Še pred nekaj leti so številni podjetniki menili, da so kibernetski napadi predvsem težava velikih korporacij, bank in mednarodnih podjetij. Manjša podjetja so se pogosto tolažila z mislijo, da niso dovolj zanimiva za hekerje in da se njim kaj takega verjetno ne more zgoditi.
Danes je takšno razmišljanje lahko zelo drago.
Predstavljajte si, da nekega jutra ne morete dostopati do računovodskega programa. Zaposleni ne morejo odpreti dokumentov, naročila so nedosegljiva, stranke pa čakajo na odgovore. Kmalu ugotovite, da je nekdo vdrl v vaš informacijski sistem in zaklenil pomembne podatke. Za njihovo obnovitev zahteva odkupnino.
Lahko se zgodi tudi drugače. Nekdo pridobi dostop do elektronske pošte direktorja in v njegovem imenu pošlje lažno navodilo za plačilo računa. Ali pa napadalci ukradejo podatke strank in zagrozijo, da jih bodo objavili.
V vseh teh primerih se podjetje ne sooča zgolj s tehnično težavo. Pojavijo se lahko stroški strokovne pomoči, obnove sistemov, pravnega svetovanja in drugih ukrepov. Če poslovanje za nekaj časa zastane, lahko podjetje utrpi tudi finančne posledice zaradi zmanjšanih prihodkov.
Zato se vse več podjetnikov upravičeno sprašuje: ali bi moralo imeti tudi moje podjetje sklenjeno kibernetsko zavarovanje?
Odgovor je odvisen od tega, kako poslujete, katere podatke uporabljate, koliko ste odvisni od digitalnih sistemov in kakšne finančne posledice bi za vas pomenil kibernetski incident.
Kibernetski napad ni več samo problem velikih podjetij
Veliko manjših podjetij uporablja podobna digitalna orodja kot večje organizacije. Imajo elektronsko pošto, računovodske programe, spletne trgovine, podatkovne baze strank, spletno bančništvo in različne oblačne storitve.
To pomeni, da so lahko izpostavljena številnim enakim vrstam tveganj.
Napadalec lahko poskuša pridobiti geslo zaposlenega, izkoristiti varnostno pomanjkljivost v programu ali uporabiti lažno elektronsko sporočilo, ki je videti kot običajna poslovna komunikacija. V nekaterih primerih je lahko dovolj že en sam nepremišljen klik ali uporaba ukradenih prijavnih podatkov.
Za napad ni nujno, da je podjetje posebej izbrana tarča. Nekateri napadi se izvajajo avtomatizirano, zato so lahko prizadeta tudi podjetja, ki jih napadalci pred tem sploh niso poznali.
Še posebej ranljiva so lahko podjetja, ki so močno odvisna od digitalnega poslovanja, nimajo ustrezno urejenih varnostnih kopij ali nimajo pripravljenega načrta za odziv na incident.
To ne pomeni, da bo vsako podjetje postalo žrtev napada. Pomeni pa, da samo velikost podjetja ni dovolj dober razlog za prepričanje, da kibernetskega zavarovanja ne potrebuje.
Kaj vse lahko ogrozi vaše podjetje?
Ko govorimo o kibernetskih tveganjih, si marsikdo predstavlja predvsem hekerja, ki zaklene podatke in zahteva odkupnino. Toda možnih scenarijev je precej več.
1. Izsiljevalski napad in izguba dostopa do podatkov
Napadalci lahko zlonamerno programsko opremo uporabijo za šifriranje datotek ali onemogočanje dostopa do informacijskih sistemov. Nato zahtevajo plačilo za domnevno obnovitev dostopa.
Posledice so lahko zelo resne, če podjetje brez teh podatkov ne more izdajati računov, sprejemati naročil, izvajati proizvodnje ali opravljati storitev.
Tudi če ima podjetje varnostne kopije, lahko obnova traja dlje, kot je pričakovalo. Poleg tega ni dovolj, da se podatki obnovijo. Pred ponovnim zagonom je treba preveriti, ali so sistemi varni za uporabo.
2. Kraja podatkov strank in poslovnih partnerjev
Podjetje lahko hrani osebne podatke strank, pogodbe, cenike, poslovne skrivnosti in druge zaupne informacije.
Če napadalci pridobijo dostop do teh podatkov, lahko nastanejo dodatna tveganja. Podjetje bo morda moralo raziskati incident, oceniti svoje obveznosti glede varstva podatkov, obvestiti prizadete osebe ali poiskati pravno pomoč.
Poleg neposrednih stroškov se lahko pojavi tudi izguba zaupanja strank. Poslovni partnerji se lahko začnejo spraševati, ali je sodelovanje z vašim podjetjem še dovolj varno.
3. Zloraba elektronske pošte in lažna plačilna navodila
Včasih napadalcem sploh ni treba zakleniti podatkov. Dovolj je, da pridobijo dostop do elektronskega predala ali se prepričljivo predstavijo kot direktor, dobavitelj oziroma poslovni partner.
Zaposlenemu lahko pošljejo spremenjene podatke za plačilo ali lažno navodilo za nujno nakazilo. Če podjetje denar nakaže na napačen račun, je lahko njegova izguba znatna.
Pri tem je pomembno razlikovati med kibernetskim napadom, zlorabo identitete in drugimi oblikami poslovne prevare. Njihovo kritje se lahko razlikuje, zato ni varno predpostavljati, da bo vsaka izguba zaradi lažnega plačilnega navodila krita s kibernetskim zavarovanjem.
4. Izpad poslovanja zaradi napada
Kaj se zgodi, če zaradi kibernetskega incidenta tri dni ali dva tedna ne morete normalno poslovati?
Za spletno trgovino je to lahko obdobje, ko ne more sprejemati naročil. Za računovodski servis je lahko težava nedostopnost dokumentacije. Za proizvodno podjetje pa lahko izpad informacijskega sistema pomeni zastoj proizvodnje ali logistike.
V takšnih primerih lahko poleg stroškov odprave napada nastane tudi izguba poslovnega rezultata. Zavarovanje lahko vključuje določene finančne posledice prekinitve poslovanja, vendar je to odvisno od dogovorjenega kritja, pogojev in morebitnih čakalnih dob.
Kaj je kibernetsko zavarovanje in kako lahko pomaga?
Kibernetsko zavarovanje je namenjeno kritju določenih tveganj in finančnih posledic, povezanih s kibernetskimi incidenti.
Njegov namen ni preprečiti napada. To je naloga ustreznih varnostnih ukrepov, tehnične zaščite in dobrih poslovnih postopkov. Zavarovanje pa lahko pod dogovorjenimi pogoji pomaga pri obvladovanju stroškov in izgub, ki nastanejo, če se incident kljub preventivnim ukrepom zgodi.
Glede na izbrano polico lahko vključuje različne oblike zaščite, na primer:
- stroške strokovnjakov za odziv na kibernetski incident;
- stroške preiskave in omejevanja posledic napada;
- določene stroške obnove podatkov in informacijskih sistemov;
- pravno pomoč in svetovanje glede obveznosti po incidentu;
- kritje določenih zahtevkov tretjih oseb zaradi kibernetskega dogodka;
- določene finančne posledice prekinitve poslovanja;
- dodatne storitve, kot je pomoč pri kriznem komuniciranju, če so vključene v polico.
To je splošen pregled možnih kritij, ne pa zagotovilo, da jih vsebuje vsako kibernetsko zavarovanje. Posamezne police se lahko bistveno razlikujejo, nekatera tveganja pa zahtevajo posebne razširitve ali so izključena.
Prav zato je pri izbiri pomembno razumeti, kaj vaše podjetje dejansko potrebuje in kaj konkretna ponudba vključuje.
Ali običajno poslovno zavarovanje že zagotavlja dovolj zaščite?
Podjetniki imajo pogosto sklenjena različna zavarovanja za poslovne prostore, opremo, odgovornost in druge nevarnosti. Zaradi tega lahko dobijo občutek, da je njihovo podjetje zavarovano pred večino pomembnih tveganj.
Toda običajno zavarovanje premoženja ali odgovornosti ni nujno namenjeno kritju vseh posledic kibernetskega incidenta.
Če požar poškoduje računalniško opremo, je lahko materialna škoda predmet zavarovanja premoženja, če so izpolnjeni pogoji police. Če pa napadalec zaklene podatke, ukrade informacije ali povzroči izpad poslovanja, gre za drugačno vrsto tveganja.
Prav tako ni mogoče samodejno predpostavljati, da zavarovanje odgovornosti krije zahtevke, povezane z izgubo ali razkritjem podatkov.
Podjetje zato potrebuje jasen pregled nad obstoječimi policami. Preveriti mora, ali so kibernetska tveganja že del kakšnega kritja, v kakšnem obsegu so vključena in kje obstajajo morebitne vrzeli.
Pri tem ni smiselno sklepati, da potrebujete novo zavarovanje samo zato, ker že uporabljate računalnike. Smiselno pa je preveriti, ali je zaščita prilagojena načinu, kako vaše podjetje danes posluje.
Katera podjetja bi morala kibernetska tveganja vzeti posebej resno?
Kibernetska tveganja so pomembna za skoraj vsako podjetje, vendar je lahko stopnja izpostavljenosti zelo različna.
Posebej pozorna bi morala biti podjetja, pri katerih bi nedostopnost podatkov ali informacijskih sistemov hitro povzročila večjo poslovno škodo.
To so lahko:
Spletne trgovine in podjetja, ki prodajajo prek spleta. Če spletna stran, naročilni sistem ali povezani programi prenehajo delovati, lahko podjetje izgubi možnost sprejemanja naročil in obdelave prodaje.
Računovodski, pravni in svetovalni servisi. Ti pogosto obdelujejo občutljive informacije strank, pogodbe in finančne podatke. Incident lahko povzroči tako operativne težave kot vprašanja glede varstva podatkov in pogodbenih obveznosti.
Proizvodna podjetja. Če so proizvodnja, načrtovanje, skladiščenje in dobava povezani z informacijskimi sistemi, lahko kibernetski incident vpliva tudi na fizično izvajanje dejavnosti.
Podjetja z večjim številom zaposlenih in uporabniških računov. Več uporabnikov in naprav lahko pomeni več dostopnih točk, ki jih je treba ustrezno zaščititi.
Podjetja, ki poslujejo z večjimi naročniki. Ti lahko zahtevajo določene varnostne standarde, pogodbeno odgovornost ali dokazila o obvladovanju tveganj.
Tudi manjše podjetje z malo zaposlenimi je lahko zelo izpostavljeno, če bi brez dostopa do podatkov izgubilo sposobnost opravljanja osnovne dejavnosti.
Kako ugotoviti, ali vaše podjetje potrebuje kibernetsko zavarovanje?
Namesto da se odločate samo na podlagi velikosti podjetja ali priporočila drugega podjetnika, si zastavite nekaj konkretnih vprašanj.
1. Koliko časa bi lahko poslovali brez dostopa do ključnih sistemov?
Če je odgovor nekaj ur ali en dan, je pomembno razumeti, kaj bi se zgodilo ob daljšem izpadu. Bi lahko delo nadaljevali ročno? Bi lahko uporabili nadomestni sistem? Bi naročila še vedno sprejemali in izpolnjevali?
2. Katere podatke bi bilo najtežje nadomestiti?
So to evidence strank, računovodski podatki, tehnična dokumentacija, pogodbe ali podatki za proizvodnjo? Pomembno je vedeti, kako hitro jih je mogoče obnoviti in ali obstajajo preverjene varnostne kopije.
3. Kakšne stroške bi povzročil resen incident?
Upoštevajte morebitno strokovno pomoč, obnovo sistemov, pravno svetovanje, obveščanje prizadetih oseb in druge stroške. Dodajte še možne finančne posledice prekinitve poslovanja.
4. Ali imate urejene preventivne ukrepe?
Preverite varnostne kopije, večfaktorsko avtentikacijo, posodabljanje programske opreme, pravice dostopa in načrt odziva na incident. Zavarovanje ni nadomestilo za te ukrepe.
5. Kaj že krijejo vaše obstoječe police?
Preden sklenete novo zavarovanje, je smiselno preveriti, ali so določena tveganja že vključena drugje in kakšne omejitve veljajo.
6. Ali bi podjetje finančno preneslo večji kibernetski incident?
Tudi če imate dobro varnostno zaščito, tveganja ni mogoče povsem odpraviti. Vprašanje je, ali bi lahko podjetje samo pokrilo stroške in izgube ob resnejšem dogodku, ne da bi ogrozilo svojo likvidnost.
Odgovori na ta vprašanja vam bodo pomagali oceniti, ali je kibernetsko zavarovanje smiselna dopolnitev obstoječe zaščite.
Na kaj morate biti pozorni pri izbiri kibernetskega zavarovanja?
Če ugotovite, da bi vaše podjetje potrebovalo dodatno zaščito, je naslednji korak primerjava dejanskega obsega kritja.
Pri tem ni dovolj primerjati samo letne premije. Pomembno je razumeti, kaj bi zavarovanje pokrilo v scenariju, ki je za vaše podjetje najbolj verjeten oziroma bi imel najhujše posledice.
Posebej preverite naslednje elemente.
Obseg kritih incidentov. Ali so vključeni izsiljevalski napadi, nepooblaščen dostop, kraja podatkov in druge oblike kibernetskih incidentov, ki so relevantne za vaše poslovanje?
Prekinitev poslovanja. Ali so vključene določene finančne posledice izpada zaradi kibernetskega incidenta? Kakšni so pogoji, morebitna čakalna doba in najdaljše obdobje kritja?
Stroški strokovne pomoči. Ali so kriti stroški strokovnjakov za odziv na incident, preiskavo in obnovo sistemov? Ali morate uporabo določenih izvajalcev predhodno uskladiti z zavarovalnico?
Odgovornost do tretjih oseb. Ali polica vključuje določene zahtevke zaradi razkritja podatkov ali drugih kibernetskih dogodkov? Katere vrste odgovornosti so izključene?
Zavarovalne vsote, podlimiti in franšize. Tudi visoka skupna zavarovalna vsota ne pomeni, da je vsak posamezen strošek krit do tega zneska. Preveriti je treba tudi posebne omejitve.
Zahteve glede varnosti. Zavarovalnica lahko določi minimalne varnostne ukrepe ali zahteva določene informacije o informacijskem okolju. Pomembno je, da podjetje te zahteve razume in jih dejansko izpolnjuje.
Izključitve. Posebej pozorno preberite določila o dogodkih, ki niso kriti, in okoliščinah, v katerih lahko pride do omejitve ali zavrnitve izplačila.
Prav te podrobnosti lahko odločijo, ali bo zavarovanje ob incidentu dejansko koristno.
Ali kibernetsko zavarovanje pomeni, da lahko zanemarite varnost?
Nikakor.
Zavarovanje je samo eden od elementov obvladovanja kibernetskih tveganj. Ne preprečuje napada in ne zagotavlja, da bo mogoče vse podatke obnoviti ali da bo vsaka nastala izguba krita.
Podjetje mora še naprej skrbeti za ustrezno zaščito informacijskih sistemov. To vključuje redno posodabljanje, varnostne kopije, zaščito uporabniških računov, omejevanje dostopa in izobraževanje zaposlenih.
Pomembno je tudi, da ima podjetje načrt za primer incidenta. Zaposleni morajo vedeti, koga obvestiti, kako ravnati ob sumljivem sporočilu in kako ukrepati, če sistem preneha delovati.
Najbolj smiseln pristop združuje preventivo, pripravljenost na okrevanje in ustrezno finančno zaščito.
Če podjetje zanemarja varnostne ukrepe, zavarovanje ne odpravi vseh posledic. Če pa se podjetje dobro pripravi, lahko hitreje omeji škodo in poveča možnosti za uspešno obnovo poslovanja.
Koliko lahko stane kibernetski incident?
Enotnega odgovora ni, saj so stroški odvisni od vrste napada, velikosti podjetja, kompleksnosti sistemov in trajanja izpada.
Pri manjšem incidentu so lahko posledice omejene na nekaj ur dela strokovnjakov in obnovo posameznih datotek. Pri resnem napadu pa lahko podjetje potrebuje obsežno forenzično preiskavo, obnovo strežnikov, zamenjavo kompromitiranih sistemov, pravno pomoč in večtedensko okrevanje.
Če podjetje zaradi incidenta ne more opravljati svoje dejavnosti, se lahko stroškom obnove pridružijo še izgubljeni prihodki in drugi finančni učinki zastoja.
Prav tako ni nujno, da se vse posledice pokažejo takoj. Po incidentu lahko sledijo dodatni varnostni pregledi, obravnava zahtevkov ali stroški izboljšanja zaščite.
Zato je pri ocenjevanju tveganja koristno pripraviti več scenarijev: krajši izpad, resnejši incident z obnovo podatkov in večtedensko prekinitev ključnih poslovnih procesov.
Takšna ocena pomaga razumeti, koliko tveganja lahko podjetje prevzame samo in pri katerih posledicah bi bila dodatna zaščita lahko smiselna.
Kibernetsko zavarovanje je odločitev o odpornosti podjetja
Pri zavarovanju pogosto razmišljamo o stvareh, ki jih lahko vidimo: poslovnih prostorih, strojih, vozilih in zalogah. Kibernetska tveganja so drugačna, saj lahko povzročijo veliko škodo, ne da bi bila fizična oprema sploh poškodovana.
Podjetje lahko izgubi dostop do podatkov, se sooči z zlorabo informacij, začasno ustavi poslovanje ali mora nameniti precejšnja sredstva za obnovo sistemov.
Zato je smiselno kibernetsko varnost obravnavati kot del širšega upravljanja poslovnih tveganj.
Ali vaše podjetje potrebuje kibernetsko zavarovanje, je odvisno od njegove dejavnosti, odvisnosti od digitalnih sistemov, občutljivosti podatkov, finančnih rezerv in obstoječe zaščite. Za nekatere bo takšno zavarovanje pomembna dopolnitev, drugi pa bodo morali najprej urediti osnovne varnostne ukrepe ali preveriti obstoječa kritja.
Najpomembneje je, da se odločite na podlagi dejanskega tveganja, ne na podlagi občutka, da se takšni dogodki dogajajo samo drugim.
Preverite, ali je vaše podjetje ustrezno zaščiteno
Kibernetski napad lahko prizadene podjetje ne glede na njegovo velikost. Vprašanje ni samo, ali imate protivirusni program ali varnostne kopije, temveč tudi, kaj bi se zgodilo, če bi kljub zaščiti izgubili dostop do ključnih podatkov ali bi morali za več dni prekiniti poslovanje.
Ste prepričani, da bi vaše podjetje lahko pokrilo stroške odziva na resen incident? Veste, ali obstoječa zavarovanja vključujejo kibernetska tveganja? In ali bi morebitno kibernetsko zavarovanje ustrezalo dejanskim potrebam vašega poslovanja?
Skupaj lahko pregledamo ključna tveganja vašega podjetja, preverimo obstoječo zavarovalno zaščito in ugotovimo, na katere pogoje, omejitve ter morebitne vrzeli je treba biti posebej pozoren.
Ne čakajte, da zaradi zaklenjenih podatkov, ukradenih informacij ali nedostopnih poslovnih sistemov ugotovite, kako ranljivo je vaše podjetje.
Dobra priprava ne zagotavlja, da do kibernetskega napada ne bo prišlo. Lahko pa pomaga zmanjšati njegove posledice in zaščititi tisto, kar je za vaše podjetje najpomembnejše: neprekinjeno poslovanje, zaupanje strank in finančno stabilnost.