Assicurazione cyber

Dipende dal testo della polizza, non dalla parola “cyber” nel nome. Le polizze differiscono in ciò che coprono: costi di risposta all’incidente, ripristino dei sistemi, interruzione dell’attività, richieste di terzi e, in alcune, il riscatto stesso. Differiscono anche per esclusioni, franchigie, periodo di carenza prima che contino le perdite da interruzione e per le condizioni di sicurezza dichiarate nella proposta, come l’autenticazione a più fattori (MFA) e i backup offline. Pagare un riscatto può inoltre essere limitato dalla legge, per esempio quando gli aggressori sono in una lista di sanzioni, quindi l’assicuratore può rifiutare quella parte anche se copre il resto. Prima di un incidente rilegga la copertura con il Suo broker, annoti il numero di emergenza dell’assicuratore e le condizioni di denuncia, e verifichi che ogni misura dichiarata esista davvero. NetSenX non decide la copertura, ma i suoi alert e il registro di audit, in ogni piano, aiutano a mostrare che cosa era monitorato e quando sono comparsi i primi segnali.

Sì, possono aiutare a stabilire che cosa è successo e quando, e da questo dipendono sia il sinistro sia un’eventuale notifica di violazione. Le registrazioni di rete possono mostrare quando sono iniziate le connessioni anomale, quali dispositivi erano coinvolti, se un dispositivo contattava un server esterno a intervalli regolari e se grandi volumi sono usciti dalla rete, il che aiuta a distinguere un attacco che si limita a cifrare da uno in cui i dati sono stati anche sottratti. Per contare, le registrazioni devono coprire il periodo in questione, avere marcature temporali affidabili ed essere protette da modifiche successive: stabilisca la conservazione prima di averne bisogno e tenga copie fuori dai sistemi colpiti. NetSenX conserva gli alert per lo storico del Suo piano e un registro di audit delle azioni e modifiche nell’account. Registra metadati, non il contenuto delle sessioni cifrate: mostra che i dati sono usciti e verso dove, non che cosa contenevano i file. Se una registrazione basta a un dato assicuratore va confermato da Lei con il broker.

Può incidere, a seconda di ciò che è stato dichiarato e di come è formulata la polizza. I questionari chiedono spesso non solo se uno strumento di monitoraggio è installato, ma anche chi esamina gli alert e con quale rapidità; una risposta non corrispondente alla realtà può ridurre o annullare la copertura dopo un incidente. Rilegga il testo con il broker e descriva la Sua organizzazione per come è davvero, sere, fine settimana e ferie compresi. Poi colmi la lacuna: designi una persona e un sostituto per gli alert, stabilisca che cosa è urgente, scriva chi chiama chi e lo provi. Se nessuno in azienda può farlo, può farlo un fornitore di servizi gestiti (MSP). Uno strumento aiuta solo se qualcuno vede gli alert in tempo. NetSenX spiega ogni alert con parole semplici, così anche chi non è specialista può valutarlo, e dal piano Pro può inviare gli alert a Slack o a un webhook perché arrivino alla persona di turno. Il registro di audit tiene traccia di azioni e modifiche nell’account.

Il più delle volte perché i fatti emersi dopo l’incidente non corrispondono a quanto dichiarato o richiesto prima. I motivi tipici sono una misura di sicurezza indicata nella proposta ma assente o solo parziale, come l’MFA sulla posta ma non sull’accesso remoto; una denuncia tardiva all’assicuratore; un evento che rientra in un’esclusione, come la guerra o una vulnerabilità nota non corretta se la polizza lo prevede; danni fuori copertura, come una sanzione non assicurabile; oppure società di risposta incaricate senza il consenso dell’assicuratore. Riduca il rischio fin da ora: compili il questionario con chi gestisce i sistemi, conservi prove che ogni misura funziona, tenga la procedura di denuncia insieme al piano di risposta e informi il broker quando l’ambiente cambia. NetSenX non può far accogliere un sinistro. Aiuta in una parte: una registrazione datata di ciò che mostrava la rete e delle azioni e modifiche nell’account.

Di solito prove di tre cose: che si è verificato un evento coperto, quanto è costato e che le condizioni di polizza erano rispettate. Si prepari a fornire una cronologia dell’incidente, il rapporto forense o di risposta all’incidente, le fatture delle società di risposta, i costi di ripristino e di straordinari, il calcolo dei ricavi persi durante l’interruzione, eventuali notifiche ad autorità o clienti e la prova che le misure dichiarate, come MFA, backup e monitoraggio, erano attive quel giorno. Che cosa basta lo decidono la polizza e il liquidatore, quindi li interpelli presto e tenga un elenco aggiornato. Conservi log e sistemi colpiti prima di ricostruirli, perché un server cancellato non potrà mostrare più nulla. NetSenX fornisce un tassello: alert con data e ora e dispositivi coinvolti, conservati per lo storico degli alert del Suo piano (30 giorni nel Free, di più nei piani a pagamento), e un registro di audit delle azioni e modifiche nell’account. Non fornisce analisi forense degli endpoint né stima dei costi.

Spesso sì, o almeno ha voce in capitolo. Molte polizze danno accesso a un elenco di società di risposta, legali e specialisti del ripristino, e alcune coprono interamente i costi solo se Lei si rivolge a loro o se l’assicuratore approva in anticipo un’altra società. Lo verifichi prima di un incidente: legga la clausola sui servizi di risposta, annoti il numero di emergenza e chi può chiamarlo, e chieda se il Suo fornitore IT o il Suo fornitore di servizi gestiti (MSP) può lavorare insieme alla società indicata dall’assicuratore. Durante l’incidente chiami presto l’assicuratore, prima di firmare con chiunque, e metta per iscritto quanto concordato. Chiarisca anche a chi appartiene il rapporto forense, perché può essere condiviso con l’assicuratore. NetSenX non è una società di risposta agli incidenti e non figura negli elenchi degli assicuratori. Può dare ai soccorritori un punto di partenza: quali dispositivi hanno generato alert, quando e con quali indirizzi esterni si sono collegati.

Nella maggior parte dei questionari compare un breve elenco, anche se ogni assicuratore fissa il proprio. Si aspetti domande sull’autenticazione a più fattori (MFA) per posta, accesso remoto e account amministrativi; su backup offline o immutabili e verificati con un ripristino; sull’applicazione tempestiva delle patch, soprattutto ai sistemi raggiungibili da internet; su strumenti di rilevamento e risposta sugli endpoint (EDR) per portatili e server; su filtro della posta e formazione del personale; su diritti amministrativi limitati; su un piano di risposta agli incidenti; e su una forma di monitoraggio con una persona designata che interviene. Risponda per tutta l’azienda, non per la parte gestita meglio, e annoti la prova dietro ogni “sì”. Il questionario fa parte del contratto, quindi una risposta errata pesa più di una lacuna dichiarata. NetSenX copre una parte della domanda sul monitoraggio: in ogni piano, Free compreso, rileva beaconing verso server di comando e controllo, scansioni, movimento laterale e volumi in uscita insoliti nei segmenti osservati. Non è MFA, né EDR, né un backup, e non li sostituisce.

Per la maggior parte degli assicuratori oggi è quasi una condizione, almeno per posta, accesso remoto e account amministrativi. L’autenticazione a più fattori (MFA) aggiunge un secondo passaggio all’accesso, come un codice da un’app o una chiave hardware, così una password rubata da sola non apre l’account. I questionari chiedono spesso dove esattamente sia imposta, e il dettaglio conta: MFA sulla posta ma non sulla VPN, o sugli utenti ma non sugli amministratori, può trasformare un “sì” in una dichiarazione inesatta dopo un incidente. Elenchi ogni via d’accesso ai Suoi sistemi, imponga l’MFA su ciascuna, documenti le eccezioni e le comunichi al broker. Un sensore di rete non può verificare l’MFA, perché gli eventi di accesso si trovano nei log del sistema di identità e della VPN. NetSenX offre l’autenticazione a due fattori in ogni piano, Free compreso, per l’accesso all’account NetSenX, e non verifica l’MFA negli altri Suoi sistemi.

Molti lo chiedono su tutti i portatili e server, e alcuni chiedono quale quota di dispositivi copra, quindi verifichi la domanda esatta. Il rilevamento e risposta sugli endpoint (EDR) è un software installato su ogni computer che osserva processi e file e può isolare una macchina. Non funziona su molti dispositivi, come stampanti, telecamere, telefoni, controlli degli edifici o apparecchiature industriali, e manca ovunque qualcuno abbia dimenticato di installarlo. Risponda con numeri reali: conti i dispositivi, conti quelli con EDR e spieghi il resto e come è protetto, per esempio con la separazione della rete. Il rilevamento di rete è il complemento abituale, perché vede il traffico di ogni dispositivo di un segmento monitorato, con o senza agente. NetSenX è questo complemento: osserva dispositivi e connessioni, non i processi dentro un host, e non è un EDR. La sua mappa di rete mostra i dispositivi visti in ogni segmento monitorato, il che aiuta a trovare quelli che mancano nel conteggio EDR.

Soprattutto se potrebbe ripartire senza pagare e quanto in fretta un attacco verrebbe notato. Le domande tipiche riguardano i backup (offline o immutabili, separati dagli account amministrativi abituali, e quando è stato fatto l’ultimo ripristino di prova), l’MFA su accesso remoto e posta, la rapidità con cui si applicano le patch critiche, se il desktop remoto è esposto su internet, se i diritti amministrativi sono limitati, se gli endpoint hanno l’EDR e se qualcuno monitora gli alert e interviene. Alcuni assicuratori chiedono anche se esiste una procedura per il ransomware e chi decide davanti a una richiesta di riscatto. Il ransomware è di solito preceduto da giorni di preparazione nella rete: l’aggressore contatta il proprio server, scansiona e si sposta tra le macchine. È questa finestra che il rilevamento di rete può accorciare. NetSenX segnala questi passaggi in ogni piano e li spiega con parole semplici, ma non blocca il traffico né ripristina i dati; la risposta alla prima domanda restano i backup e un piano di ripristino collaudato.

Di solito perché è cambiata la valutazione del rischio dell’assicuratore, non per la mancanza di un singolo strumento. Le ragioni frequenti sono risposte nel questionario di rinnovo che mostrano una lacuna, come l’assenza di MFA sull’accesso remoto o di un backup verificato; un sinistro o un incidente nell’ultimo anno; un cambiamento nell’attività, come nuovi paesi, più dati o acquisizioni; sistemi esposti che l’assicuratore ha trovato scansionando i Suoi indirizzi visibili da internet; e un cambiamento nella propensione dell’assicuratore verso il Suo settore. Chieda al broker le ragioni precise per iscritto, corregga ciò che si può correggere, lo documenti e chieda una nuova valutazione, oppure si rivolga ad altri assicuratori con queste prove. Non spunti risposte che non può dimostrare. NetSenX può aiutare su un punto: mostra che il monitoraggio è attivo e fornisce registrazioni degli alert dei segmenti osservati. Non scansiona i Suoi sistemi esposti su internet come fanno gli assicuratori e non può garantire copertura né prezzo.

Alcuni lo chiedono e pochi ne fanno una condizione, ma molti chiedono solo se il monitoraggio esiste e chi interviene. Legga la domanda esatta: “monitoraggio 24/7” nel questionario di un assicuratore di solito significa che una persona esamina gli alert a qualsiasi ora, spesso tramite un centro operativo di sicurezza (SOC) o un fornitore gestito, non solo che il software è sempre in funzione. Gli attacchi sono spesso lanciati di notte, nei fine settimana e nei giorni festivi, quando nessuno guarda, ed è per questo che agli assicuratori interessa. Se non può coprire ogni ora, lo dica con onestà e descriva ciò che fa: alert inviati a un telefono, turni di reperibilità, un contratto con un MSP o un tempo di risposta che rispetta davvero. NetSenX analizza il traffico in modo continuo nei segmenti osservati e genera alert a qualsiasi ora, e dal piano Pro può inviarli a Slack o a un webhook. Serve comunque una persona che li legga e agisca; NetSenX non fornisce un monitoraggio presidiato da analisti.

Da soli di solito no, perché l’assicuratore che chiede di un monitoraggio 24/7 intende in genere che una persona possa intervenire a qualsiasi ora. Il software che analizza il traffico di continuo e invia alert è la prima metà; la seconda è qualcuno che riceve l’alert alle tre di notte, lo capisce e può agire, per esempio scollegando un dispositivo o chiamando una società di risposta. Se un’organizzazione con alert inviati a un telefono di reperibilità basti dipende dal testo dell’assicuratore, quindi la descriva con precisione e chieda al broker invece di spuntare la casella. Annoti il tempo di risposta che rispetta davvero fuori orario e lo verifichi una volta con un alert provocato di proposito. NetSenX fornisce la prima metà: analisi continua nei segmenti osservati, alert spiegati con parole semplici e, dal piano Pro, invio a Slack o a un webhook. La seconda metà sono i Suoi turni di reperibilità, il Suo MSP o un centro operativo di sicurezza.

Può essere parte della risposta se il fornitore si impegna davvero a osservare e intervenire a qualsiasi ora, e il contratto lo prevede. Ciò che rende difendibile un “sì” è il servizio, non il software: un tempo di risposta scritto, la copertura di notti e fine settimana, un elenco chiaro di ciò che il fornitore può fare da solo, come isolare un dispositivo, e resoconti periodici. Chieda al fornitore le clausole contrattuali, le confronti con la domanda dell’assicuratore insieme al broker e conservi il contratto con i documenti di polizza. NetSenX si presta a questo modello: ogni cliente ha un proprio tenant, separato dagli altri clienti nel database; dal piano Pro gli alert possono essere inviati allo Slack del fornitore o a un webhook; e la gestione del team con ruoli è disponibile dal piano Starter, così il fornitore può lavorare nel Suo account con le proprie credenziali. I report white-label sono disponibili nel piano Enterprise, su contratto. L’impegno di monitoraggio in sé è del fornitore, non di NetSenX.

Deve indicare chi osserva, quando, con quale rapidità interviene e che cosa può fare. Un centro operativo di sicurezza (SOC) è un team che monitora gli alert di sicurezza e risponde, interno o acquistato come servizio. Quando un assicuratore ne chiede, cerca alcuni punti concreti: orari di copertura, notti e fine settimana compresi; un tempo di risposta per gli alert urgenti, scritto come accordo sul livello di servizio (SLA); quali sistemi e fonti di dati sono coperti; quali azioni il fornitore può intraprendere senza chiedere, come isolare un dispositivo o disattivare un account; come e quando viene informato Lei; e che cosa succede durante i disservizi del fornitore stesso. Si assicuri che il perimetro del contratto corrisponda a quello dichiarato, perché un SOC che vede solo il firewall non copre i portatili. NetSenX può essere una delle fonti di dati di un team simile, con alert a Slack o a un webhook dal piano Pro ed esportazione verso un SIEM dal piano Business. NetSenX non vende servizi SOC.

Di solito se notereste un’attività sospetta all’interno della rete e chi interverrebbe, non se è installato un firewall. Il firewall filtra il traffico al perimetro; il monitoraggio di rete osserva il traffico che passa, anche tra dispositivi interni, e segnala schemi come un dispositivo che contatta un server esterno a intervalli regolari, una macchina che sonda molte altre o volumi in uscita insoliti. La domanda è spesso seguita da altre sulla copertura (quali sedi e segmenti), sull’esame degli alert e sulla conservazione delle registrazioni. Risponda in base al perimetro reale: elenchi quali reti sono osservate e quali no, come una sede remota o il Wi-Fi ospiti. NetSenX è un sistema di rilevamento e risposta di rete (NDR): in ogni piano rileva beaconing, scansioni, movimento laterale e volumi in uscita insoliti nei segmenti osservati, tramite un agente su Linux o macOS o un sensore su una porta SPAN/TAP. Non vede i segmenti che non vi sono collegati.

Prove che il monitoraggio esiste, copre ciò che dichiarate e porta a interventi. Gli assicuratori chiedono raramente prove alla sottoscrizione, ma possono farlo al rinnovo, durante una verifica o dopo un sinistro, quindi le raccolga strada facendo. Sono utili una breve descrizione di che cosa è monitorato e come, con uno schema di rete che indichi i segmenti osservati; il nome della persona o del fornitore che esamina gli alert e i tempi di risposta concordati; alcuni alert recenti con ciò che è stato fatto; e un report riassuntivo periodico. Li conservi con i documenti di polizza e li aggiorni quando la rete cambia. NetSenX può fornirne una parte: la mappa di rete con i dispositivi visti in ogni segmento monitorato, in ogni piano; report PDF dal piano Starter; e un registro di audit delle azioni e modifiche nell’account, in ogni piano. Non certifica il Suo monitoraggio, e se una prova viene accettata lo decide l’assicuratore.

Sì, come una delle prove, ma NetSenX non certifica nulla e che cosa accettare lo decide l’assicuratore. I report di conformità in PDF sono disponibili dal piano Starter. Insieme allo storico degli alert, aiutano a mostrare che il monitoraggio era attivo, che cosa ha trovato e quando. Accompagni ogni report con il contesto che serve all’assicuratore: quali segmenti erano monitorati e quali no, chi ha esaminato gli alert e che cosa è stato fatto per quelli importanti. Il report di uno strumento di monitoraggio non dice nulla di backup, MFA o patch, che di solito sono le prime domande dell’assicuratore. Dopo un incidente esporti subito gli alert rilevanti, così restano disponibili oltre lo storico del Suo piano (30 giorni nel Free, di più nei piani a pagamento, senza limiti nell’Enterprise). Dal piano Pro gli alert si possono anche prelevare tramite API nel Suo archivio.

A volte aiuta, ma nessuno strumento garantisce un prezzo più basso, e il premio dipende molto di più da settore, fatturato, storico dei sinistri e misure di base. Gli assicuratori prezzano il rischio che vedono nelle Sue risposte e, sempre più spesso, nelle proprie scansioni dei sistemi esposti su internet. Un monitoraggio con qualcuno che interviene può migliorare questo quadro, soprattutto se la risposta precedente era “no”, ma MFA, backup verificati e patch di solito pesano di più. Se introduce il rilevamento di rete, lo dica al broker al rinnovo, descriva il perimetro e chi esamina gli alert, e alleghi una prova come un report. Chieda se l’assicuratore concede sconti per misure specifiche e quale prova richiede. Non acquisti uno strumento solo per il questionario: uno strumento di monitoraggio che nessuno guarda può danneggiarLa dopo un sinistro. Il rilevamento di base di NetSenX è disponibile in ogni piano, Free compreso, quindi può descrivere un monitoraggio reale prima di pagare qualsiasi cosa; NetSenX non può promettere alcuna variazione del premio.

Al massimo in parte, e dipende dalla legge nazionale e dalla polizza. NIS2 rende gli organi di gestione dei soggetti interessati responsabili di approvare le misure di gestione dei rischi di cibersicurezza e di sovrintenderne l’attuazione, e le leggi nazionali vi collegano conseguenze: in Germania il § 38, comma 2, del BSIG rende gli amministratori responsabili secondo il diritto societario se violano questo dovere. L’assicurazione di responsabilità di amministratori e dirigenti (D&O) può coprire le spese di difesa e i risarcimenti che un amministratore deve alla società o a terzi. Le sanzioni amministrative sono un’altra questione: se siano assicurabili lo decidono la legge nazionale e l’ordine pubblico, e molte polizze le escludono. Verifichi tre punti con il broker: se la polizza D&O esclude gli eventi cyber o li rinvia alla polizza cyber, se le sanzioni sono coperte dove la legge lo consente e come le due polizze si coordinano. L’assicurazione non elimina il dovere in sé, cioè approvare e sovrintendere le misure. NetSenX non ha alcun ruolo nella copertura assicurativa.