Materiał wydrukowany z portalu www.wnp.pl. © Polskie Towarzystwo Wspierania Przedsiębiorczości 1997-2021

Cyberatak. Realne zagrożenie, przed którym firmy mogą się ubezpieczyć

Autor: Tomasz Wolf
Dodano: 07-07-2021 12:22

Od półtora roku dochodzi do coraz większej liczby cyberataków. W trakcie pandemii wielu przedsiębiorców przeszło na pracę zdalną, a to wiąże się ze znacznie częstszym wykorzystywaniem komputerów służbowych w domu – często za pośrednictwem niezabezpieczonych połączeń. Około 90 proc. ataków na infrastrukturę IT zaczyna się od zwykłego maila. Najprostszą i najskuteczniejszą metodą omijania zabezpieczeń jest wykorzystanie ludzkiej nieuwagi. 24 proc. administratorów IT odnotowało w swojej firmie wyciek danych, z czego 2/3 przypadków było spowodowanych z winy użytkownika.

Na liście zagrożeń, których najbardziej obawiają się menedżerowie i osoby odpowiedzialne za zarządzanie ryzykiem, pierwsze miejsce zajmuje ryzyko Cyber.

- Transformacja cyfrowa zostanie w wielu biznesach już na dłużej, a to oznacza, że ich właściciele muszą nauczyć się funkcjonowania w nowej przestrzeni, tak by minimalizować nowe zagrożenia – mówi w rozmowie z WNP.pl Tomasz Dolata, główny specjalista ds. ubezpieczeń w Biurze Ubezpieczeń Korporacyjnych Działu Ubezpieczeń Majątkowych, Technicznych i Cybernetycznych STU ERGO Hestia. - Nowe technologie to dziś nasza codzienność. Mimo to, świadomość zagrożeń związanych z tym trendem wciąż jest jeszcze zbyt niska. Ponadto, gdy przedsiębiorca już te zagrożenia zna, nie zawsze przekłada się to na praktykę. Właściciele firm bardzo często wychodzą z założenia, że skoro dawali sobie radę bez cyberubezpieczeń przez wiele lat, to dadzą sobie radę i przez kolejne, zapominając o tym, że teraz funkcjonują w innej rzeczywistości – komentuje Tomasz Dolata.

Zwraca uwagę, że brak zrozumienia dla wagi cyberbezpieczeństwa przekłada się również na niedofinansowanie działów bezpieczeństwa w niektórych firmach. Zdarza się, że przedsiębiorcy nakłady finansowe na ten obszar traktują jako zło konieczne. Przyczyna jest prosta - bezpieczeństwo na siebie nie zarabia.

Popyt na cyberpolisy

Na zainteresowanie cyberpolisami wpływają też jakość i dostosowanie oferty do potrzeb i oczekiwań grup docelowych. Innych produktów potrzebują duże przedsiębiorstwa, a innych małe czy nawet średnie firmy.

- W ERGO Hestii uwzględniliśmy te kryteria, przygotowując konkretne rozwiązania. Zaczęliśmy od produktów z bardzo szeroką oceną ryzyka, mając świadomość, jak duże straty może czynić cyberatak w większych firmach. W przypadku szkody dbamy o szybką i sprawną jej likwidację niezależnie od lokalizacji przedsiębiorstwa. Odrębne rozwiązania oferujemy małym i średnim przedsiębiorstwom, których dotyczą innego rodzaju obawy i ryzyka w porównaniu z dużymi przedsiębiorstwami. Są one dostępne w postaci ubezpieczenia cyber M, którego zakres jest mniejszy, ale w dalszym ciągu obejmuje wszystkie istotne elementy dla ryzyk cybernetycznych, takie jak: atak komputerowy, szkody związane z wyciekiem danych czy szkody związane z tym, że dane zostaną naruszone lub usunięte – wyjaśnia Maciej Kleina, specjalista ds. ubezpieczeń w Biurze Ubezpieczeń Korporacyjnych Działu Ubezpieczeń Odpowiedzialności Cywilnej STU ERGO Hestia.

Jak istotne jest dziś posiadanie cyberubezpieczenia? 

- Jakiś czas temu zwrócił się do nas hotel z chęcią ubezpieczenia ryzyk cybernetycznych. Jak to często bywa, zapytanie nastąpiło już po ataku komputerowym. Klasyczny atak typu ransomware: pracownik hotelu otworzył maila z załącznikiem pdf, który miał zaszyte złośliwe oprogramowanie szyfrujące. Hotel utracił wszystkie dane elektroniczne, w tym dane osobowe gości hotelowych z jednoczesną blokadą systemu rezerwacyjnego – relacjonuje Maciej Kleina. - Wcześniej wykupione ubezpieczenie cyber pozwoliłoby zminimalizować skutki finansowe ataku: informatycy śledczy wsparliby klienta w dalszym postępowaniu i zabezpieczyliby niezbędne dane. Zapłacilibyśmy za koszty notyfikacji osób dotkniętych wyciekiem danych osobowych oraz ewentualnych kar związanych z RODO. Pokrylibyśmy koszty okupu lub specjalistów z zakresu przywrócenia utraconych danych elektronicznych. Nie mniej ważnym aspektem w tym wypadku byłaby utrata zysku w wyniku przestoju działalności hotelu, za którą klient również otrzymałby odszkodowanie - dodaje.

To tylko przykładowe koszty, z których zapłatą będzie musiał zmierzyć się klient samodzielnie, jeśli zawczasu nie zainteresuje się ubezpieczeniem cybernetycznym. Koszt polisy ubezpieczeniowej jest niewspółmiernie niższy od ewentualnych skutków ataków komputerowych, które obecnie są coraz częstsze, bardziej wyrafinowane i trudne do zapobieżenia bez kosztownych inwestycji w bezpieczeństwo IT – zaznacza Tomasz Dolata.

Ubezpieczenie Cyber risks

Jak podkreśla Łukasz Górny, dyrektor Departamentu Rozwoju EIB, nie istnieją rozwiązania techniczne dające 100-proc. bezpieczeństwo.

- Dlatego właśnie należy przygotować organizację na paraliż spowodowany np. atakiem hackerskim lub konsekwencje wycieku i zniszczenia danych. Ubezpieczenie Cyber, obok procedur oraz zabezpieczeń IT, jest podstawowym filarem bezpieczeństwa. Stanowi ich uzupełnienie i wchodzi do gry, gdy konieczna jest błyskawiczna reakcja na utratę danych i przerwanie działalności spowodowane działaniem szkodliwego oprogramowania – wypowiada się w rozmowie z WNP.PL  Łukasz Górny. - Polisa chroni cyfrowy obszar działalności i zapewnia wsparcie specjalistów IT, PR oraz prawników. Dodatkowo pokrywa koszty przywrócenia i naprawy systemów informatycznych, straty wynikające z przestoju, a także odszkodowania i kary za m.in. wyciek danych osobowych - wymienia.

Jak zaznacza, dzięki pomocy assistance ubezpieczony otrzymuje niezwłoczną pomoc, a ubezpieczyciel koordynuje i opłaca koszty działań ekspertów z zakresu informatyki śledczej, obrony prawnej oraz public relations. Zakres ubezpieczenia to:

Kara za naruszenie przepisów RODO może wynieść nawet 20 mln euro lub 4 proc. globalnego przychodu firmy. Ubezpieczenie Cyber Risks uwzględnia różne rodzaje ryzyka cybernetycznego:

Wyciek danych

W trakcie migracji danych do nowego systemu pozostawiono kopię bezpieczeństwa na niezabezpieczonym serwerze www. Na skutek powyższego błędu udostępniono dane kilkudziesięciu tysięcy klientów, zawierające takie pola jak imię, nazwisko, adres, numer telefonu, numer PESEL, adres e-mail, hasz hasła.

Ubezpieczenie cyber pokrywa: koszty reakcji, koszty obrony w postępowaniu urzędowym, karę administracyjną, koszty naprawy wizerunku.

Ransomware

Pracownik firmy produkcyjnej otworzył fakturę załączoną do e-maila, ściągając tym samym złośliwe oprogramowanie szyfrujące dane i wymuszające okup za ich przywrócenie. Ransomware uniemożliwił dostęp do danych na serwerach w całej firmie, ograniczając przez to produkcję i realizację zamówień.

Ubezpieczenie cyber pokrywa: koszty informatyki śledczej i odtworzenia danych, straty finansowe wynikające z ograniczenia sprzedaży, koszty okupu.

Podmieniona faktura

Po uzyskaniu dostępu do skrzynki pocztowej pracownika haker uzyskał m.in. podgląd otrzymywanych przez firmę faktur. Następnie poczekał na dogodny moment i podmienił fakturę na zapłatę kolejnej raty, doprowadzając do wyłudzenia wartości faktury.

Ubezpieczenie cyber pokrywa: wypłaconą omyłkowo kwotę oraz koszty informatyki śledczej.

Kradzież laptopa

Na skutek kradzieży laptopa jednego z pracowników wyciekły dane osobowe, zawierające m.in. numery PESEL, serie i numery dowodów osobistych, adresy czy numery telefonów. Wśród podjętych środków zaradczych organizacja zarekomendowała założenie kont w systemach informacji kredytowej i monitorowanie aktywności kredytowej.

Ubezpieczenie cyber pokrywa: koszty reakcji, wypłaconego poszkodowanym odszkodowania, w tym poniesione przez nich koszty monitorowania aktywności kredytowej, a także koszty obrony w sprawach cywilnych i w postępowaniu urzędowym oraz kary administracyjne.

Cyfrowe przyspieszenie

- Pandemia spowodowała, że większość firm przechodzi na pracę zdalną. Działalność zaczyna przenosić się do świata cyfrowego. Dlatego już w zeszłym roku, niezwłocznie w odpowiedzi na lockdown, rozpoczęliśmy działania, które miały na celu szybkie i proste zabezpieczenie ryzyka ataków hakerskich czy wycieków danych. Umożliwiamy małym i średnim przedsiębiorstwom, mniejszym samorządom terytorialnym, firmom przetwarzającym określoną ilość danych, mieszczącą się w parametrach do przyjęcia przez ubezpieczyciela w ramach akceptacji ryzyka, uzyskać ofertę Cyber i po prostu szybko się ubezpieczyć w trudnym dla nich okresie, kiedy przechodzą na pracę zdalną, w związku z czym potencjalne ryzyka cybernetyczne są dla nich coraz większe – mówi Łukasz Górny, dyrektor Departamentu Rozwoju EIB. - Co ważne, takie ubezpieczenie Cyber zapewnia całodobową likwidację szkód 7 dni w tygodniu – dodaje.

- Cyfrowe przyspieszenie spowodowane pandemią COVID-19 sprawiło, że wypracowaliśmy dla nich szybką ścieżkę zakupu takiej polisy. Zapewnia ona sprawny i szybki proces przedstawienia oferty i zawarcia umowy. Eksperci EIB przedstawiają propozycję w ciągu dwóch dni - z minimalną liczbą danych potrzebnych do analizy ryzyka, jednostronicową ankietą z kilkoma prostymi pytaniami, szerokim zakresem ochrony do 2 mln zł, niskimi udziałami własnymi i atrakcyjnymi składkami dzięki modelowi współpracy z EIB i wielkości naszej grupy. W razie potrzeby skorzystania z wyższych sum gwarancyjnych, równie szybko wypracujemy indywidualne rozwiązanie – informuje Łukasz Górny.

Według badań rynkowych EIB, zainteresowanie cyberubezpieczeniami rosło dynamicznie już przed pandemią. W 2020 roku ryzyko cybernetyczne znajdowało się na pierwszym miejscu wśród zagrożeń, których najbardziej obawiali się menedżerowie zajmujący się ryzykiem. Ostatnie dane ubezpieczycieli pokazują, że z powodu masowej pracy zdalnej hakerzy stają się jeszcze bardziej aktywni, a 80 proc. ataków ransomware dotyczy właśnie osób pracujących w trybie home office.

Materiał wydrukowany z portalu www.wnp.pl. © Polskie Towarzystwo Wspierania Przedsiębiorczości 1997-2021