Gotowość na ubezpieczenie cybernetyczne: czego dziś wymagają underwriterzy

dlaczego trudniej dziś zdobyć i odnowić ubezpieczenie cybernetyczne

Tę zmianę napędziły trzy zjawiska, i mają one charakter strukturalny, nie tymczasowy. Po pierwsze, wzrosły koszty roszczeń. Ransomware stał się dominującą przyczyną roszczeń z ubezpieczeń cybernetycznych, a koszty incydentów rosły gwałtownie, bo atakujący coraz sprawniej dobierali kwoty okupu proporcjonalnie do sumy ubezpieczenia. Ubezpieczyciele wchłonęli znaczące straty i w odpowiedzi zaostrzyli underwriting.

Po drugie, underwriterzy zorientowali się, że wystawiali polisy bez rzetelnego rozeznania, jakie kontrole faktycznie działają u klienta. Wnioski zadawały ogólne pytania i przyjmowały deklaracje bez weryfikacji. Gdy napływały roszczenia, ubezpieczyciele odkrywali, że zadeklarowane kontrole nie istniały, były wdrożone częściowo albo nigdy nie zostały przetestowane.

Po trzecie, rynek ubezpieczeń się sprofesjonalizował. Ubezpieczyciele zatrudnili ekspertów od bezpieczeństwa. Pytania stały się bardziej szczegółowe. Część ubezpieczycieli korzysta dziś z zewnętrznych ratingów bezpieczeństwa albo ocen technicznych jako elementu underwritingu, nie tylko z odpowiedzi w kwestionariuszu. Efekt jest taki, że proces wnioskowania wygląda dziś zasadniczo inaczej niż pięć lat temu. Organizacje, które radzą sobie z tym dobrze, traktują wniosek jak ocenę, nie formularz do wypełnienia.

jak dziś działa underwriting

Podstawowym mechanizmem jest kwestionariusz kontroli bezpieczeństwa. Ubezpieczyciele używają różnych kwestionariuszy, ale ich treść w dużej mierze się pokrywa, a kierunek zmian jest jeden: więcej szczegółów. Kwestionariusz pyta, czy dana kontrola istnieje, a przy tych najważniejszych dopytuje o zakres (czy MFA obejmuje wszystkie konta administracyjne, czy tylko część?), wyjątki (czy są konta bez wymuszonego MFA i dlaczego?) oraz testowanie (kiedy ostatnio przetestowano kopię zapasową przez faktyczne odtworzenie?).

Kontrole w pełni wdrożone, dobrze udokumentowane i przetestowane to pozytywny sygnał. Kontrole wdrożone częściowo wywołują pytania dodatkowe. Brak kontroli to albo sygnał ostrzegawczy, który wpływa na warunki polisy, albo warunek, który ubezpieczyciel każe spełnić przed zawarciem umowy albo krótko po niej. Część ubezpieczycieli korzysta z zewnętrznych usług ratingowych, które oceniają twoją zewnętrzną powierzchnię ataku. Jeśli ta ocena rozjeżdża się z odpowiedziami w kwestionariuszu, underwriterzy zaczynają zadawać pytania.

Wymóg prawdziwości odpowiedzi jest bezwzględny. Zadeklarowanie kontroli, której nie ma, to podstawa do odmowy wypłaty. Incydent, który ujawni istotne wprowadzenie w błąd we wniosku, naraża organizację na unieważnienie polisy. Najbardziej użyteczne podejście to traktowanie kwestionariusza jako analizy luk: pytania, na które nie potrafisz odpowiedzieć z pewnością, wskazują obszary bez kontroli albo bez dokumentacji, a domknięcie tych luk przed złożeniem wniosku wzmacnia go.

kontrole, których wymagają underwriterzy

Uwierzytelnianie wieloskładnikowe (MFA). MFA to pojedyncza kontrola o najwyższej wadze w większości kwestionariuszy, obejmująca pocztę, VPN i dostęp zdalny, konta administracyjne oraz infrastrukturę chmurową. Częściowe pokrycie MFA to dziś częsta przyczyna gorszych warunków polisy. Konta administracyjne bez MFA to luka najwyższego ryzyka. MFA blokuje ponad 99,2% ataków polegających na przejęciu konta (Microsoft). Pytania obejmują, czy MFA jest wymagane przy każdym dostępie zdalnym, czy na kontach administracyjnych jest wymuszone bez wyjątków, i czy aplikacje starszego typu, omijające SSO, są zabezpieczone.

Endpoint detection and response (EDR). Underwriterzy pytają, czy EDR jest wdrożony na wszystkich punktach końcowych i aktywnie monitorowany, w tym o procent pokrycia i o to, czy alerty przegląda wykwalifikowana osoba lub zespół. Część ubezpieczycieli odróżnia podstawowy antywirus od behawioralnego EDR i ocenia je inaczej.

Testowane kopie zapasowe i zdolność odtworzenia. Szczegół, który się tu dokłada, to testowanie. Underwriterzy pytają, kiedy ostatnio przetestowano odtworzenie kopii zapasowej, czy kopie są przechowywane offline albo oddzielone od środowiska produkcyjnego, i jaki jest docelowy czas odtworzenia (RTO) dla systemów krytycznych. Kopie, które istnieją, ale nigdy nie były testowane, to słabsza odpowiedź. Kopie połączone z produkcją mogą zostać zaszyfrowane razem z danymi podstawowymi podczas ataku ransomware.

Kontrola dostępu i least privilege. To pytania o to, jak zarządzany jest dostęp, czy jest przydzielany na podstawie roli, i ile czasu zajmuje jego odebranie. Underwriterzy pytają, czy istnieje formalny proces przeglądu dostępów, jak często się go przeprowadza, i czy dostęp uprzywilejowany jest oddzielony od standardowego dostępu użytkownika. Skradzione dane uwierzytelniające były elementem 36% naruszeń (Verizon DBIR), więc te pytania wprost odpowiadają scenariuszowi naruszenia opartego na danych uwierzytelniających, który stoi za większością roszczeń.

Offboarding i proces joiner-mover-leaver (JML). Underwriterzy pytają, jak szybko odbierany jest dostęp po odejściu pracownika i czy proces obejmuje wszystkie aplikacje, czy tylko główny katalog. 83% pracowników przyznaje, że wciąż ma dostęp do co najmniej jednego konta u poprzedniego pracodawcy (Beyond Identity, 2022, dane self-reported). Pytania dotyczą tego, czy offboarding jest zautomatyzowany czy ręczny, jaki jest docelowy czas realizacji, i czy obejmuje aplikacje SaaS spoza głównego katalogu.

Bezpieczeństwo poczty. Poczta to główny wektor phishingu, najczęstszej metody uzyskania pierwszego dostępu w roszczeniach po naruszeniach. Underwriterzy pytają o filtrowanie poczty, czy skonfigurowano rekordy DMARC/DKIM/SPF, i czy użytkownicy przechodzą szkolenia z symulacją phishingu. Polityka DMARC ustawiona na p=none to słabsza odpowiedź niż p=quarantine albo p=reject.

Zarządzanie podatnościami i patchami. Pytania dotyczą częstotliwości skanowania, tempa wdrażania krytycznych poprawek, i czy priorytetem są systemy widoczne z internetu. Underwriterzy skupiają się na tym, czy znane, aktywnie wykorzystywane podatności są usuwane szybko, a część pyta też o oprogramowanie, które osiągnęło koniec wsparcia (end-of-life).

Plan reagowania na incydenty. Underwriterzy pytają, czy istnieje udokumentowany plan, kiedy był ostatnio aktualizowany, i czy był testowany w formie ćwiczenia tabletop. Plan, który istnieje wyłącznie jako dokument i nigdy nie był ćwiczony, jest oceniany inaczej. Powinien obejmować obowiązki notyfikacyjne wynikające z RODO i NIS2.

Szkolenia ze świadomości bezpieczeństwa. Pytania dotyczą tego, czy szkolenia są prowadzone, jak często, i czy obejmują symulację phishingu. Kwestia dowodowa to, czy ukończenie szkolenia jest rejestrowane.

Segmentacja sieci. Underwriterzy pytają, czy systemy produkcyjne, infrastruktura krytyczna i wrażliwe dane są odseparowane od sieci ogólnej. Scenariusz oceny to ruch boczny (lateral movement) ransomware. Pytania dotyczą tego, czy kopie zapasowe są w osobnym segmencie i czy stosowana jest jakakolwiek forma air-gappingu.

co kosztuje cię słaba odpowiedź

Słaba odpowiedź nie oznacza automatycznie odmowy ochrony. Underwriterzy mają do dyspozycji kilka dźwigni.

Wyższa składka. Zależność między jakością kontroli a wysokością składki jest bezpośrednia. Organizacje z mocnymi kontrolami we wszystkich obszarach płacą mniej niż te z lukami.

Sublimity. Sublimit ogranicza ochronę dla konkretnego typu straty poniżej ogólnej sumy ubezpieczenia. Organizacja z lukami w kontrolach istotnych dla ransomware może dostać polisę z sublimitem na ransomware znacznie niższym od kwoty głównej. W roszczeniu związanym z ransomware zastosowanie ma właśnie sublimit.

Wyłączenia. Underwriterzy mogą całkowicie wyłączyć konkretne kategorie ryzyka z ochrony. Organizacja bez testowanych kopii zapasowych może dostać polisę, która wyłącza przerwę w działalności spowodowaną ransomware, co odkrywa dopiero w momencie zgłaszania roszczenia.

Warunki objęcia ochroną. Ubezpieczyciele mogą zawrzeć polisę pod warunkiem, że określone kontrole zostaną poprawione w wyznaczonym terminie, zwykle od trzech do sześciu miesięcy. Niedotrzymanie terminu to podstawa do korekty warunków polisy.

Odmowa wniosku. Przy najpoważniejszych lukach, braku MFA na kontach administracyjnych, braku kopii zapasowych, braku planu reagowania na incydenty, część ubezpieczycieli odmawia wystawienia polisy, częściej w branżach wyższego ryzyka albo po wcześniejszym roszczeniu.

Odmowa wypłaty po incydencie. To najgorszy scenariusz. Dochodzenie ustala, że zadeklarowana kontrola faktycznie nie działała, a ubezpieczyciel może odmówić wypłaty w części albo w całości. Odpowiedź w kwestionariuszu powinna odzwierciedlać stan faktyczny, z zastrzeżeniami tam, gdzie kontrola jest wdrożona częściowo, i z odnotowaniem kontroli kompensujących tam, gdzie pełne wdrożenie jeszcze nie nastąpiło.

jak przygotować się do odnowienia polisy: co działa

Zaczynając co najmniej trzy miesiące przed odnowieniem, masz czas na domknięcie najpoważniejszych luk. Przygotowanie, które daje mocny wniosek, przechodzi przez te same obszary, które obejmuje kwestionariusz, traktując każdy z nich jako wewnętrzną ocenę przed złożeniem.

Zaczyna się od samego kwestionariusza. Przejście przez format, którego używa główny underwriter, jako wewnętrzna ocena, zamienia każde pytanie, na które nie potrafisz odpowiedzieć z pewnością, w lukę do domknięcia. Audyt pokrycia MFA oznacza wyeksportowanie statusu rejestracji z dostawcy tożsamości i zidentyfikowanie każdego konta, na którym MFA nie jest wymagane albo nie jest skonfigurowane, z priorytetem dla kont administracyjnych, bo każde konto administracyjne bez MFA to najważniejsza luka do zamknięcia przed złożeniem wniosku.

Weryfikacja kopii zapasowych oznacza potwierdzenie, że działają zgodnie z dokumentacją i że co najmniej jedna była przetestowana przez odtworzenie w ciągu ostatnich 12 miesięcy, z udokumentowanym wynikiem. Udokumentowanie procesu kontroli dostępu i offboardingu oznacza wyciągnięcie zapisów, kiedy ostatnio przeprowadzono przegląd dostępów, jakie systemy objął, i jak wyglądały ostatnie offboardingi, w tym czy proces obejmuje aplikacje spoza głównego katalogu. Z perspektywy underwritingu nieudokumentowany proces to proces, którego nie ma.

Sprawdzenie bezpieczeństwa poczty oznacza weryfikację rekordów DMARC, DKIM i SPF oraz podniesienie polityki z p=none do p=quarantine przed złożeniem wniosku jako bezpośrednie wzmocnienie odpowiedzi. Przegląd dokumentacji reagowania na incydenty oznacza potwierdzenie, że plan istnieje, był aktualizowany w ciągu ostatnich 12 miesięcy i był ćwiczony w formie tabletop. Dla luk, których nie da się domknąć przed wnioskiem, lepiej udokumentować stan faktyczny, kontrole kompensujące i plan naprawczy z terminami, niż wpisać niezastrzeżone „tak", które nie odzwierciedla rzeczywistości. Kwestionariusz to dokument prawny, więc prawdziwa odpowiedź z zastrzeżeniami daje lepszy wynik niż niezastrzeżony fałszywy pozytyw, który wyjdzie na jaw dopiero przy roszczeniu.

jak audyt tożsamości dostarcza dowodów, których potrzebują underwriterzy

Znaczna część kwestionariusza dotyczy tożsamości i dostępów: pokrycia MFA, higieny dostępu uprzywilejowanego, procesu kontroli dostępu i kompletności offboardingu. Na te pytania najlepiej odpowiadać aktualnymi danymi, nie szacunkami. Połączenie tylko do odczytu z dostawcą tożsamości ujawnia każde konto w katalogu, jego status rejestracji MFA, poziom uprawnień, aktywność i konta odpowiadające użytkownikom, którzy już nie są aktywni. Liczby dotyczące pokrycia MFA pochodzą wtedy z faktycznych danych katalogu, dostęp osób odchodzących pojawia się jako konkretne konta z udokumentowanymi krokami naprawczymi, a konta administracyjne bez MFA wychodzą jako ustalenia z priorytetem. Podsumowanie stanu tożsamości w prostym języku nadaje się zarówno do wniosku ubezpieczeniowego, jak i do wewnętrznego raportowania bezpieczeństwa czy kwestionariuszy bezpieczeństwa od klientów.

samoubezpieczenie i retencja ryzyka: podstawy

Dla części organizacji komercyjne ubezpieczenie cybernetyczne jest zbyt drogie, zbyt ograniczone, albo jedno i drugie. Znajomość alternatyw to element pełnego obrazu zarządzania ryzykiem.

Co samoubezpieczenie oznacza w praktyce. Organizacja zatrzymuje ryzyko finansowe zamiast je przenosić. To domyślna pozycja dla każdego ryzyka, które nie jest objęte polisą. Świadomy wybór tej drogi oznacza finansowe przygotowanie się na straty, które za tym idą.

Rezerwy finansowe. Dedykowana pula środków odłożona na potencjalne koszty incydentu cybernetycznego: reagowanie, odtworzenie, koszty prawne, notyfikacje i kary regulacyjne. Wielkość rezerwy powinna wynikać z potencjalnego scenariusza straty, nie z dowolnie wybranej liczby. Rezerwa działa obok polisy komercyjnej, pokrywając retencję i straty w warstwie samoubezpieczonej, albo zamiast polisy komercyjnej, gdy składka jest nieopłacalna.

Retencja własna (self-insured retention, SIR). Zdefiniowane maksimum, które organizacja pokrywa sama przy każdym incydencie, a polisa komercyjna pokrywa straty powyżej tego progu. To obniża koszt składki, bo organizacja bierze na siebie więcej ryzyka z niższej warstwy, jednocześnie przenosząc ekspozycję na ryzyko katastroficzne.

Czego wymaga samoubezpieczenie. Dojrzałego programu bezpieczeństwa, realistycznego modelu strat, dedykowanych i dostępnych środków oraz wewnętrznej zdolności do zarządzania reagowaniem na incydenty i roszczeniami. Bez tego samoubezpieczenie to przyjęcie ryzyka bez planu.

Gdy polisa komercyjna jest zbyt droga. Właściwą reakcją nie jest rezygnacja z ochrony, tylko zrozumienie, które kontrole najbardziej wpływają na składkę, poprawienie ich w pierwszej kolejności i ponowne wyjście na rynek. Najwyższą wagę mają pokrycie MFA, stan kopii zapasowych i udokumentowane reagowanie na incydenty. Decyzja między polisą komercyjną, samoubezpieczeniem albo ich kombinacją angażuje szefa IT albo bezpieczeństwa, CFO i dział prawny.

jak to się przekłada na NIS2, DORA i ISO 27001

Kontrole, których wymagają underwriterzy, i kontrole, które nakazują te ramy regulacyjne, to w dużej mierze ta sama lista. Przygotowanie do odnowienia polisy i przygotowanie do zgodności z regulacjami wzajemnie się uzupełniają.

NIS2. Dyrektywa (UE) 2022/2555 wymaga od objętych nią podmiotów wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa, w tym kontroli dostępu, MFA, reagowania na incydenty, ciągłości działania i bezpieczeństwa łańcucha dostaw. Środki z artykułu 21 pokrywają się niemal dokładnie z listą kontroli underwritingowych.

DORA. Rozporządzenie o operacyjnej odporności cyfrowej obejmuje podmioty finansowe w UE i ich kluczowych dostawców usług ICT, z wymogami dotyczącymi zarządzania ryzykiem ICT, reagowania na incydenty, testowania odporności i kontroli dostępu, w tym okresowego przeglądu uprawnień użytkowników ze szczególną uwagą na konta uprzywilejowane.

ISO 27001. ISO 27001:2022 obejmuje kontrolę dostępu, ciągłość działania, zarządzanie incydentami i zarządzanie podatnościami jako wymagane kontrole z Załącznika A. Dowód certyfikacji można dołączyć do odpowiedzi w kwestionariuszu.

RODO. RODO wymaga odpowiednich środków technicznych i organizacyjnych dla bezpieczeństwa danych osobowych. Incydent obejmujący dane osobowe uruchamia obowiązki notyfikacyjne z artykułu 33 (zgłoszenie do organu nadzorczego w ciągu 72 godzin) i artykułu 34 (zawiadomienie osób, których dane dotyczą, w przypadkach wysokiego ryzyka). Plan reagowania na incydenty powinien to obejmować.