Cosa devo inserire sulla protezione da effrazione per l'assicurazione aziendale

La sicurezza fisica e la sicurezza delle informazioni sono due questioni separate

La lista di controllo dell'assicuratore chiede generalmente due cose diverse che spesso vengono confuse: la sicurezza fisica della struttura (serrature, allarmi, telecamere, recinzioni) e l'organizzazione dell'accesso (chi ha le chiavi, come viene segnalata un'effrazione). Per la struttura stessa, l'assicuratore vuole caratteristiche concrete: la serratura (le classi SKG ricorrono spesso), se è presente un sistema di allarme collegato e a quale centrale di ricezione, se c'è videosorveglianza e per quanto tempo vengono conservate le immagini, e se c'è illuminazione esterna o recinzione. Si tratta di domande fattuale su impianti, non valutazioni — indichi quello che c'è e funziona, non quello che vorrebbe che ci fosse.

Se non hai la certificazione ISO 27001, questo di per sé non è un problema per questa lista di controllo: Allegato A riguarda la sicurezza delle informazioni (accesso ai sistemi, politica delle password, registrazione) e non la sicurezza fisica della struttura da intrusioni. Gli assicuratori a volte la chiedono comunque, soprattutto se la struttura contiene anche sale server o archivi di dati sensibili. Se la risposta nel fascicolo della catena manca, il sistema non propone automaticamente un sì — ricevi allora un campo vuoto con la domanda, e completi tu stesso o lasci aperto per una richiesta di chiarimenti al responsabile dei servizi generali. I documenti che gli assicuratori spesso vogliono vedere sono il certificato d'installazione della ditta di allarme e una prova di manutenzione della serratura; questi li carica separatamente, al di fuori delle risposte testuali.

Perché questo è separato dagli standard di cybersecurity

La sicurezza fisica della struttura da intrusioni non rientra in nessuno dei vasti quadri di rendicontazione che si trovano nel fascicolo della catena — né nel modulo base VSME dell'EFRAG né nelle dieci misure dell'articolo 21, paragrafo 2, della NIS2, che riguardano la sicurezza della rete e delle informazioni. Sono domande tecniche assicurative che variano in base alle condizioni della polizza, quindi il sistema le riconosce a livello di domanda da liste precedenti, non da una fonte normativa. I dati che sono già definiti, come l'indirizzo della sede a cosa riguarda la sicurezza, vengono inclusi automaticamente in modo da non doverli digitare separatamente.