Cyberubezpieczenie jako obowiązkowy element zarządzania ryzykiem operacyjnym
Wielu dostawców usług IT jest przekonanych, że dobrze zaprojektowana architektura, aktualne oprogramowanie, testy penetracyjne i przeszkolony personel wystarczą, by klient był w pełni chroniony przed skutkami cyberataku. To błąd – i ryzyko, które może uderzyć nie tylko w klienta, ale również w samego dostawcę.
Przykład firmy Clorox
W sierpniu 2023 r. amerykańska firma Clorox – producent chemii gospodarczej o globalnym zasięgu – padła ofiarą poważnego cyberataku, który doprowadził do wstrzymania działalności operacyjnej, przerwania łańcuchów dostaw i strat liczonych w setkach milionów dolarów. Mimo że firma zainwestowała ponad 500 mln dolarów w infrastrukturę IT i znajdowała się na liście „najbezpieczniejszych cyfrowo firm według Forbes”, jej systemy zostały skutecznie zaatakowane.
Przyczyna? Nie zaawansowany atak technologiczny, lecz rażące błędy proceduralne po stronie dostawcy usług IT – firmy Cognizant. Pracownicy pomocy technicznej bez weryfikacji tożsamości resetowali dane logowania, przekazywali hasła, a nawet dezaktywowali mechanizmy MFA na żądanie oszustów podszywających się pod pracowników Clorox.
Efekt końcowy: pozew o odszkodowanie na kwotę 380 milionów dolarów.
Rekomendacja polisy. Słabość czy profesjonalizm?
Wielu dostawców usług IT nie rekomenduje klientom zakupu cyberubezpieczenia z obawy, że może to zostać odebrane jako brak zaufania do wdrożonych zabezpieczeń. To błędne podejście.
Rekomendacja zakupu polisy nie jest przyznaniem się do niewystarczającej jakości usług IT, ale:
potwierdzeniem świadomości istnienia ryzyk niezależnych od technologii (np. błędów ludzkich),
zabezpieczeniem klienta przed skutkami incydentu, który może nastąpić mimo zachowania należytej staranności,
ograniczeniem potencjalnej odpowiedzialności regresowej wobec dostawcy.
W praktyce oznacza to, że nawet jeżeli wszystko zostało wykonane prawidłowo z punktu widzenia technologii, dostawca może zostać pozwany – jeśli nie zadbał o rekomendację odpowiedniego poziomu ochrony finansowej klienta.
Polisa chroni również dostawcę IT
W praktyce kancelaryjnej obserwujemy rosnącą liczbę przypadków, w których:
firma po incydencie kieruje roszczenia do dostawcy IT (nawet jeśli nie on bezpośrednio zawinił),
brak polisy po stronie klienta powoduje, że szuka on rekompensaty wyłącznie w relacji kontraktowej,
sądy badają, czy dostawca IT uprzedzał klienta o konieczności zabezpieczenia się finansowo.
Zalecenie przez branżę IT wykupienia cyberpolisy nie osłabia zaufania klienta – przeciwnie, świadczy o dojrzałości operacyjnej i znajomości pełnego spektrum ryzyk.
Nasze rekomendacje dla firm IT
Włącz zalecenie wykupienia cyberubezpieczenia do standardowych rekomendacji poaudytowych, wdrożeniowych oraz dokumentacji powdrożeniowej.
Uwzględnij obowiązek posiadania aktualnej polisy cyber po stronie klienta w umowach SLA, umowach serwisowych i kontraktach długoterminowych.
Zadbaj o posiadanie własnego ubezpieczenia OC zawodowego lub polisy cybernetycznej, zwłaszcza przy realizacji projektów B2B lub obsłudze infrastruktury przetwarzającej dane wrażliwe.
W przypadku incydentu, współpracuj z kancelarią prawną posiadającą doświadczenie w obsłudze spraw z zakresu cyberbezpieczeństwa, ubezpieczeń specjalistycznych i odpowiedzialności kontraktowej w branży IT.
Jak możemy pomóc?
Działamy jako niezależny broker ubezpieczeniowy, specjalizujący się w ubezpieczeniach dla branż wysokiego ryzyka i odpowiedzialności kontraktowej. W obszarze cyberbezpieczeństwa oferujemy:
dobór i negocjowanie warunków polisy cyber, dopasowanej do faktycznego profilu działalności firmy, modelu IT oraz ryzyk kontraktowych i regulacyjnych,
audyt ryzyk ubezpieczalnych – identyfikacja obszarów potencjalnych strat (m.in. odpowiedzialność za dane, szkody operacyjne, przestoje, koszty reakcji),
wsparcie w integracji wymagań ubezpieczyciela z istniejącymi procedurami bezpieczeństwa, politykami, planami ciągłości działania i umowami z dostawcami IT,
bieżącą obsługę polisy, w tym wsparcie przy zgłoszeniach szkód, raportowaniu incydentów, korespondencji z ubezpieczycielem i dokumentacji postępowania,
