Cyberpolisa dla małej firmy — czy to się opłaca?

Jak zwykle wygląda atak na małą firmę

Scenariusz, który powtarza się w relacjach właścicieli firm, rzadko ma coś wspólnego z filmami o hakerach. Zaczyna się od zwykłego e-maila w skrzynce księgowości — wygląda jak faktura od stałego dostawcy albo przypomnienie o płatności. Kliknięcie w załącznik wystarczy, żeby zaszyfrować pliki na firmowych komputerach i dysku sieciowym.

Potem jest ekran z żądaniem okupu, telefony od klientów, którzy czekają na zamówienia, i pytanie, które zadaje sobie każdy właściciel: ile dni przetrwam bez dostępu do systemu? W małych firmach odpowiedź brzmi zwykle: kilka, góra kilkanaście — a każdy dzień postoju to konkretna kwota, której nikt nie policzył wcześniej.

Co realnie pokrywa cyberpolisa

• Koszty odtworzenia danych i systemów po ataku ransomware.
• Utracony zysk za czas przestoju działalności.
• Koszty powiadomienia klientów i obsługi wycieku danych osobowych.
• Kary administracyjne i koszty obrony, o ile są ubezpieczalne w danej jurysdykcji.
• Pracę zespołu reagowania na incydenty — informatyków śledczych i prawników.

Kto powinien rozważyć ją w pierwszej kolejności

Sklepy internetowe, biura rachunkowe, gabinety medyczne, kancelarie i każda firma przetwarzająca dane osobowe klientów. Jeśli Twoja działalność zatrzyma się na tydzień po utracie dostępu do systemu — cyberpolisa jest dla Ciebie. Im więcej danych klientów przetwarzasz i im bardziej ciągłość działania zależy od IT, tym większy sens ma taka ochrona.

Ile to kosztuje i co wpływa na składkę

Dla mikrofirmy składka zaczyna się od około 150,00 zł miesięcznie przy sumie ochrony 500 000 zł. Dla spółki z obrotem kilku milionów — od 400,00 zł miesięcznie przy sumie 2 000 000 zł. To ułamek kosztu jednego dnia przestoju.

Na wysokość składki wpływa kilka czynników: roczny przychód i liczba przetwarzanych danych osobowych, charakter działalności — sklep internetowy ryzykuje inaczej niż gabinet — jakość istniejących zabezpieczeń, a także suma ochrony i udział własny, które wybierzesz.

Co sprawdzić w OWU cyberpolisy

• Karencję — ochrona zwykle zaczyna działać po określonym czasie od zawarcia umowy.
• Obowiązki prewencyjne — część polis wymaga aktualizacji oprogramowania, kopii zapasowych i uwierzytelniania dwuskładnikowego; ich brak może obniżyć wypłatę.
• Termin zgłoszenia incydentu — zwykle liczony w godzinach, nie dniach.
• Zakres terytorialny i podwykonawców — sprawdź, czy ochrona obejmuje incydenty po stronie firm, którym zlecasz usługi.

Czego cyberpolisa nie zastąpi

Polisa nie zwalnia z obowiązku posiadania podstawowych zabezpieczeń: kopii zapasowych, aktualizacji, uwierzytelniania dwuskładnikowego. Ubezpieczyciel może odmówić wypłaty, jeśli rażąco zaniedbano higienę cyfrową. Zanim zaczniesz rozmawiać o polisie, warto wdrożyć minimum:

• Kopie zapasowe w modelu 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, w tym jedna poza siedzibą firmy.
• Uwierzytelnianie dwuskładnikowe do poczty, banku i systemów firmowych.
• Regularne aktualizacje systemu i programów — również na telefonach.
• Krótkie szkolenie zespołu z rozpoznawania phishingu; to ludzie pozostają najsłabszym ogniwem.

Cyberpolisa nie jest lekarstwem na brak zabezpieczeń — jest siatką bezpieczeństwa na wypadek, gdy zabezpieczenia zawiodą. Dopiero w tej kolejności ma sens.

W Rezervacii przed wystawieniem polisy przechodzimy z klientem krótki audyt zabezpieczeń — tak, żeby ochrona miała na czym się oprzeć.