Niczym mantrę można powtarzać, że nie wymyślono jeszcze zabezpieczenia, którego nie można obejść lub złamać. Czasem w kuriozalny wręcz sposób. Czy ktoś z Państwa pamięta technologię „Key2Audio”, opracowaną przez Sony Music? Rozwiązanie to miało uniemożliwić kopiowanie płyt kompaktowych i przegrywanie nagrań na twarde dyski komputerów.
Warte miliony dolarów zabezpieczenie zostało pokonane przez… czarny marker. Nie wdając się zbytnio w szczegóły techniczne, wystarczyło zamalować markerem wyraźnie odznaczającą się na płycie CD pierwszą ścieżkę, by odtwarzacz dysków optycznych w komputerze płynnie przeszedł z prób odczytania danych na zamalowanej ścieżce do odtwarzania muzyki.
Na swoje nieszczęście klient zawsze wie lepiej (czyt. jest znakomicie zabezpieczony). Przyjrzyjmy się, na co mógłby liczyć, gdyby zawarł polisę ubezpieczenia od cyberryzyk.
Przerwa w działalności oraz koszty jej wznowienia
Utrata dochodu jest bolesna dla każdego przedsiębiorstwa nastawionego na generowanie zysków. W przypadku ubezpieczenia cyber ubezpieczyciel wypłaci ubezpieczonemu straty z tytułu przerw w działalności, będących następstwem określonych zdarzeń, np.: braku dostępu do systemu komputerowego oraz koszty wznowienia działalności poniesione w związku ze zdarzeniem powodującym przerwę w działalności. Przez straty z tytułu przerwy w działalności ubezpieczyciele rozumieją zmniejszenie zysków netto oraz koszty dodatkowe. Natomiast koszty wznowienia działalności to np.: koszty zatrudnienia eksperta do spraw IT, poniesione w celu przywrócenia funkcjonalności systemu komputerowego lub odtworzenia, odzyskania lub ponownego zainstalowania danych.
Ważnymi pojęciami są też okres oczekiwania, czyli liczba godzin określona w polisie, która musi upłynąć od momentu, w którym rozpoczęła się przerwa w dostępności systemu komputerowego, zanim ubezpieczyciel będzie zobowiązany do jakichkolwiek wypłat, oraz okres odszkodowawczy, przez jaki ubezpieczony będzie odczuwał negatywne skutki przerwy w działalności. Okres ten rozpoczyna się z chwilą zdarzenia skutkującego przerwą w działalności, a kończy się z chwilą ustania przerwy w działalności lub po upływie określonej liczby dni.
Ataki hakerskie
Ubezpieczyciel wypłaci ubezpieczonemu odszkodowanie za szkody wywołane atakiem na systemy informatyczne. Przez atak rozumie się włamanie do systemu spółki, które skutkuje usunięciem lub zmianą danych w systemie. Szkodą w tym przypadku będą mylnie lub błędnie wypłacone przez ubezpieczonego wszelkiego rodzaju środki płatnicze należące do ubezpieczonej spółki lub zarządzane w jej imieniu przez instytucję finansową w formie elektronicznej.
Cyberwymuszenie
Ubezpieczyciel wypłaci ubezpieczonemu lub w jego imieniu szkody wynikające z cyberwymuszenia, które ubezpieczony poniósł jako rezultat zagrożenia cyberwymuszeniem, przez które rozumie się uwiarygodnioną i prawdopodobną groźbę naruszenia prywatności, naruszenia danych lub cyberataku przez szantażystę.
Przez szkody wynikające z cyberwymuszenia ubezpieczyciel rozumie opłaty, koszty i wydatki poniesione przez lub w imieniu ubezpieczonego, wynikające z zagrożenia cyberwymuszeniem oraz kwoty zapłacone przez ubezpieczonego w celu usunięcia lub przerwania zagrożenia cyberwymuszeniem.
Przedstawiony powyżej zakres ochrony jest wspólny dla wszystkich ubezpieczycieli, oferujących ochronę cyber. Niektórzy z ubezpieczycieli trzymają jednak dodatkowe asy w rękawie, włączając do ochrony…
Socjotechnika
Ubezpieczenie od skutków oszustwa polegającego na podszywaniu się pod inną osobę. Zakres ubezpieczenia obejmuje straty powstałe w systemie komputerowym w wyniku podszywania się pod inną osobę.
Przez podszywanie się będziemy rozumieć działania rzekomych klientów, usługodawców, pracowników lub kadry zarządzającej (komunikacja elektroniczna, rzekomo pochodząca z legalnego źródła, zawierająca linki do stron www, podszywających się pod strony godne zaufania), które prowadzą do przekazania np. pieniędzy, towarów lub papierów wartościowych ubezpieczonego.
Ataki hakerskie na linie telefoniczne
Zakres ubezpieczenia obejmuje pokrycie przez ubezpieczyciela kwoty odpowiadającej wysokości kosztów połączeń powstałych w wyniku ataku hakerskiego na linie telefoniczne ubezpieczonego, polegającego na nieautoryzowanym użyciu przepustowości łączy telefonicznych.
Na zakończenie chciałbym skorygować błąd, który wkradł się do artykułu „Cyber, czyli za co ja właściwie płacę?”, opublikowanego w „GU” nr 41/11–17 X. Znalazła się tam informacja, którą uzyskałem w rozmowie telefonicznej z jednym z pracowników ubezpieczyciela, że Findia zawiesiła na jakiś czas kwotowanie ryzyka cyber. Jestem winien sprostowanie. Findia nie wycofała się z kwotowania omawianego ryzyka i chętnie przedstawi Państwu ofertę ubezpieczenia.
Łukasz Cichowski
starszy broker w MAI Insurance Brokers Poland sp. z o.o.
