Ubezpieczenie ryzyk cybernetycznych osłabi atak hakerski

Przeczytaj także: Ubezpieczenie firmy od cyberprzestępcy. Co obejmuje?

– Zakres polisy może obejmować szereg działań, nie tylko odszkodowanie dla ubezpieczonej firmy za straty spowodowane przez atak hakerski i zapewnienie środków na wypłatę rekompensat dla poszkodowanych klientów. Warto pamiętać, że ubezpieczenie ryzyk cybernetycznych może przewidywać także nakłady finansowe na pokrycie kosztów reakcji oraz zarządzania kryzysowego w związku z atakiem hakerskim. Cena takiej polisy wynosi obecnie od 0,5% do 2% sumy gwarancyjnej, w zależności od zakresu polisy oraz posiadanych przez firmę zabezpieczeń, stosowanych procedur bezpieczeństwa oraz poziomu udziału własnego w szkodzie – zauważą Łukasz Zoń, prezes Stowarzyszenia Polskich Brokerów Ubezpieczeniowych i Reasekuracyjnych.

Co gwarantuje ubezpieczenie ryzyk cybernetycznych.

Głównym zadaniem ubezpieczenia ryzyk cybernetycznych jest zapewnienie przedsiębiorstwu kompleksowej ochrony w razie ataku hakerskiego oraz zagwarantowanie mu wsparcia w sytuacji naruszenia systemu bezpieczeństwa. Pieniądze wypłacone przez ubezpieczyciela pokryją nie tylko wydatki związane z poszukiwaniami źródła zagrożeń i usuwaniem złośliwego oprogramowania oraz spowodowanych przez niego zniszczeń, ale mogą sfinansować również działania służące zapobieganiu dalszemu rozprzestrzenianiu się zagrożenia. Istotnym elementem cyber polisy jest także możliwość pokrycia dodatkowych kosztów związanych z przezwyciężeniem kryzysu, w postaci np. akcji informacyjnej wśród klientów. Tego rodzaju działania jest zalecana zwłaszcza wówczas, gdy celem ataku nie jest wyłącznie firma, ale również dane i pieniądze jej klientów. Uruchomienie infolinii czy organizacja masowej wysyłki stosownych wiadomości do osób potencjalnie zagrożonych może znacząco wpłynąć na skalę ataku.

– W ramach działań informacyjnych można również przeprowadzić kampanię w mediach, które przekażą szerokiemu gronu odbiorców odpowiednie komunikaty. Niestety takie działanie, choć może wydatnie przyczynić się do ograniczenia szkód spowodowanych atakiem, może też negatywnie wpłynąć na reputację firmy. Jednak i taką ewentualność przewidzieli ubezpieczyciele. Rozszerzenie zakresu ochrony o koszty zarządzania kryzysowego może uwzględniać wynajęcie agencji public relations celem podjęcia działań służących odzyskaniu utraconego w wyniku ataku zaufania klientów. Dlatego przed zakupem ubezpieczenia warto zasięgnąć rady brokera ubezpieczeniowego, który podpowie, co powinna zawierać polisa – dodaje Łukasz Zoń.

Środki na ewentualne kary

Jak pokazuje przykład Tesco Bank, skutkiem naruszenia bezpieczeństwa cybernetycznego firmy może być także konieczność zapłacenia kary administracyjnej. W niektórych przypadkach, po przeprowadzeniu szczegółowej analizy ryzyka i stosowanych przez klienta zabezpieczeń i procedur, ubezpieczyciele mogą zgodzić się na rozszerzenie zakresu ubezpieczenia o kary i grzywny, które mogą zostać w przyszłości nałożone na przedsiębiorcę z tytułu cyberzagrożeń. Należy jednak pamiętać, że taka dodatkowa klauzula może być obwarowana restrykcyjnymi wyłączeniami odpowiedzialności zakładu ubezpieczeń oraz wiązać się z koniecznością ustalenia wysokiego poziomu udziału własnego ubezpieczonego. Niektórzy ubezpieczyciele zastrzegają sobie na przykład, że wypłata środków nastąpi jedynie w przypadku, kiedy takie postępowanie zostanie wszczęte wobec ubezpieczonego po raz pierwszy, tzn. nie zostały na niego nałożone wcześniej kary z podobnej przyczyny.

Niezależnie od tego, standardowe warunki ubezpieczenia zazwyczaj uwzględniają jednak koszty obrony i postępowań sądowych toczących się przeciw ubezpieczonemu w związku z atakiem hakerskim.

Komentarz eksperta

Bank prawdopodobnie uniknąłby kary i strat, gdyby miał wysokiej jakości zabezpieczenie działające prewencyjnie przeciw aktywności hakerów. Podobny atak hakerski może przytrafić się bankom czy firmom w Polsce. O ile instytucje finansowe zazwyczaj mają zaawansowane systemy cyberochrony i działy dedykowane zapewnieniu cyberbezpieczeństwa, o tyle mniejsze firmy takiego zabezpieczenia nie mają. Łatwo, więc wyobrazić sobie, że w podobnej sytuacji średniej wielkości firma w Polsce, nie tylko straci pieniądze - w bezpośredniej konsekwencji ataku, ale dodatkowo może też na nią zostać nałożona kara - np. w oparciu o przepisy RODO, jeśli wykradzione zostaną dane klientów. Co więcej, jeśli po ataku firma nie będzie w stanie przedstawić ubezpieczycielowi dowodów potwierdzających posiadanie cyberochrony przed atakiem, może to skutkować problemami z wypłatą odszkodowania. Cyberpolisa to wartościowe narzędzie ochrony, ale nie może występować bez zabezpieczenia technologicznego chroniącego komputery i telefony przedsiębiorstwa. Wg raportu KPMG w 2017 roku 82 proc. przedsiębiorstw w Polsce zanotowało przynajmniej jeden incydent związany z niechcianą ingerencją zewnętrzną on-line – mówi Wojciech Gołębiowski z Veronym, firmy zapewniającej kompleksowe cyberbezpieczeństwo dla małych i średnich podmiotów w modelu subskrypcji usługi.