Jak zwykle wygląda atak na małą firmę
Scenariusz, który powtarza się w relacjach właścicieli firm, rzadko ma coś wspólnego z filmami o hakerach. Zaczyna się od zwykłego e-maila w skrzynce księgowości — wygląda jak faktura od stałego dostawcy albo przypomnienie o płatności. Kliknięcie w załącznik wystarczy, żeby zaszyfrować pliki na firmowych komputerach i dysku sieciowym.
Potem jest ekran z żądaniem okupu, telefony od klientów, którzy czekają na zamówienia, i pytanie, które zadaje sobie każdy właściciel: ile dni przetrwam bez dostępu do systemu? W małych firmach odpowiedź brzmi zwykle: kilka, góra kilkanaście — a każdy dzień postoju to konkretna kwota, której nikt nie policzył wcześniej.
Co realnie pokrywa cyberpolisa
- Koszty odtworzenia danych i systemów po ataku ransomware.
- Utracony zysk za czas przestoju działalności.
- Koszty powiadomienia klientów i obsługi wycieku danych osobowych.
- Kary administracyjne i koszty obrony, o ile są ubezpieczalne w danej jurysdykcji.
- Pracę zespołu reagowania na incydenty — informatyków śledczych i prawników.
Kto powinien rozważyć ją w pierwszej kolejności
Sklepy internetowe, biura rachunkowe, gabinety medyczne, kancelarie i każda firma przetwarzająca dane osobowe klientów. Jeśli Twoja działalność zatrzyma się na tydzień po utracie dostępu do systemu — cyberpolisa jest dla Ciebie. Im więcej danych klientów przetwarzasz i im bardziej ciągłość działania zależy od IT, tym większy sens ma taka ochrona.
Ile to kosztuje i co wpływa na składkę
Dla mikrofirmy składka zaczyna się od około 150,00 zł miesięcznie przy sumie ochrony 500 000 zł. Dla spółki z obrotem kilku milionów — od 400,00 zł miesięcznie przy sumie 2 000 000 zł. To ułamek kosztu jednego dnia przestoju.
Na wysokość składki wpływa kilka czynników: roczny przychód i liczba przetwarzanych danych osobowych, charakter działalności — sklep internetowy ryzykuje inaczej niż gabinet — jakość istniejących zabezpieczeń, a także suma ochrony i udział własny, które wybierzesz.
Co sprawdzić w OWU cyberpolisy
- Karencję — ochrona zwykle zaczyna działać po określonym czasie od zawarcia umowy.
- Obowiązki prewencyjne — część polis wymaga aktualizacji oprogramowania, kopii zapasowych i uwierzytelniania dwuskładnikowego; ich brak może obniżyć wypłatę.
- Termin zgłoszenia incydentu — zwykle liczony w godzinach, nie dniach.
- Zakres terytorialny i podwykonawców — sprawdź, czy ochrona obejmuje incydenty po stronie firm, którym zlecasz usługi.
Czego cyberpolisa nie zastąpi
Polisa nie zwalnia z obowiązku posiadania podstawowych zabezpieczeń: kopii zapasowych, aktualizacji, uwierzytelniania dwuskładnikowego. Ubezpieczyciel może odmówić wypłaty, jeśli rażąco zaniedbano higienę cyfrową. Zanim zaczniesz rozmawiać o polisie, warto wdrożyć minimum:
- Kopie zapasowe w modelu 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, w tym jedna poza siedzibą firmy.
- Uwierzytelnianie dwuskładnikowe do poczty, banku i systemów firmowych.
- Regularne aktualizacje systemu i programów — również na telefonach.
- Krótkie szkolenie zespołu z rozpoznawania phishingu; to ludzie pozostają najsłabszym ogniwem.
Cyberpolisa nie jest lekarstwem na brak zabezpieczeń — jest siatką bezpieczeństwa na wypadek, gdy zabezpieczenia zawiodą. Dopiero w tej kolejności ma sens.