Cyberpolisa dla firmy to jak ubezpieczenie na (prze)życie

Robert Lidke: Czy cyberbezpieczeństwo to może być żyła złota dla sektora ubezpieczeniowego?

Włodzimierz Pyszczek: Chyba jeszcze nie teraz.To jest rynek, który dopiero się rozwija. Aczkolwiek jesteśmy już po tym etapie, kiedy ubezpieczyciele musieli tłumaczyć klientom, że są narażeni na cyberryzyka. Teraz klienci są już tego świadomi i zaczynają kupować ubezpieczenia, ale nadal jest to rynek, gdzie zarówno ubezpieczyciel, jak i klienci, uczą się tego ryzyka i ubezpieczenia.

Czy w Polsce tego typu ubezpieczeń szukają duże, małe czy mikrofirmy?

− W pierwszej kolejności szukają ci klienci, którzy są świadomi tych ryzyk, czyli największe firmy. I to jest jak najbardziej poprawne, ponieważ w przypadku tych firm, szkody mogą mieć kolosalne znaczenie, kolosalny wpływ na finanse firmy. Ale firmy mniejsze, które nie mogą sobie pozwolić na własny sztab informatyków, na własnych prawników, tym bardziej powinny być zainteresowane tym ubezpieczeniem, bo tego rodzaju polisa dostarcza też taki serwis.

Co konkretnie można ubezpieczyć? Od jakich ryzyk się ubezpieczamy?

− Generalnie ubezpieczamy dwa obszary w firmie. Po pierwsze dane przetwarzane w firmie − np. na wypadek nieuprawnionego ujawnienia tych danych i konieczności zapłaty odszkodowań osobom, których dane zostały ujawnione albo konieczności zapłaty kar.

Drugi obszar to systemy informatyczne. Są to szkody spowodowane przez hakerów, przez awarie systemów informatycznych. Zarówno szkody polegające na odtworzeniu systemów informatycznych, danych,  koszty doradców, informatyków, którzy pomagają odtworzyć te systemy, jak i koszty przestojów spowodowanych brakiem możliwości prowadzenia działalności przez firmę.

Czytaj także: Dzień Bezpiecznego Internetu: już niemal co druga polska firma zetknęła się z cyberatakiem

Skąd dana firma czy przedsiębiorca ma wiedzieć, jaki zakres ubezpieczenia wybrać? Ile ubezpieczeń powinien zawrzeć i na jakie kwoty?

− Jest to problem, z którym boryka się wiele firm. Jeszcze niedawno obserwowałem, ze firmy kupując po raz pierwszy cyberpolisy próbowały kupić „coś”, np. małą polisę, żeby zobaczyć jak wygląda takie ubezpieczenie. Nie ma to uzasadnienia merytorycznego, bo znacznie lepiej jest korzystać z usług doradców.

Nasza firma oferuje klientom szereg narzędzi analitycznych, które pozwalają oszacować wpływ na finanse firmy ataku cybernetycznego i przestoju w działalności firmy. Albo wpływ na finanse firmy incydentu polegającego na nieuprawnionym ujawnieniu danych. Albo możemy też zbadać i skalkulować ile hipotetycznie firma poniosłaby straty, gdyby zaatakował ją wirus komputerowy.

Badają też Państwo „atrakcyjność” firmy dla przestępców, czy opłaca się ją zaatakować. Może z innego niż ekonomiczny powodu.

− Ocena cyberryzyka to nie tylko ocena tego, jak firma sama siebie zabezpiecza od tego rodzaju incydentów. Bo może mieć najlepszych informatyków i najlepsze systemy zabezpieczeń, ale to nie wystarczy. Ponieważ równie ważne jest to, jak bardzo przestępcy chcą zaatakować daną firmę. Bo jeśli będą chcieli, to i tak zaatakują.

Są już dostępne narzędzia analityczne, które pozwalają ocenić dla konkretnej firmy, na ile jest ona atrakcyjna dla hakerów. Jeżeli chodzi o branżę, w której firma działa, rodzaj i ilość danych, które przechowuje, czy też podatność jej systemów informatycznych na ataki.

Czytaj także: Cyberbezpieczeństwo i przetwarzanie danych kluczem do cyfrowej transformacji firm

Coraz więcej firm przechodzi do chmury obliczeniowej. Jest wiele rodzajów chmur, są publiczne, są prywatne, są modele mieszane. Czy można w związku z tym zbadać ryzyko i odpowiednio ubezpieczyć firmę?

− Korzystanie z usług chmury to z jednej strony, zwłaszcza dla tych mniejszych firm jest bardzo korzystne, bo jest tanie. Natomiast z punktu widzenia oceny ryzyka jest takie zagrożenie, że awaria u dostawcy chmury może automatycznie spowodować szkody u wszystkich klientów. Dlatego przy analizach ryzyka warto badać dostawców chmurowych, na ile są to renomowane firmy i na ile ci dostawcy są zabezpieczeni przed cyberatakami.

Czytaj także: Bezpieczne płatności bezgotówkowe to nie tylko technologia

Czyli nie ma pewności, że jeżeli przejdziemy do chmury cyfrowej, to okaże się, że nasza polisa ubezpieczeniowa będzie tańsza?

− Nie ma na pewno takiego automatyzmu. Dlatego, że nie ma też zasady, która mówi, że w momencie kiedy przekazujemy dane do chmury przestajemy odpowiadać za te dane. Nie jest tak, że to dostawca chmury ponosi od tego momentu pełną odpowiedzialność za te dane. Dalej odpowiedzialność spoczywa na firmie. Czyli firma nadal ponosi to ryzyko.