W piątek po południu pracownicy niewielkiej firmy handlowej stracili dostęp do systemu zamówień. Na ekranach pojawił się komunikat z żądaniem zapłaty, kopia zapasowa nie chciała się uruchomić, a klienci zaczęli pytać, co dzieje się z ich danymi.
Właściciel był przekonany, że ma cyberubezpieczenie. Miał - ale dopiero podczas zgłoszenia szkody odkrył, że polisa zawiera niski podlimit na odtworzenie danych, a utracony zysk jest objęty ochroną dopiero po długim okresie oczekiwania.
Sama obecność słowa „cyber” na polisie nie rozwiązuje problemu. Dobra umowa powinna odpowiadać na sposób, w jaki firma pracuje, przechowuje dane i zarabia. Zanim porównasz wyłącznie składkę, zadaj siedem konkretnych pytań.
1. Jakie zdarzenia uruchamiają ochronę?
Cyberatak nie zawsze wygląda jak filmowy haker w kapturze. Źródłem szkody może być między innymi:
- ransomware blokujący serwer lub komputery,
- phishing i przejęcie konta pracownika,
- złośliwe oprogramowanie,
- omyłkowe wysłanie danych do niewłaściwej osoby,
- zgubiony laptop lub telefon,
- nieuprawniony dostęp dostawcy IT,
- błąd konfiguracji chmury,
- atak DDoS wyłączający sklep internetowy.
Poproś o wskazanie w warunkach ubezpieczenia, które z tych scenariuszy są objęte ochroną. Sprawdź też, czy polisa obejmuje zarówno celowy atak osoby z zewnątrz, jak i błąd pracownika. W wielu małych firmach to właśnie człowiek, a nie zaawansowana technologia, otwiera przestępcom drogę do systemu.
Ważna jest także definicja „systemu komputerowego”. Jeżeli korzystasz z oprogramowania w chmurze, zewnętrznego hostingu, platformy sprzedażowej albo systemu dostawcy, upewnij się, że awaria lub naruszenie u takiego partnera nie znajduje się poza zakresem.
2. Kto organizuje pomoc w pierwszych godzinach?
Po incydencie czas działa na niekorzyść firmy. Trzeba zatrzymać atak, zabezpieczyć ślady, ocenić skalę wycieku i zdecydować, czy konieczne jest zawiadomienie klientów lub organu nadzorczego.
Dlatego warto zapytać, czy polisa zapewnia całodobowy numer alarmowy i dostęp do zespołu reagowania. W praktyce potrzebni mogą być:
- specjaliści informatyki śledczej,
- eksperci od odtwarzania systemów i danych,
- prawnicy zajmujący się ochroną danych,
- specjaliści komunikacji kryzysowej,
- negocjatorzy w przypadku wymuszenia,
- centrum monitorowania danych osób poszkodowanych.
Sprawdź, czy ubezpieczyciel sam organizuje tych ekspertów, czy najpierw musisz znaleźć ich i opłacić. Zapytaj również, czy możesz skorzystać ze swojego dostawcy IT. Zlecenie pracy bez wymaganej zgody ubezpieczyciela może później utrudnić zwrot kosztów.
3. Czy polisa pokryje przestój i utracony zysk?
Dla wielu firm najdroższy nie jest sam serwer, lecz czas, w którym nie można wystawiać faktur, obsługiwać zamówień ani produkować.
Wyobraź sobie sklep internetowy osiągający średnio 40 000 zł obrotu dziennie. Trzy dni przestoju nie oznaczają automatycznie szkody równej 120 000 zł, bo trzeba uwzględnić koszty zmienne i sprzedaż, którą można odzyskać. Nadal może to jednak być poważny cios w płynność.
Przy ochronie od przerwy w działalności sprawdź:
- jak liczona jest utrata zysku,
- czy pokrywane są dodatkowe koszty utrzymania działalności,
- jaki jest okres oczekiwania, na przykład 8, 12 lub 24 godziny,
- jak długo może być wypłacane świadczenie,
- czy ochronę uruchamia awaria systemu zewnętrznego dostawcy,
- jakie dokumenty finansowe będą potrzebne do wyliczenia szkody.
Jeżeli firma działa prawie wyłącznie online, ten element może być ważniejszy niż wysoka suma na sprzęt komputerowy.
4. Jak polisa traktuje ransomware i okup?
Wymuszenie cybernetyczne jest jednym z najbardziej stresujących scenariuszy. Przestępcy mogą nie tylko zaszyfrować dane, lecz także zagrozić ich publikacją.
Nie zakładaj, że ubezpieczenie po prostu zapłaci okup. Zakres może obejmować negocjacje, analizę prawną, informatykę śledczą i koszty odtworzenia danych, ale sama płatność podlega ograniczeniom prawa, sankcjom międzynarodowym oraz warunkom konkretnej umowy. Nigdy nie należy płacić samodzielnie bez kontaktu z odpowiednimi ekspertami i ubezpieczycielem.
Zapytaj o:
- podlimit dla wymuszenia cybernetycznego,
- wymaganą ścieżkę akceptacji decyzji,
- pokrycie kosztów negocjatora,
- koszty ustalenia, czy płatność jest prawnie dopuszczalna,
- odtworzenie danych, gdy zapłata nie nastąpi albo nie przyniesie rezultatu.
Najważniejsze: zapłata nie gwarantuje odzyskania danych. Dlatego polisa powinna współgrać z działającymi kopiami zapasowymi, a nie je zastępować.
5. Czy ochrona obejmuje roszczenia klientów i koszty związane z RODO?
Incydent może dotyczyć nie tylko Twoich kosztów. Klient, kontrahent albo pracownik może twierdzić, że przez wyciek poniósł szkodę. Firma może też potrzebować analizy obowiązków wynikających z RODO, zawiadomień do osób, których dane dotyczą, i obsługi postępowania prowadzonego przez urząd.
Sprawdź, czy umowa obejmuje:
- obronę prawną i roszczenia osób trzecich,
- koszty oceny naruszenia ochrony danych,
- przygotowanie i wysyłkę wymaganych zawiadomień,
- wsparcie w postępowaniu administracyjnym,
- koszty komunikacji kryzysowej.
Kary administracyjne wymagają szczególnej uwagi. Możliwość ich ubezpieczenia zależy od przepisów, charakteru naruszenia i warunków umowy. Hasło „pokrywamy kary” w materiałach sprzedażowych nie wystarczy. Poproś o dokładne wyjaśnienie, co może zostać wypłacone zgodnie z prawem, a co pozostaje po stronie firmy.
6. Jakie są limity, udziały własne i najważniejsze wyłączenia?
Suma ubezpieczenia to tylko liczba na pierwszej stronie. W środku mogą znajdować się niższe podlimity dla odtworzenia danych, oszustwa komputerowego, usług ekspertów, przerwy w działalności czy wymuszenia.
Przykład: polisa ma sumę 1 mln zł, ale na odtworzenie danych przewiduje najwyżej 100 000 zł. Jeśli właśnie ten koszt jest dla firmy najbardziej realny, główna suma daje mylące poczucie bezpieczeństwa.
Przed zakupem wypisz w jednej tabeli:
| Element | Co sprawdzić? |
|---|---|
| Suma ubezpieczenia | Łączny maksymalny limit odpowiedzialności |
| Podlimity | Osobne limity dla najważniejszych rodzajów kosztów |
| Udział własny | Kwota lub procent pozostający po stronie firmy |
| Okres oczekiwania | Po jakim czasie działa ochrona od przestoju |
| Wyłączenia | Zdarzenia, za które ubezpieczyciel nie odpowiada |
| Zakres terytorialny | W jakich krajach zdarzenie i roszczenie są objęte ochroną |
Zwróć uwagę na wyłączenia dotyczące znanych, lecz nieusuniętych luk, braku wymaganych zabezpieczeń, infrastruktury poza wsparciem producenta, działań wojennych, awarii infrastruktury publicznej oraz oszustw polegających na dobrowolnym przelewie pieniędzy. Ten ostatni scenariusz może wymagać osobnej klauzuli albo innego ubezpieczenia.
7. Jakie zabezpieczenia firma zadeklarowała we wniosku?
Wniosek ubezpieczeniowy nie jest formalnością. Odpowiedzi o uwierzytelnianiu wieloskładnikowym, kopiach zapasowych, aktualizacjach, szkoleniach czy ochronie poczty mogą mieć wpływ na ocenę ryzyka i późniejszą likwidację szkody.
Nie wpisuj „tak”, jeśli zabezpieczenie działa tylko częściowo. Ustal stan faktyczny z osobą odpowiedzialną za IT. Szczególnie sprawdź:
- czy MFA obejmuje pocztę, dostęp zdalny i konta administratorów,
- jak często wykonywane są kopie zapasowe,
- czy jedna kopia jest odseparowana od głównej sieci,
- czy firma testuje odtwarzanie danych,
- kto i jak szybko instaluje krytyczne aktualizacje,
- czy pracownicy przechodzą szkolenia z phishingu,
- czy dostępy byłych pracowników są od razu wyłączane.
Zachowaj kopię wniosku i uzgodnionych wyjaśnień. Jeśli warunki w firmie się zmienią - na przykład pojawi się nowy system, przejęcie innej spółki albo znacznie większa liczba rekordów danych - sprawdź, czy trzeba poinformować ubezpieczyciela.
Jak dobrać sumę cyberubezpieczenia?
Nie ma jednej dobrej kwoty dla wszystkich. Zacznij od prostego scenariusza szkody i oszacuj:
- koszt awaryjnej pracy ekspertów przez kilka dni,
- koszt odtworzenia systemów i danych,
- utracony zysk oraz dodatkowe koszty podczas przestoju,
- koszt zawiadomienia klientów i obsługi prawnej,
- możliwe roszczenia kontrahentów,
- koszt komunikacji i odbudowy reputacji.
Porównaj wynik nie tylko z sumą główną, lecz także z każdym podlimitem. W firmie produkcyjnej kluczowy może być przestój. W biurze rachunkowym - poufność danych i odpowiedzialność wobec klientów. W e-commerce - dostępność platformy i zależność od dostawców chmurowych.
Polisa jest częścią planu, nie zamiennikiem bezpieczeństwa
Cyberubezpieczenie przenosi część skutków finansowych i daje dostęp do specjalistów. Nie naprawi jednak zaniedbań przed atakiem. Najlepszy efekt daje połączenie trzech elementów:
- podstawowych zabezpieczeń technicznych,
- przećwiczonego planu reagowania,
- polisy dopasowanej do możliwych kosztów.
Jeśli dopiero oceniasz, czy ten rodzaj ochrony ma sens, przeczytaj także dlaczego Twoja firma jest zagrożona cyberatakiem. A przed podpisaniem umowy poproś o ofertę wraz z pełnymi warunkami i porównaj odpowiedzi na wszystkie siedem pytań.
Najtańsza polisa nie pomoże, jeśli zabraknie w niej zdarzenia, które zatrzyma Twój biznes. Dobra polisa zaczyna się nie od składki, lecz od uczciwego scenariusza: co się stanie z firmą, gdy system nie zadziała przez trzy dni?