Kiberuzbrukums vidēja lieluma Latvijas uzņēmumam var izmaksāt no 20 000 līdz 500 000 EUR — incidenta izmeklēšana, dīkstāve, datu atkopšana, juridiskās izmaksas, DVI sodi. Vai kiberdrošības apdrošināšana ir veids, kā pasargāties no šādiem zaudējumiem? Un vai tā vispār ir pieejama Latvijā?
Šajā rakstā skaidrosim, ko kiberdrošības apdrošināšana patiešām sedz, ko tā nesedz, kā apdrošinātāji novērtē jūsu drošības stāvokli un vai tā ir jēgpilna investīcija jūsu uzņēmumam.
Kas ir kiberdrošības apdrošināšana?
Kiberdrošības apdrošināšana (cyber insurance) ir specializēts apdrošināšanas produkts, kas sedz finansiālus zaudējumus, ko rada kiberdraudi — datu noplūdes, izspiedējvīrusu uzbrukumi, biznesa dīkstāve, regulatīvās procedūras un citi ar kiberdrošību saistīti incidenti.
Svarīgi saprast — kiberdrošības apdrošināšana nav alternatīva drošības pasākumiem. Tā ir papildu aizsardzības slānis, kas darbojas tad, kad preventīvie pasākumi ir bijuši nepietiekami. Tieši tāpat kā ugunsdrošības apdrošināšana nav iemesls atteikties no ugunsdzēšamajiem aparātiem.
Ko kiberdrošības apdrošināšana sedz?
Tipiskas kiberdrošības polises sedz:
Incidenta reaģēšanas izmaksas. Digitālā ekspertīze, drošības konsultantu piesaiste, incidenta lokalizēšana un novēršana. Tās bieži ir vislielākais izdevumu postenis — profesionāla incidentu reaģēšanas komandas iesaiste var izmaksāt 500–2 000 EUR dienā.
Datu atkopšanas izmaksas. Sistēmu atjaunošana, datu atkopšana no rezerves kopijām, jaunu sistēmu uzstādīšana, ja esošās ir neatgriezeniski kompromitētas.
Biznesa dīkstāves zaudējumi. Ieņēmumu zudums laika periodā, kad uzņēmuma sistēmas nav funkcionālas. Tas var būt no dažām stundām līdz vairākām nedēļām atkarībā no uzbrukuma veida.
Paziņošanas izmaksas. GDPR pieprasa informēt datu subjektus par datu noplūdi. Ja skarti ir tūkstošiem klientu, paziņošanas process ir dārgs — juridiskā konsultācija, paziņojumu sagatavošana, klientu atbalsta nodrošināšana.
Regulatīvās procedūras. Juridiskā pārstāvniecība DVI procedūrās, atbilstības auditu izmaksas, atsevišķos gadījumos arī regulatīvo sodu segšana (atkarīgs no polises un jurisdikcijas).
Trešo pušu prasības. Ja jūsu datu noplūde skar klientus vai partnerus un tie iesniedz prasību par zaudējumiem, polise var segt juridiskās aizstāvēšanas un kompensāciju izmaksas.
Reputācijas pārvaldība. Dažas polises ietver krīzes komunikācijas un sabiedrisko attiecību speciālistu izmaksas pēc publiska incidenta.
Ko kiberdrošības apdrošināšana parasti nesedz?
Tikpat svarīgi ir saprast ierobežojumus:
Zināmas, bet nenovērstas ievainojamības. Ja uzbrukums izmantoja ievainojamību, par kuru ielāps bija pieejams mēnešiem, bet uzņēmums to nebija uzstādījis — apdrošinātājs var atteikt izmaksu.
Iekšējo aktu tīšus pārkāpumus. Ja darbinieks apzināti noplūdina datus ļaunprātīgos nolūkos, polise to parasti nesedz.
Infrastruktūras uzlabošanas izmaksas. Apdrošināšana sedz atjaunošanu līdz iepriekšējam stāvoklim, nevis uzlabošanu. Jaunas drošības sistēmas pēc incidenta ir jūsu izdevumi.
Intelektuālā īpašuma zaudējumus. Ja noplūst komercnoslēpumi vai tehnoloģiskais know-how, to reālo vērtību ir grūti novērtēt un apdrošināt.
Karu un valsts sponsorētus uzbrukumus. Lielākā daļa polišu ietver kara izņēmuma klauzulu (war exclusion). Pēc 2022. gada notikumiem šī klauzula ir kļuvusi aktuālāka — apdrošinātāji precīzāk definē, ko uzskata par valsts sponsorētu uzbrukumu.
Kiberdrošības apdrošināšanas tirgus Latvijā un Baltijā
Latvijā kiberdrošības apdrošināšana joprojām ir salīdzinoši jauns produkts. Vairāki lielākie Latvijas apdrošinātāji piedāvā kiberdrošības polises, bet tirgus ir mazāks un mazāk specializēts nekā Rietumeiropā vai ASV.
Tipiskas iespējas Latvijas uzņēmumam:
- Latvijas apdrošinātāji — Balta, If, Gjensidige piedāvā kiberdrošības polises kā papildu risinājumu vai atsevišķu produktu. Segums un nosacījumi var atšķirties.
- Starptautiskie specializētie apdrošinātāji — Chubb, AIG, Allianz piedāvā specializētas kiberpolises ar plašāku segumu, bet minimālās prēmijas var būt augstākas.
- Brokeru starpniecībā — Latvijā strādā vairāki apdrošināšanas brokeri, kas specializējas komerciālajā apdrošināšanā un var palīdzēt atrast optimālu polisi.
Kā apdrošinātāji novērtē jūsu drošības stāvokli?
Pirms polises izsniegšanas apdrošinātājs novērtē jūsu kiberdrošības brieduma līmeni. Tipiski jautājumi pieteikuma anketā:
- Vai ir ieviesta daudzfaktoru autentifikācija (MFA)?
- Vai ir regulāra rezerves kopēšana ar testētu atjaunošanu?
- Vai ir SOC uzraudzība vai līdzvērtīga drošības monitoringa sistēma?
- Vai darbinieki iziet regulāras kiberdrošības apmācības?
- Vai ir dokumentēts incidentu reaģēšanas plāns?
- Vai sistēmām tiek regulāri uzstādīti drošības ielāpi?
- Vai ir tīkla segmentēšana?
- Vai ir šifrēšana datu pārraidē un glabāšanā?
Jo labāks jūsu drošības stāvoklis, jo zemāka prēmija un labāki polises nosacījumi. Dažos gadījumos apdrošinātājs var atteikt polisi, ja pamata drošības pasākumi nav ieviesti — piemēram, ja nav MFA vai nav rezerves kopiju.
Tā ir ļoti būtiska sakarība: investīcijas kiberdrošībā samazina apdrošināšanas izmaksas, un otrādi — vāja drošība nozīmē augstākas prēmijas vai atteikumu.
Vai MVU vajag kiberdrošības apdrošināšanu?
Daudzi mazo un vidējo uzņēmumu (MVU) īpašnieki uzskata, ka kiberdrošības apdrošināšana ir tikai lieliem uzņēmumiem. Realitāte ir pretēja — MVU ir nesamērīgi lielāks risks, jo:
- MVU bieži ir vājāki drošības pasākumi nekā lielajiem uzņēmumiem
- Kiberuzbrukuma finansiālā ietekme uz MVU ir proporcionāli lielāka
- MVU retāk var atļauties pilna mēroga incidentu reaģēšanas komandu
Tomēr pirms apdrošināšanas iegādes ir kritiski investēt pamata drošības pasākumos. Apdrošināšana bez drošības ir kā ceļojumu apdrošināšana bez drošības jostas — tā var segt zaudējumus, bet nenovērš incidentu.
Ieteicamā prioritāšu secība MVU:
- Pamata drošības pasākumi — MFA, rezerves kopijas, pretvīrusu risinājumi, ugunsmūris
- Darbinieku apmācības — pikšķerēšanas simulācijas un drošības izpratnes programma
- Incidentu reaģēšanas plāns — dokumentēts un testēts
- SOC uzraudzība — nepārtraukta drošības monitorēšana
- Kiberdrošības apdrošināšana — kā papildu aizsardzības slānis
Tipiskās prēmijas un seguma apjomi
Konkrētas cenas ir atkarīgas no daudziem faktoriem — nozares, uzņēmuma lieluma, apgrozījuma, datu apjomu un drošības stāvokļa. Orientējoši Latvijas un Baltijas tirgū:
- Mazs uzņēmums (līdz 1M EUR apgrozījums): prēmija 500–2 000 EUR gadā, segums līdz 250 000 EUR
- Vidējs uzņēmums (1–10M EUR): prēmija 2 000–10 000 EUR gadā, segums līdz 1M EUR
- Liels uzņēmums (10M+ EUR): prēmija 10 000–50 000+ EUR gadā, segums individuāli
Pašrisks (deductible) parasti ir 2 500–25 000 EUR atkarībā no polises. Tas nozīmē, ka mazākos incidentus uzņēmums sedz pats, un apdrošināšana ieslēdzas tikai būtiskākos gadījumos.
Biežāk uzdotie jautājumi (BUJ)
Vai kiberdrošības apdrošināšana sedz izpirkuma maksājumus par izspiedējvīrusu? Dažas polises ietver izpirkuma segumu, bet šis jautājums kļūst aizvien strīdīgāks. Daļa apdrošinātāju šo segumu ir izņēmuši, citi to piedāvā kā opciju ar papildu prēmiju. Neatkarīgi no polises, CERT.LV un drošības speciālisti iesaka nemaksāt izpirkumu — tas negarantē datu atgūšanu un finansē noziedzību.
Vai apdrošinātājs var atteikt izmaksu pēc incidenta? Jā, ja konstatē, ka uzņēmums ir pārkāpis polises nosacījumus — piemēram, nav ievērojis deklarētos drošības standartus, nav uzstādījis kritiskos ielāpus vai ir sniedzis nepatiesu informāciju pieteikumā. Tāpēc ir kritiski godīgi atbildēt uz apdrošinātāja jautājumiem un faktiski ievērot deklarētos pasākumus.
Vai NIS2 subjektiem kiberdrošības apdrošināšana ir obligāta? Nē, NIS2 tieši nepieprasa kiberdrošības apdrošināšanu. Tomēr NIS2 pieprasa risku pārvaldību, un apdrošināšana ir leģitīms risku pārvaldības instruments (risku pārnešana). Daudzi NIS2 subjekti izvēlas apdrošināšanu kā daļu no savas risku pārvaldības stratēģijas.
Kā kiberdrošības apdrošināšana atšķiras no vispārējās uzņēmuma apdrošināšanas? Vispārējā uzņēmuma apdrošināšana (property insurance) parasti nesedz kiberincidentu zaudējumus vai sedz tos ļoti ierobežoti. Kiberdrošības apdrošināšana ir specializēts produkts, kas adresē tieši šos riskus. Ja jūsu vispārējā polise ietver “kiberdrošības” punktu, rūpīgi izlasiet nosacījumus — bieži segums ir pārāk šaurs, lai nodrošinātu reālu aizsardzību.
Vai apdrošināšana aizvieto investīcijas kiberdrošībā? Nekādā gadījumā. Apdrošināšana pārvalda atlikušo risku pēc tam, kad ir ieviesti drošības pasākumi. Bez pamata drošības (MFA, rezerves kopijas, SOC, apmācības) apdrošinātājs vai nu atteiks polisi, vai piemēros augstu prēmiju ar šauru segumu. Turklāt apdrošināšana nemaksā par novērstiem incidentiem — bet drošības investīcijas to dara.
Vai vēlaties uzlabot sava uzņēmuma kiberdrošību? Sazinieties ar securIT — [email protected] vai +371 27555221.