Cyberprzestępczość, awaria systemów IT, naruszenia danych, a także związane z nimi grzywny i kary to według Barometru Ryzyk Allianz największe zagrożenia dla biznesu w 2022 roku. Nic dziwnego, że firmy coraz częściej sięgają po ubezpieczenie od incydentów cyfrowych. Jak wskazuje badanie Sophos, nawet 97 proc. dużych polskich przedsiębiorstw zatrudniających od 100 do 5 tys. pracowników posiada już cyberpolisę. Jednak rosnąca liczba zagrożeń oraz powiększające się koszty ponoszone przez ofiary cyberataków sprawiają, że tego typu ubezpieczenia są coraz droższe i mniej dostępne. Eksperci zaznaczają, że aby otrzymać od ubezpieczyciela najlepszą ofertę, firmy w pierwszym kroku powinny zadbać o podstawy cyberbezpieczeństwa, a następnie o przejrzystość całego ekosystemu IT. W przypadku ataku pomoże to w określeniu jego przyczyn, a także minimalizacji szkód.
Poważne konsekwencje cyberincydentów
Biznes wydaje się być świadomy istniejących cyberzagrożeń oraz zna ich potencjalne konsekwencje. Właśnie dlatego sposoby na skuteczną przed nimi ochronę stają się coraz częściej tematem rozmów podczas najważniejszych wydarzeń gospodarczych. Przykładem może być tegoroczna edycja badania „The Global Risks Report” Światowego Forum Ekonomicznego (WEF), w którym niepowodzenie działań na rzecz cyberbezpieczeństwa znalazło się na liście 10 największych zagrożeń dla świata w 2022 roku.
Analizy z rynku wskazują, że najczęstszą formą ataku na przedsiębiorstwa jest zainfekowanie systemu złośliwym oprogramowaniem. Firma Sophos podaje, że w 2021 roku aż 77 proc. średnich i dużych przedsiębiorstw nad Wisłą doświadczyło ataku typu ransomware. Ponadto 8 na 10 tego rodzaju incydentów kończyło się zaszyfrowaniem firmowych danych, a połowa polskich organizacji w celu ich odzyskania (nawet dysponując kopiami zapasowymi) płaciła przestępcom średnio 670 tys. zł. Dane pokazują, że firmy z Polski nie są przygotowane na szybkie wznowienie operacji i doprowadzenie do stabilizacji po ataku. Tylko co czwarta organizacja była w stanie powrócić do standardowej działalności w 30 dni, a 31 proc. potrzebowało do tego od 1 do nawet 3 miesięcy.
Skutkiem tego typu wydarzeń może być utrata pozycji i zaufania wśród klientów, jak również ogromne starty finansowe, a w rezultacie przerwy w działalności lub nawet jej zakończenie.
Cyberpolisa dla minimalizacji szkód
Przed konsekwencjami zarówno ataków hakerskich, jak i naruszenia przepisów RODO chroni ubezpieczenie od ryzyk cyfrowych. Polisa ta często jest wymogiem dla dużych organizacji, ale firmy średniej i małej wielkości także mogą z niej skorzystać. Tego typu ubezpieczenie najczęściej obejmuje zobowiązanie do wyrównania strat finansowych, które przedsiębiorstwo poniosło w wyniku cyberataku. Wśród nich można wyróżnić koszty związane z naprawą sprzętu i oprogramowania, pokrycie szkód zaistniałych w wyniku działania osób trzecich (naruszenie poufności, integralności lub dostępu do danych elektronicznych), a także obowiązujące w niektórych państwach grzywny nakładane na firmy, które dopuściły do naruszenia danych osobowych np. klientów lub pracowników.
Obecnie można zauważyć systematyczny wzrost cen tego rodzaju ubezpieczeń. Rosną także wymagania wobec firm zainteresowanych jego kupnem. Z całą pewnością wpływa na to coraz większa skala cybeprzestępczości oraz związane z nią koszty. Zatem pojawia się pytanie, co firmy mogą zrobić, aby uzyskać jak najlepsze warunki cyberpolisy?
Wysokie standardy bezpieczeństwa IT = korzystne warunki ubezpieczenia
Każde ubezpieczenie zawiera pewne warunki, które wnioskodawca musi spełnić. Przykładem może być polisa na dom, w przypadku której zazwyczaj wymagane jest posiadanie określonej jakości drzwi wejściowych, okien oraz zamków. Jednak jeśli budynek mieszkalny dysponuje dodatkowymi zabezpieczeniami w postaci np. rolet antywłamaniowych, alarmu lub monitoringu, to firma ubezpieczeniowa bierze na siebie mniejsze ryzyko włamania i może zaoferować niższą składkę. Jak to wygląda w przypadku cyberpolisy?
„Przede wszystkim przedsiębiorstwo powinno najpierw wybrać ofertę odpowiadającą specyfice branży, w której działa, a potem spełnić wymagania ubezpieczyciela. Organizacja ubiegająca się o przyznanie polisy może zostać poproszona np. o dowody na spełnianie wszystkich standardów bezpieczeństwa informatycznego, takie jak właściwe certyfikaty. Jeżeli przedsiębiorstwo troszczy się o wysoki poziom ochrony środowiska IT, to w przypadku cyberataku łatwiej będzie ustalić przyczynę naruszenia” – powiedział Sebastian Wąsik, Country Manager na Polskę w baramundi software.
Ponadto firmy, które decydują się na zakup ubezpieczenia cyfrowego muszą spełnić określone wymagania, m.in. te dotyczące przejrzystości sieci czy zabezpieczenia kopii zapasowych.
„W tym celu najłatwiej posłużyć się narzędziami do ujednoliconego zarządzania punktami końcowymi (UEM), które oferują szybkie i łatwe przywracanie systemów i plików, a także stale monitorują wszystkie urządzenia podłączone do Internetu. Dbają również o to, aby zainstalowane na nich oprogramowanie zawsze było aktualne oraz nie posiadało luk w zabezpieczeniach. Z danych firmy Veeam wynika, że w przypadku aż 43 proc. ataków, cyberprzestępcy wykorzystali niestaranność administratorów, czyli np. niezałatane luki. Narzędzia UEM wspierają pracę działów IT poprzez automatyzację wielu podstawowych czynności, zwiększając tym samym barierę ochronną systemów informatycznych. Implementacja takiej usługi pomoże organizacji w znalezieniu najlepszej oferty ubezpieczeniowej, a w przypadku ataku, w szybkim określeniu jego przyczyny oraz podjęciu natychmiastowych działań zaradczych” – dodaje ekspert.
Przedsiębiorstwa powinny więc mieć na uwadze, że wyższe standardy ochrony środowiska informatycznego przekładają się nie tylko na większe bezpieczeństwo, ale także na korzystniejszą umowę ubezpieczenia. Pełna kontrola nad wszystkimi urządzeniami mającymi dostęp do Internetu zwiększa ogólny poziom bezpieczeństwa informatycznego organizacji, ale również jest ważna dla ubezpieczyciela, który w razie cyberataku może łatwo ustalić, co było jego przyczyną.