ubezpieczyciel pyta o listę pytań dotyczących bezpieczeństwa do ubezpieczenia cyber, co powinienem zrobić

Ubezpieczyciele zadają te same dziesięć środków, ale chcą dowodów

Cyberubieszpieczyciel zadaje pytania, które w dużej mierze pokrywają się z artykułem 21 ust. 2 dyrektywy NIS2: reagowanie na incydenty, kopie zapasowe, MFA, polityka łatania, zarządzanie dostawcami. Różnica w stosunku do kwestionariusza NIS2 od klienta polega na tym, że ubezpieczyciel chce konkretnych dowodów, a nie deklaracji intencji. Tam gdzie partner łańcucha dostaw zadowoli się "tak, mamy procedurę", ubezpieczyciel często chce wiedzieć, czy istnieje procedura obsługi incydentów bezpieczeństwa łącznie z czasem przywrócenia, oraz czy uwierzytelnianie wieloskładnikowe obowiązkowe jest dla całego dostępu zewnętrznego czy tylko dla kont administratora. Ta różnica w szczegółowości to miejsce, gdzie powstaje większość wątpliwości: odpowiedź wystarczająca na jedno pytanie może być zbyt ogólna na inne.

Jeśli środek istnieje, ale nie jest konsekwentnie wdrażany — na przykład MFA w środowisku chmury, ale nie w sieci VPN — typowa odpowiedź to "częściowo" z krótkim wyjaśnieniem, a nie "tak", które może później podlegać dyskusji w kontekście zasięgu ubezpieczenia. W przypadku pytań dotyczących kopie zapasowe i zasilanie awaryjne oraz wymagania dotyczące bezpieczeństwa własnych dostawców obowiązuje to samo: ubezpieczyciel często przeprowadza ocenę retrospektywnie, w przypadku roszczenia, czy odpowiedź była prawidłowa. Certyfikat ISO 27001 znacznie przyspiesza ten proces, ponieważ certifikat Controls z Aneksu A już podlegają niezależnej ocenie — bez certyfikatu musisz samodzielnie dostarczyć dowody dla każdego pytania.

Dlaczego ubezpieczyciele zadają pytania nieznacznie wykraczające poza dziesięć środków NIS2

Dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2 stanowią jądro praktycznie każdego kwestionariusza bezpieczeństwa, także dla cyberubieszpieczycieli, ale ubezpieczyciele często uzupełniają to pytaniami specyficznymi dla oceny ryzyka w przypadku roszczenia — takimi jak zakres MFA lub czas przywrócenia po incydencie. Norma ISO/IEC 27001 Annex A określa dla każdego środka matryce kontroli, za pomocą których można uzasadnić odpowiedź, co jest szczególnie istotne, ponieważ ubezpieczyciele częściej proszą o dowody niż inni odbiorcy.