Ubezpieczenie ryzyk cybernetycznych (cyber) pokrywa straty wynikające z uszkodzenia, straty czy wycieku danych na skutek ataków hakerskich, zainfekowania wirusem, błędów pracowników czy wadliwego oprogramowania.
Powszechny dostęp do Internetu, systemów i sieci komputerowych sprawia, że przedsiębiorstwa stają się coraz łatwiejszym celem cyberprzestępców. Liczba tego typu ataków rośnie w bardzo szybkim tempie, a wachlarz cyberzagrożeń ciągle się poszerza – hakerzy wymyślają nowe modele ataków, udoskonalają te już istniejące, ciągle też wykrywane są kolejne luki i podatności w systemach.
Dla kogo ubezpieczenie CYBER?
Nie ma sektora, który byłby bezpieczny, dlatego o ubezpieczeniu powinny pomyśleć wszystkie przedsiębiorstwa, które w swojej działalności używają komputerów i Internetu, m.in.:
- Sklepy internetowe
- Firmy produkcyjne i handlowe
- Pośrednictwa finansowe
- Usługi prawne
- Firmy transportowe
- Firmy z szeroko pojętego sektora usług, w tym branży IT
Przykładowe przyczyny szkód:
- Otrzymanie e-maila z linkiem do spreparowanej strony internetowej lub z zainfekowanym załącznikiem, np. fakturą z danymi znanego kontrahenta, lecz z podmienionym numerem konta;
- Niezabezpieczenie punktów styku sieci lokalnej z Internetem.
- Ransomware – zaszyfrowanie systemów i żądanie okupu.
- Podszywanie się pod znanego odbiorcę w celu wyłudzenia danych dostępowych.
- Wykradzenie przez nieuczciwego pracownika danych firmowych.
- Atak DDoS w celu zablokowania systemu komputerowego, strony internetowej.
- Zgubienie lub kradzież służbowego sprzętu, np. laptopa, tabletu, telefonu.
Ochrona w ramach ubezpieczenia CYBER:
- Wymuszenia komputerowe oraz koszty z nimi związane (ransomware);
- Utratę zysku z działalności w związku z zaistnieniem zdarzenia;
- Koszty odzyskania i przywracania danych;
- Koszty kryzysowego zarządzania incydentem przez profesjonalny podmiot IT, kancelarię prawną,agencję Public Relations;
- Kradzież środków pieniężnych;
- Naruszenie ochrony danych osobowych w formie papierowej lub elektronicznej;
- Kary i postępowania administracyjne na mocy RODO;
- Naruszenie bezpieczeństwa sieci – nieumyślne przesłanie wirusa lub złośliwego oprogramowania;
- Naruszenie praw własności intelektualnej, poprzez niedbalstwo w trakcie tworzenia bądź upowszechniania treści medialnych;
- Postępowania o zniesławienie lub naruszenie prywatności w działalności w sieci.
Korzyści z posiadania ubezpieczenia od ryzyk cybernetycznych:
- Ochrona majątku i finansowej przyszłości przedsiębiorstwa.
- Pokrycie kosztów długotrwałych procesów sądowych, kar administracyjnych,kosztów odzyskania danych i innych koniecznych wydatków.
- Zadbanie o ochronę reputacji spółki i członków władz.
- Wysoki standard ochrony wyróżniający Państwa na tle konkurencji.
Przykładowe szkody
Phishing (atak polegający na wyłudzeniu danych wrażliwych)
Przedsiębiorstwo X podjęło decyzję o cięciu kosztów związanych z bezpieczeństwem IT. Wiele systemów wewnętrznych nie było należycie serwisowanych i monitorowanych, a personel nie był szkolony z zakresu cyberbezpieczeństwa. W efekcie od jednego z pracowników zostały wyłudzone dane dostępowe w wyniku podszywania mailowego (phishing), a do systemów wpuszczono złośliwe oprogramowanie. W międzyczasie w mediach zaczęły pojawiać się informacje o wycieku danych klientów. Dane ok. 570.000 osób z kilkunastu ostatnich lat zostały opublikowane na licznych serwerach. Stało się jasne, że wymagana jest dodatkowo pomoc agencji PR oraz kancelarii prawnej, która miała prowadzić korespondencję z UODO oraz przygotować zawiadomienie dla osób poszkodowanych.
Straty – 5.165.000 PLN
Ransomware (atak oprogramowaniem szyfrującym)
Przedsiębiorstwo X zajmujące się produkcją i handlem w wyniku wprowadzenia stanu epidemii zdecydowało się oddelegować część pracowników biurowych do pracy zdalnej. Połączenia z wewnętrznymi systemami nie zostały należycie zabezpieczone, tłumacząc to „tymczasowym rozwiązaniem”. Z powodu luk w zabezpieczeniach, do systemów zostało wprowadzone złośliwe oprogramowanie szyfrujące. Po włączeniu komputerów, pojawił się komunikat o przejęciu dostępu do systemów firmy oraz o konieczności zapłaty okupu w wysokości 10 bitcoinów(ówczesny kurs po ok. 9.000 USD). Zarząd podjął decyzję o zapłacie okupu, jednak kontakt z przestępcami się urwał, a dane nie zostały odblokowane. Dopiero wtedy nastąpiła decyzja o wykupieniu usług zewnętrznych podmiotów zajmujących się informatyką śledczą, zapewnieniem ciągłości działania i zarządzaniem kryzysowym.
Straty – 1.334.900 PLN
DDoS (atak na systemy z wielu miejsc jednocześnie)
Przedsiębiorstwo X zadecydowało o rozbudowie sklepu internetowego. Z uwagi na cięcia kosztów, cześć rozwiązań teleinformatycznych zabezpieczono w prowizoryczny sposób. Krytyczne punkty zostały zlokalizowane przez cyberprzestępców, którzy uzyskali niezauważony dostęp do wewnętrznej struktury przedsiębiorstwa. Doszło do ataku DDOS na stronę internetową sklepu, połączonego z zablokowaniem dostępu pracowników do infrastruktury i żądaniem okupu 17 bitcoinów w terminie 24 godzin. W przypadku braku płatności, wszystkie dane ok. 450.000klientów miały zostać upublicznione, a pozostałe ważne bazy danych skasowane. Sztab kryzysowy zadecydował o odmowie zapłaty okupu i rozwiązania sytuacji własnymi siłami. Po 7 dniach pracownikom IT udało się odzyskać dostęp jedynie do części baz danych, sklep pozostawał natomiast wyłączony. W międzyczasie w mediach społecznościowych zaczęły pojawiać się informacje o wycieku danych
oraz skargi klientów.
Straty – 2.330.000 PLN
