakerów na sieci lub systemy firmy – tłumaczy Adam Gmurczyk z AIGG. – Tymczasem katalog sytuacji, w efekcie których następuje wyciek lub utrata danych osobowych lub handlowych, jest dużo szerszy.

Szyte na miarę

Ubezpieczenie cyber to produkt dostosowany do potrzeb ubezpieczanej spółki, aby w jak największym stopniu zabezpieczyć występujące w firmie ryzyka cybernetyczne.

– Dla jednego przedsiębiorstwa największym zagrożeniem może być odpowiedzialność związana z utratą danych/informacji klientów oraz związane z tym koszty (pozwów czy związane z informowaniem klientów). Na tego rodzaju ryzyko narażone są np. placówki medyczne. Dla innych firm największe zagrożenie stanowić może utrata zysku, wynikająca np. z awarii systemów komputerowych spowodowanych atakiem hakerów bądź błędem w zabezpieczeniu komputerów lub sieci – wyjaśnia Paulina Radgowska.

Ubezpieczenie obejmuje m.in.: pokrycie kosztów roszczeń osób trzecich, odzyskania danych elektronicznych, postępowań administracyjnych, a nawet wynagrodzenia konsultantów, co może być związane np. z koniecznością odbudowy nadszarpniętego wizerunku spółki.

– W erze mediów społecznościowych zaufanie do firmy i jej reputacja mogą lec w gruzach w ciągu kilku godzin – tłumaczy Adam Gmurczyk. – Co istotne, polisa działa również wtedy, gdy sprawa trafia do sądu w przypadku roszczenia odszkodowawczego związanego z ujawnieniem danych lub, gdy generalny inspektor danych osobowych nakłada na firmę grzywnę w przypadku utraty danych. Dodatkowo jest możliwość rozszerzenia ochrony o działalność multimedialną oraz próby szantażu.

Problematyczne bazy

Adresatem ubezpieczenia może być każdy przedsiębiorca, niezależnie od skali i profilu działalności. Są branże, które bardziej narażone są na ryzyko cybernetyczne. Należą do nich instytucje finansowe, hotele, szpitale, sieci handlowe, firmy telekomunikacyjne, usługowe prowadzące księgi rachunkowe, ale również kancelarie prawne.

– Każdy, kto zbiera i przetwarza nawet najmniejszą bazę danych, taką jak chociażby lista płac, jest narażony na ryzyko wycieku danych i roszczeń odszkodowawczych za ich ujawnienie – wyjaśnią Sylwia Kozłowska, dyrektor Departamentu Ubezpieczeń Odpowiedzialności Cywilnej Gras Savoye.

Przykłady zastosowania polis od ryzyka cybernetycznego to (źródło: Gras Savoye):

- usługi śledcze – pokrycie honorariów specjalistów usług w zakresie informatyki śledczej w celu ustalenia, czy miało miejsce naruszenie bezpieczeństwa danych, jakie były jego przyczyny oraz wydania rekomendacji co do metod ograniczania ryzyka naruszenia bezpieczeństwa;

- ochrona reputacji spółki – pokrycie honorariów za świadczenie usług niezależnych doradców (zarządzanie kryzysowe oraz public relations), których celem jest zmniejszenie negatywnych skutków wydarzenia medialnego (tworzenie strategii komunikacji z rynkiem);

- odzyskanie danych elektronicznych – pokrycie honorariów w związku z wystąpieniem naruszenia bezpieczeństwa danych w celu ustalenia, czy mogą zostać odzyskane lub odtworzone oraz odzyskanie lub odtworzenie danych gromadzonych przez spółkę, w sytuacji kiedy dane nie zostały utrwalone przez komputerowy system wsparcia (backup system) albo zostały zniszczone lub utracone z powodu awarii technicznej lub zaniedbań osoby odpowiedzialnej;

- bezpieczeństwo sieci – odszkodowanie w związku z roszczeniem zgłoszonym przez osobę trzecią wobec ubezpieczonego z tytułu działań, błędów lub zaniechań ubezpieczonego, w następstwie których doszło do wprowadzenia złośliwego oprogramowania lub wirusa do danych osoby trzeciej lub systemu informatycznego osoby trzeciej, odmowy dostępu uprawnionej osoby trzeciej do jej danych, nieuprawnionego uzyskania od spółki kodu dostępu do sieci, kradzieży majątku spółki przez osobę trzecią lub jego utraty czy ujawnienia danych osoby trzeciej przez pracownika.

Potrzebne są zabezpieczenia

Ubezpieczyciele wymagają stosowania zabezpieczeń systemu IT. Małe firmy mogą liczyć na uproszczoną ścieżkę zawarcia ubezpieczenia. Należy przewidzieć, że ubezpieczyciel zbada, czy firma ma systemy antywirusowe i anywłamaniowe, czy pracownicy mający dostęp do baz podlegają kontroli wewnętrznej, czy firma ma procedury backupowe. Tylko pozytywne odpowiedzi na te pytania pozwolą na zawarcie polisy w szybszym i prostszym trybie.

Duże firmy, w szczególności instytucje finansowe, muszą szczegółowo odpowiedzieć na pytania w kwestionariuszu, dotyczące procedur zabezpieczania danych, dostępu do nich procedur ich odzyskiwania. Nieraz ubezpieczyciel może prosić konsultanta IT o dodatkową rozmowę z osobą odpowiedzialną w firmie za system IT, by ocenić ryzyko.

Coraz częściej firmy domagają się od kontrahentów przyjęcia określonych norm zarządzania ryzykiem – jako dowodu, że minimalny poziom bezpieczeństwa jest spełniony. Z badania Marsh Polska wynika, że 40 proc. respondentów w Polsce zostało poproszonych o przedstawienie wymogów w zakresie stosowania systemów zabezpieczeń IT przed nawiązaniem współpracy.