Mange virksomheder tegner en cyberforsikring og regner med, at den dækker, hvis uheldet er ude. Men forsikringsselskabet kan kræve, at bestemte sikringer var på plads, da angrebet skete. Var de ikke det, kan erstatningen blive nedsat eller helt udeblive, afhængigt af policen.
Kravene bliver skærpet hvert år
De seneste måneder har vi hjulpet flere kunder gennem alvorlige sikkerhedshændelser: ransomware, kompromitterede mailkonti og falske betalingsanmodninger. Ét mønster går igen. Mange tror, at forsikringen dækker, men det er ikke nok at have en police. Betingelserne bliver typisk skærpet ved hver fornyelse, og det, der var godt nok sidste år, er ikke nødvendigvis godt nok i år.
De 8 krav, vi oftest ser blive overset
1. MFA på alt, ikke kun på mailen
Forsikringsselskaberne kræver i stigende grad MFA på fjernadgang (VPN, RDP), administratorkonti, cloud-tjenester og backupsystemer. En enkelt konto uden MFA kan være nok til at give problemer med dækningen.
2. Backup, der kan modstå angreb
Det er ikke længere nok at have backup. Der stilles krav om offline eller uforanderlig (immutable) backup, separate adgangskoder og i stigende grad dokumenteret gendannelsestest.
3. EDR/XDR i stedet for klassisk antivirus
Mange betingelser kræver nu Endpoint Detection & Response på alle enheder og servere, ofte med overvågning døgnet rundt. Det er her en SOC-løsning kommer ind i billedet.
4. Opdateringer inden for en fast frist
Kritiske sikkerhedsopdateringer skal installeres inden for et bestemt antal dage. Gamle systemer, der ikke længere får opdateringer, kan være undtaget fra dækningen.
5. Styring af administratorrettigheder
Brugere må ikke have lokale administratorrettigheder i det daglige, og privilegerede konti skal adskilles og overvåges.
6. Medarbejdertræning og phishing-test
Flere selskaber spørger nu ind til, om der er løbende og dokumenteret awareness-træning.
7. Beredskabsplan
En skriftlig og afprøvet plan for, hvad I gør ved et angreb, herunder hvem der kontakter forsikringsselskabet og hvornår.
8. Korrekte svar i ansøgningsskemaet
Svarer man “ja” til MFA eller backup, og det ikke passer helt, kan det i værste fald blive betragtet som urigtige oplysninger. Det er det krav, mange er mindst opmærksomme på.
Kravene varierer mellem forsikringsselskaber og policer. Tjek altid jeres egen police.
Hvad vi ser i praksis
En kunde blev ramt af ransomware via en gammel VPN-konto uden MFA. Backuppen lå på samme netværk og blev også krypteret. Forsikringsselskabet stillede efterfølgende spørgsmål ved begge dele.
Sådan tjekker I, om I er på sikker grund
Find jeres police frem, inden fornyelsen nærmer sig, og læs afsnittet om “sikkerhedsforskrifter” eller “minimumskrav”. Det er dér, kravene står. Sammenlign dem med jeres faktiske IT-opsætning, punkt for punkt.
Få et forsikrings-tjek hos CURAit
Vi tilbyder et forsikrings-tjek, hvor vi:
- gennemgår jeres aktuelle forsikringsbetingelser sammen med jer
- sammenholder dem med jeres faktiske IT-opsætning
- giver jer en kort rapport med eventuelle huller og forslag til løsning, så I står stærkt ved næste fornyelse
