Ubezpieczenie cyber

To zależy od treści polisy, a nie od słowa „cyber” w jej nazwie. Polisy różnią się zakresem: koszty reagowania na incydent, odtworzenie systemów, przerwa w działalności, roszczenia osób trzecich, a w niektórych także sam okup. Różnią się też wyłączeniami, udziałem własnym, okresem karencji, po którym liczą się straty z przestoju, oraz warunkami bezpieczeństwa zadeklarowanymi we wniosku, takimi jak uwierzytelnianie wieloskładnikowe (MFA) i kopie zapasowe offline. Zapłata okupu może być też ograniczona prawem, na przykład gdy sprawcy są na liście sankcyjnej, więc ubezpieczyciel może odmówić tej części, nawet jeśli reszta jest objęta ochroną. Przed incydentem przeczytaj zakres ochrony z brokerem, zapisz infolinię ubezpieczyciela i warunki zgłoszenia, i sprawdź, czy każde zadeklarowane zabezpieczenie naprawdę istnieje. NetSenX nie decyduje o ochronie, ale jego alerty i dziennik audytu, w każdym planie, pomagają pokazać, co było monitorowane i kiedy pojawiły się pierwsze sygnały.

Tak, mogą pomóc ustalić, co się stało i kiedy, a od tego zależą zarówno roszczenie, jak i ewentualne zgłoszenie naruszenia. Zapisy sieciowe mogą pokazać, kiedy zaczęły się nietypowe połączenia, których urządzeń dotyczyły, czy urządzenie regularnie łączyło się z zewnętrznym serwerem i czy z sieci wypłynęły duże ilości danych, co pomaga odróżnić atak polegający tylko na zaszyfrowaniu od takiego, w którym dane także wyniesiono. Żeby to się liczyło, zapisy muszą obejmować właściwy okres, mieć wiarygodne znaczniki czasu i być chronione przed późniejszymi zmianami, więc ustal okres przechowywania, zanim będzie potrzebny, i trzymaj kopie poza dotkniętymi systemami. NetSenX przechowuje alerty przez okres historii alertów w Twoim planie oraz dziennik audytu działań i zmian na koncie. Zapisuje metadane, a nie treść zaszyfrowanych sesji, więc pokaże, że dane wypłynęły i dokąd, ale nie, co zawierały pliki. Czy dany zapis wystarczy konkretnemu ubezpieczycielowi, musisz potwierdzić z brokerem.

Może wpływać, zależnie od tego, co zadeklarowano i jak sformułowano polisę. Wnioski często pytają nie tylko, czy narzędzie monitorujące jest zainstalowane, ale też kto przegląda jego alerty i jak szybko, a odpowiedź niezgodna z rzeczywistością może po incydencie ograniczyć lub wyłączyć ochronę. Przeczytaj warunki z brokerem i opisz swoje środowisko takim, jakie jest naprawdę, łącznie z wieczorami, weekendami i urlopami. Potem zamknij lukę: wyznacz osobę i zastępcę do alertów, ustal, co jest pilne, zapisz, kto do kogo dzwoni, i przetestuj to. Jeśli nikt w firmie nie może tego robić, może to robić dostawca usług zarządzanych (MSP). Narzędzie pomaga tylko wtedy, gdy ktoś zobaczy alert na czas. NetSenX opisuje każdy alert prostym językiem, więc oceni go także osoba niebędąca specjalistą, a od planu Pro może wysyłać alerty do Slacka lub webhooka, żeby trafiały do osoby dyżurnej. Dziennik audytu zapisuje działania i zmiany na koncie.

Najczęściej dlatego, że fakty po incydencie nie zgadzają się z tym, co zadeklarowano lub wymagano przed nim. Typowe powody to zabezpieczenie wpisane we wniosku, którego nie było albo było tylko częściowo, na przykład MFA dla poczty, ale nie dla zdalnego dostępu; spóźnione zgłoszenie ubezpieczycielowi; zdarzenie objęte wyłączeniem, takim jak wojna albo niezałatana znana podatność, jeśli tak stanowi polisa; szkody spoza zakresu, jak kara, której nie da się ubezpieczyć; albo zlecenie pracy firmom reagowania bez zgody ubezpieczyciela. Zmniejsz to ryzyko już teraz: wypełniaj ankietę razem z osobą, która prowadzi systemy, przechowuj dowody, że każde zabezpieczenie działa, trzymaj procedurę zgłoszenia szkody przy planie reagowania i informuj brokera o zmianach w środowisku. NetSenX nie sprawi, że roszczenie zostanie uznane. Pomaga w jednej części: daje datowany zapis tego, co pokazała sieć, oraz działań i zmian na Twoim koncie.

Zwykle dowodów na trzy rzeczy: że wydarzyło się zdarzenie objęte ochroną, ile kosztowało i że warunki polisy były spełnione. Przygotuj się na przekazanie osi czasu incydentu, raportu z analizy powłamaniowej lub reagowania, faktur firm reagujących, kosztów odtworzenia i nadgodzin, wyliczenia utraconych przychodów w czasie przestoju, ewentualnych zgłoszeń do organów lub klientów oraz dowodów, że zadeklarowane zabezpieczenia, takie jak MFA, kopie zapasowe i monitoring, działały w dniu incydentu. Co wystarczy, decydują polisa i likwidator, więc zapytaj ich wcześnie i prowadź listę na bieżąco. Zabezpiecz logi i dotknięte systemy przed ich odbudową, bo wyczyszczony serwer niczego później nie pokaże. NetSenX dostarcza jeden element: alerty ze znacznikami czasu i dotkniętymi urządzeniami, przechowywane przez okres historii alertów w Twoim planie (30 dni w Free, dłużej w planach płatnych), oraz dziennik audytu działań i zmian na koncie. Nie dostarcza analizy powłamaniowej urządzeń końcowych ani wyceny szkody.

Często tak, a przynajmniej ma w tej sprawie głos. Wiele polis daje dostęp do panelu firm reagowania, prawników i specjalistów od odtwarzania, a niektóre pokrywają koszty w pełni tylko wtedy, gdy korzystasz z tych firm albo gdy ubezpieczyciel z góry zatwierdzi inną. Sprawdź to przed incydentem: przeczytaj klauzulę o usługach reagowania na incydenty, zapisz numer infolinii i to, kto może do niej dzwonić, i zapytaj, czy Twój obecny dostawca IT albo dostawca usług zarządzanych (MSP) może pracować razem z firmą z panelu. W czasie incydentu zadzwoń do ubezpieczyciela wcześnie, zanim cokolwiek podpiszesz, i zapisuj ustalenia na piśmie. Ustal też, do kogo należy raport z analizy powłamaniowej, bo może trafić do ubezpieczyciela. NetSenX nie jest firmą reagowania na incydenty i nie jest w panelach ubezpieczycieli. Może dać zespołowi reagowania punkt wyjścia: które urządzenia wywołały alerty, kiedy i z jakimi adresami zewnętrznymi się łączyły.

W większości wniosków pojawia się krótka lista, choć każdy ubezpieczyciel ustala własną. Spodziewaj się pytań o uwierzytelnianie wieloskładnikowe (MFA) dla poczty, zdalnego dostępu i kont administratorów; kopie zapasowe przechowywane offline lub niezmienialne i sprawdzone próbnym odtworzeniem; terminowe aktualizacje, zwłaszcza systemów dostępnych z internetu; system wykrywania i reagowania na urządzeniach końcowych (EDR) na laptopach i serwerach; filtrowanie poczty i szkolenia pracowników; ograniczone uprawnienia administratora; plan reagowania na incydenty; oraz jakąś formę monitoringu z wyznaczoną osobą, która reaguje. Odpowiadaj za całą firmę, a nie za jej najlepiej prowadzoną część, i zapisz dowody stojące za każdym „tak”. Wniosek jest częścią umowy, więc błędna odpowiedź waży więcej niż ujawniony brak zabezpieczenia. NetSenX pokrywa część pytania o monitoring: w każdym planie, także Free, wykrywa beaconing C2, skanowanie, ruch lateralny i nietypowo duże wysyłanie danych w obserwowanych segmentach. Nie jest MFA, EDR ani kopią zapasową i ich nie zastępuje.

U większości ubezpieczycieli jest dziś niemal warunkiem, przynajmniej dla poczty, zdalnego dostępu i kont administratorów. Uwierzytelnianie wieloskładnikowe (MFA) dodaje do logowania drugi krok, na przykład kod z aplikacji albo klucz sprzętowy, więc samo skradzione hasło nie otwiera konta. Ankiety często pytają, gdzie dokładnie MFA jest wymuszone, i szczegóły mają znaczenie: MFA na poczcie, ale nie na VPN, albo dla użytkowników, ale nie dla administratorów, może po incydencie zamienić „tak” w nieprawdziwe oświadczenie. Spisz wszystkie drogi dostępu do systemów, wymuś MFA na każdej, udokumentuj wyjątki i poinformuj o nich brokera. Czujnik sieciowy nie sprawdzi MFA, bo zdarzenia logowania są w logach systemu tożsamości i VPN. Sam NetSenX oferuje uwierzytelnianie dwuskładnikowe w każdym planie, także Free, dla dostępu do konta NetSenX, i nie weryfikuje MFA w innych Twoich systemach.

Wielu pyta o EDR na wszystkich laptopach i serwerach, a niektórzy o to, jaki odsetek urządzeń obejmuje, więc sprawdź dokładne brzmienie pytania. System wykrywania i reagowania na urządzeniach końcowych (EDR) to oprogramowanie na każdym komputerze, które obserwuje procesy i pliki i potrafi odizolować maszynę. Nie da się go uruchomić na wielu urządzeniach, takich jak drukarki, kamery, telefony, sterowniki budynkowe czy sprzęt przemysłowy, i brakuje go wszędzie tam, gdzie ktoś zapomniał go zainstalować. Odpowiadaj prawdziwymi liczbami: policz urządzenia, policz te z EDR, a resztę opisz wraz ze sposobem ochrony, na przykład separacją sieci. Zwykłym uzupełnieniem jest wykrywanie sieciowe, bo widzi ruch każdego urządzenia w monitorowanym segmencie, z agentem lub bez. NetSenX jest takim uzupełnieniem: obserwuje urządzenia i połączenia, a nie procesy wewnątrz hosta, i nie jest EDR. Jego mapa sieci pokazuje urządzenia widziane w każdym monitorowanym segmencie, co pomaga znaleźć te, których brakuje w Twoim liczniku EDR.

Głównie o to, czy dałoby się odtworzyć dane bez płacenia i jak szybko atak zostałby zauważony. Typowe pytania dotyczą kopii zapasowych (czy są offline lub niezmienialne, oddzielone od zwykłych kont administratorów i kiedy ostatnio wykonano próbne odtworzenie), MFA na zdalnym dostępie i poczcie, tempa wdrażania krytycznych poprawek, tego, czy pulpit zdalny jest wystawiony do internetu, czy uprawnienia administratora są ograniczone, czy urządzenia końcowe mają EDR i czy ktoś monitoruje alerty i na nie reaguje. Niektórzy pytają też o scenariusz postępowania przy ransomware i o to, kto decyduje o żądaniu okupu. Ransomware zwykle poprzedzają dni przygotowań w sieci: napastnik łączy się z serwerem C2, skanuje i przechodzi między maszynami. To okno może skrócić wykrywanie sieciowe. NetSenX alarmuje o tych krokach w każdym planie i opisuje je prostym językiem, ale nie blokuje ruchu ani nie odtwarza danych; odpowiedzią na pierwsze pytanie pozostają kopie zapasowe i sprawdzony plan odtworzenia.

Zwykle dlatego, że zmieniła się ocena ryzyka u ubezpieczyciela, a nie z powodu braku jednego narzędzia. Częste przyczyny to odpowiedzi we wniosku o odnowienie, które pokazują lukę, na przykład brak MFA na zdalnym dostępie albo niesprawdzone kopie zapasowe; szkoda lub incydent w ostatnim roku; zmiana w działalności, taka jak nowe kraje, więcej danych czy przejęcia; wystawione systemy, które ubezpieczyciel znalazł, skanując Twoje adresy widoczne z internetu; oraz zmiana apetytu samego ubezpieczyciela na Twoją branżę. Poproś brokera o konkretne powody na piśmie, napraw to, co da się naprawić, udokumentuj to i poproś o ponowną ocenę albo zwróć się do innych ubezpieczycieli z dowodami. Nie zaznaczaj odpowiedzi, których nie potrafisz udowodnić. NetSenX może pomóc w jednym punkcie: pokazuje, że monitoring działa, i daje zapisy alertów z obserwowanych segmentów. Nie skanuje Twoich systemów widocznych z internetu tak jak ubezpieczyciele i nie może zagwarantować ochrony ani ceny.

Niektórzy o to pytają, a nieliczni stawiają to jako warunek, ale wielu pyta tylko, czy monitoring istnieje i kto reaguje. Przeczytaj dokładne pytanie: „monitoring 24/7” we wniosku ubezpieczyciela zwykle oznacza, że alerty przegląda człowiek o każdej porze, często przez centrum operacji bezpieczeństwa (SOC) lub dostawcę usług zarządzanych, a nie tylko to, że oprogramowanie działa cały czas. Ataki często są planowane na noce, weekendy i święta, gdy nikt nie patrzy, dlatego ubezpieczycielom na tym zależy. Jeśli nie możesz zapewnić obsady o każdej porze, powiedz to uczciwie i opisz, co robisz: alerty wysyłane na telefon, grafik dyżurów, umowa z MSP albo czas reakcji, który naprawdę dotrzymasz. NetSenX analizuje ruch nieprzerwanie w obserwowanych segmentach i zgłasza alerty o każdej porze, a od planu Pro może wysyłać je do Slacka lub webhooka. Nadal ktoś musi je przeczytać i zareagować; NetSenX nie zapewnia monitoringu z obsadą ludzką.

Same w sobie zwykle nie, bo ubezpieczyciele pytający o monitoring 24/7 mają na ogół na myśli to, że człowiek może zareagować o każdej porze. Oprogramowanie, które cały czas analizuje ruch i wysyła alerty, to pierwsza połowa; druga to ktoś, kto odbierze alert o trzeciej w nocy, zrozumie go i może działać, na przykład odłączyć urządzenie albo zadzwonić do firmy reagowania. Czy liczy się układ, w którym alerty trafiają na telefon dyżurny, zależy od brzmienia wniosku, więc opisz go dokładnie i zapytaj brokera, zamiast zaznaczać pole. Zapisz czas reakcji, który naprawdę dotrzymasz poza godzinami pracy, i sprawdź go raz celowo wywołanym alertem. NetSenX zapewnia pierwszą połowę: ciągłą analizę w obserwowanych segmentach, alerty opisane prostym językiem, a od planu Pro dostarczanie do Slacka lub webhooka. Drugą połową jest Twój grafik dyżurów, Twój MSP albo centrum operacji bezpieczeństwa.

Może to być część odpowiedzi, jeśli dostawca rzeczywiście zobowiąże się do obserwowania i reagowania o każdej porze, a umowa to zapisze. „Tak” daje się obronić dzięki usłudze, nie oprogramowaniu: pisemny czas reakcji, objęcie nocy i weekendów, jasna lista tego, co dostawca może zrobić sam, na przykład odizolować urządzenie, oraz regularne raporty dla Ciebie. Poproś dostawcę o odpowiednie zapisy umowy, porównaj je z pytaniem ubezpieczyciela razem z brokerem i przechowuj umowę razem z dokumentami polisy. NetSenX wspiera ten model: każdy klient ma własnego najemcę (tenant), oddzielonego od innych klientów w bazie danych; od planu Pro alerty mogą trafiać do Slacka dostawcy lub na webhook; a zarządzanie zespołem z rolami jest dostępne od planu Starter, więc dostawca może pracować na Twoim koncie pod własnymi loginami. Raporty white-label są dostępne w planie Enterprise na podstawie umowy. Samo zobowiązanie do monitoringu jest po stronie dostawcy, nie NetSenX.

Powinna określać, kto obserwuje, kiedy, jak szybko reaguje i co wolno mu zrobić. Centrum operacji bezpieczeństwa (SOC) to zespół, który monitoruje alerty bezpieczeństwa i na nie reaguje, własny albo kupowany jako usługa. Gdy ubezpieczyciel o nie pyta, szuka kilku konkretów: godzin obsługi, łącznie z nocami i weekendami; czasu reakcji na pilne alerty zapisanego jako umowa o poziomie usług (SLA); tego, które systemy i źródła danych są objęte; działań, które dostawca może podjąć bez pytania, jak odizolowanie urządzenia czy zablokowanie konta; sposobu i terminu informowania Ciebie; oraz tego, co dzieje się podczas awarii po stronie dostawcy. Upewnij się, że zakres w umowie zgadza się z zakresem, który deklarujesz, bo SOC widzący tylko zaporę sieciową nie obejmuje Twoich laptopów. NetSenX może być jednym ze źródeł danych takiego zespołu: alerty do Slacka lub na webhook od planu Pro i eksport do SIEM od planu Business. NetSenX nie sprzedaje usług SOC.

Zwykle to, czy zauważysz podejrzaną aktywność wewnątrz sieci i kto na nią zareaguje, a nie to, czy masz zaporę sieciową. Zapora filtruje ruch na brzegu sieci; monitoring sieci przygląda się ruchowi, który przechodzi, także między urządzeniami wewnętrznymi, i alarmuje o wzorcach takich jak urządzenie łączące się w regularnych odstępach z zewnętrznym serwerem, jedna maszyna sprawdzająca wiele innych albo nietypowe ilości wysyłanych danych. Pytaniu często towarzyszą pytania o zakres (które lokalizacje i segmenty), przeglądanie alertów i okres przechowywania zapisów. Odpowiadaj zgodnie z rzeczywistym zakresem: wypisz, które sieci są obserwowane, a które nie, na przykład oddział zdalny czy Wi-Fi dla gości. NetSenX to wykrywanie i reagowanie w sieci (NDR): w każdym planie wykrywa beaconing, skanowanie, ruch lateralny i nietypowo duże wysyłanie danych w obserwowanych segmentach, przez agenta na Linuksie lub macOS albo czujnik na porcie SPAN/TAP. Nie widzi segmentów, które nie są do niego podłączone.

Dowód, że monitoring istnieje, obejmuje to, co deklarujesz, i że ktoś na niego reaguje. Ubezpieczyciele rzadko proszą o dowody przy składaniu wniosku, ale mogą poprosić przy odnowieniu, podczas audytu albo po szkodzie, więc zbieraj je na bieżąco. Przydatne są krótki opis tego, co i jak jest monitorowane, wraz ze schematem sieci z zaznaczonymi obserwowanymi segmentami; nazwisko osoby lub dostawcy przeglądającego alerty i uzgodnione czasy reakcji; kilka niedawnych alertów z opisem podjętych działań; oraz okresowy raport podsumowujący. Przechowuj je razem z dokumentami polisy i aktualizuj, gdy zmienia się sieć. NetSenX może dostarczyć część z tego: mapę sieci z urządzeniami widzianymi w każdym monitorowanym segmencie, w każdym planie; raporty PDF od planu Starter; oraz dziennik audytu działań i zmian na koncie, w każdym planie. Nie certyfikuje Twojego monitoringu, a o tym, czy dany dowód zostanie przyjęty, decyduje ubezpieczyciel.

Tak, jako jeden z dowodów, ale NetSenX niczego nie certyfikuje, a o tym, co przyjmie, decyduje ubezpieczyciel. Raporty zgodności w PDF są dostępne od planu Starter. Razem z historią alertów pomagają pokazać, że monitoring działał, co wykrył i kiedy. Do każdego raportu dołącz kontekst, którego potrzebuje ubezpieczyciel: które segmenty były monitorowane, a które nie, kto przeglądał alerty i co zrobiono z tymi ważnymi. Raport z narzędzia monitorującego nic nie mówi o kopiach zapasowych, MFA ani aktualizacjach, a o nie ubezpieczyciel zwykle pyta najpierw. Po incydencie szybko wyeksportuj odpowiednie alerty, żeby przetrwały dłużej niż historia alertów w Twoim planie (30 dni w Free, dłużej w planach płatnych, bez limitu w Enterprise). Od planu Pro alerty można też pobierać przez API do własnego archiwum.

Czasem pomaga, ale żadne narzędzie nie gwarantuje niższej ceny, a składka zależy znacznie bardziej od branży, przychodów, historii szkód i podstawowych zabezpieczeń. Ubezpieczyciele wyceniają ryzyko widoczne w Twoich odpowiedziach i coraz częściej we własnych skanach Twoich systemów dostępnych z internetu. Monitoring z osobą, która reaguje, może poprawić ten obraz, zwłaszcza jeśli wcześniej odpowiadałeś „nie”, jednak MFA, sprawdzone kopie zapasowe i aktualizacje zwykle ważą więcej. Jeśli dodasz wykrywanie sieciowe, powiedz o tym brokerowi przy odnowieniu, opisz zakres i to, kto przegląda alerty, i dołącz dowód, na przykład raport. Zapytaj, czy ubezpieczyciel daje zniżki za konkretne zabezpieczenia i jakiego dowodu potrzebuje. Nie kupuj narzędzia tylko dla wniosku: narzędzie monitorujące, na które nikt nie patrzy, może zaszkodzić po szkodzie. Podstawowe wykrywanie NetSenX jest dostępne w każdym planie, także Free, więc możesz opisać rzeczywisty monitoring, zanim za cokolwiek zapłacisz; NetSenX nie może obiecać żadnej zmiany składki.

Najwyżej częściowo, a zależy to od prawa krajowego i polisy. NIS2 nakłada na organy zarządzające podmiotów objętych dyrektywą obowiązek zatwierdzania środków zarządzania ryzykiem cyberbezpieczeństwa i nadzoru nad nimi, a prawo krajowe wiąże z tym konsekwencje: w Niemczech § 38 ust. 2 BSIG przewiduje odpowiedzialność członków zarządu na zasadach prawa spółek za naruszenie tego obowiązku. Ubezpieczenie odpowiedzialności członków władz spółki (D&O) może pokryć koszty obrony przed roszczeniem i odszkodowanie, które członek zarządu jest winien spółce lub osobom trzecim. Kary administracyjne to inna sprawa: czy w ogóle można je ubezpieczyć, rozstrzyga prawo krajowe i porządek publiczny, a wiele polis je wyłącza. Przeczytaj z brokerem trzy rzeczy: czy polisa D&O wyłącza zdarzenia cyber lub odsyła je do polisy cyber, czy kary są objęte tam, gdzie prawo na to pozwala, i jak obie polisy się uzupełniają. Ubezpieczenie nie znosi samego obowiązku, czyli zatwierdzania środków i nadzoru nad nimi. NetSenX nie ma żadnej roli w ochronie ubezpieczeniowej.