Žádáte o kybernetické pojištění, obnovujete smlouvu, nebo vyplňujete sekci o IT bezpečnosti, kterou nyní stále častěji obsahují i pojistky odpovědnosti? Otázky jsou technické: vícefaktorové ověřování, zálohy, ochrana koncových zařízení, aktualizace, účty správců, bezpečnost e-mailu, reakce na incidenty. Cyber Insurance Express vám pomůže připravit každou odpověď na základě toho, co je skutečně nastaveno ve vašem tenantu Microsoft 365, a jasně vám řekne, na které otázky Microsoft 365 odpovědět nedokáže.
Bezpečnostní dotazník se stal ústřední součástí sjednávání nebo obnovy kybernetického krytí a jen zřídka se na něj dá odpovědět přesně.
Je vícefaktorové ověřování vynuceno pro každý vzdálený přístup a pro každého administrátora? Jsou zálohy uloženy offline nebo jako neměnné a byla vyzkoušena obnova? Používají všechny koncové stanice nástroj pro detekci a reakci? Je vypnuto starší ověřování e-mailu? Majitel firmy, finanční ředitel nebo i vytížený IT generalista tyto odpovědi jen zřídka mají po ruce, a navíc s důkazem.
Dotazník tvoří součást toho, jak pojistitel chápe riziko, které přijímá. Odpověď, která se ukáže jako nepřesná, se může stát předmětem sporu s pojistitelem, zejména po incidentu. Přesné důsledky závisí na vaší smlouvě a na právu, kterým se řídí: ověřte je u svého makléře nebo pojistitele. Co můžete ovlivnit, je přesnost toho, co prohlašujete.
Ověřovat jednotlivě, otázku po otázce, zásady podmíněného přístupu, přiřazení rolí správců, přístupové protokoly poštovních schránek, záznamy DNS pro ověřování e-mailu, dodržování předpisů zařízeními a auditní protokolování znamená hodiny práce v několika administračních portálech. V malé nebo střední firmě tato práce konkuruje všemu ostatnímu, co musí IT tým zvládnout.
Nová žádost, roční obnova, změna makléře nebo pojistitele, výběrové řízení velkého zákazníka, který se ptá na vaše krytí: stejné otázky se vracejí, často jinak formulované. Bez strukturovaného souboru důkazů každé kolo začíná od nuly a dřívější práce se ztrácí.
Každý pojistitel si píše vlastní dotazník a znění se mění od formuláře k formuláři i od roku k roku. Níže uvedená témata jsou ta, která se objevují často. Popisujeme je zde jako opakující se témata, nikoli jako citaci formuláře některého konkrétního pojistitele.
U každého tématu vysvětlujeme, co otázka obvykle ověřuje, co může váš tenant Microsoft 365 doložit jako důkaz a co leží mimo Microsoft 365 a musí být zdokumentováno jinak. Odkazy vedou na veřejnou dokumentaci Microsoftu k dané funkci.
Na co se obvykle ptají: je MFA vyžadováno pro e-mail, vzdálený přístup, cloudové aplikace a pro každý účet správce, s výjimkami nebo bez nich?
Co může Microsoft 365 doložit: zda jsou zapnuta výchozí nastavení zabezpečení (security defaults) nebo které zásady podmíněného přístupu vyžadují MFA, na koho se vztahují a kdo je vyloučen; metody ověřování, které uživatelé zaregistrovali; zda je zablokováno starší ověřování, které MFA nepodporuje.
Mimo M365: VPN, brána Vzdálené plochy nebo firemní aplikace, která se nepřihlašuje přes Microsoft Entra ID, musí být zdokumentována zvlášť.
Na co se obvykle ptají: jsou zálohovány kritické systémy a data, je alespoň jedna kopie izolována od sítě nebo chráněna proti úpravám, jak často, a kdy byla naposledy vyzkoušena obnova?
Co může Microsoft 365 doložit: téměř nic, co by této otázce odpovídalo. Nastavení uchovávání v Microsoft 365 není záloha izolovaná od vašich vlastních administrátorských účtů a nebudeme ji jako takovou prezentovat.
Mimo M365: vaše zálohovací řešení, izolace jeho kopií a zprávy o testech obnovy. Řízený workshop vás požádá, abyste je popsali a připojili své vlastní důkazy; dokument označuje tuto odpověď jako deklarovanou, nikoli měřenou.
Na co se obvykle ptají: jsou všechny pracovní stanice a servery chráněny nástrojem EDR (detekce a reakce na koncových bodech), je tento nástroj monitorován a jsou zařízení šifrována?
Co může Microsoft 365 doložit: pokud jsou zařízení spravována pomocí Microsoft Intune a chráněna Microsoft Defenderem: inventář zařízení, výsledky zásad dodržování předpisů (například šifrování a minimální verze operačního systému) a bezpečnostní doporučení ve Skóre zabezpečení Microsoftu (Microsoft Secure Score).
Mimo M365: EDR třetí strany, nespravovaná zařízení a lokální servery, které nejsou zapojeny do nástrojů Microsoftu. Jsou označeny, nikoli odhadnuty.
Na co se obvykle ptají: jak rychle se instalují bezpečnostní aktualizace, zda se stále používají nepodporované operační systémy a zda se sledují kritické zranitelnosti systémů přístupných z internetu?
Co může Microsoft 365 doložit: u zařízení spravovaných přes Intune pravidla dodržování předpisů pro minimální verze operačního systému a to, která zařízení je nesplňují; u licencovaných účtů doporučení Defenderu.
Mimo M365: síťová zařízení, firewally, servery a aplikace pro provoz firmy a samotný postup aktualizací. Workshop vám pomůže popsat jej srozumitelně.
Na co se obvykle ptají: kolik lidí má práva správce, používají správci pro běžnou práci oddělené účty, je pro ně vyžadováno MFA a je privilegovaný přístup časově omezen nebo schvalován?
Co může Microsoft 365 doložit: kdo drží kterou roli správce Microsoft Entra, zda jsou přiřazení trvalá, nebo oprávněná (eligible) přes Privileged Identity Management (pokud je licencováno), a zda se MFA vztahuje na tyto role.
Mimo M365: místní účty správců na serverech a pracovních stanicích, správci domény v lokálním Active Directory a přístup správců k systémům třetích stran.
Na co se obvykle ptají: jsou nasazeny SPF, DKIM a DMARC, jsou filtrovány phishingové a škodlivé přílohy, jsou vypnuty starší protokoly poštovních schránek a je kontrolováno automatické přeposílání na externí adresy?
Co lze doložit: zveřejněné záznamy SPF a DMARC vašich domén (veřejná data DNS), konfiguraci podepisování DKIM, zásady ochrany Exchange Online a Defender for Office 365 a protokoly povolené u schránek.
Mimo M365: e-mailová brána třetí strany umístěná před Microsoft 365 a školení uživatelů o bezpečnosti, které dokumentujete sami.
Na co se obvykle ptají: existuje písemný plán reakce na incidenty, kdo se volá jako první, byl vyzkoušen, a uchovávají se bezpečnostní protokoly dostatečně dlouho na to, aby šlo incident vyšetřit?
Co může Microsoft 365 doložit: zda je aktivní a prohledatelný jednotný auditní protokol a jaká doba uchovávání se na něj vztahuje. Microsoft uvádí, že Audit (Standard) je u organizací s příslušným předplatným ve výchozím stavu zapnut a uchovává záznamy 180 dní.
Mimo M365: samotný plán. Workshop vytvoří první návrh stručného plánu reakce, včetně, pro organizace ve Francii, povinnosti podat trestní oznámení do 72 hodin (viz níže).
Dotazníky se často ptají také na počet zaměstnanců a uchovávaných záznamů, na předchozí incidenty, na používání poskytovatelů služeb s přístupem k vašim systémům, na šifrování dat a na bezpečnostní školení. Některé z těchto údajů můžete deklarovat jen vy. Jiné, jako nastavení externího sdílení nebo hostovské účty v Microsoft 365, lze změřit.
Microsoft sám u Secure Score uvádí, že skóre není absolutní mírou pravděpodobnosti, že budete napadeni. Měřená nastavení používáme jako důkaz pro konkrétní odpovědi, nikdy jako záruku.
Odkud pochází každá odpověď a jak bude označena ve vašem dokumentu.
| Téma | Odkud pochází důkaz | Označení ve vašem dokumentu |
|---|---|---|
| MFA | Microsoft Entra ID: výchozí nastavení zabezpečení, zásady podmíněného přístupu, zaregistrované metody ověřování, stav staršího ověřování | Měřeno, s výjimkami uvedenými podle názvu zásady nebo skupiny |
| Zálohy | Váš zálohovací nástroj a zprávy o testech obnovy | Deklarováno vámi, s vašimi přílohami |
| Ochrana koncových zařízení | Intune a Defender, pokud jsou používány; jinak konzole vašeho EDR | Měřeno u spravovaných zařízení; deklarováno u ostatních |
| Aktualizace | Výsledky dodržování předpisů v Intune; váš postup pro servery a síťová zařízení | Částečně měřeno, částečně deklarováno |
| Privilegované účty | Přiřazení rolí v Microsoft Entra, Privileged Identity Management tam, kde je licencováno | Měřeno pro Microsoft 365; deklarováno pro lokální prostředí |
| Bezpečnost e-mailu | Veřejný DNS (SPF, DMARC), konfigurace DKIM, zásady Exchange Online a Defender for Office 365 | Měřeno |
| Reakce na incidenty a protokoly | Stav jednotného auditního protokolu; váš písemný plán | Protokoly měřeny; plán navržen na workshopu, ověřen vámi |
Jednoduché pravidlo: nic v dokumentu není prezentováno jako měřené, pokud nebylo změřeno. Otázka, na kterou Microsoft 365 nedokáže odpovědět, zůstává viditelně označena jako taková, aby o tom, co pojistiteli deklarujete, rozhodli vy, a ne nástroj.
Samoobslužný postup ve čtyřech krocích. Od první otázky až po výsledný dokument máte věci pod kontrolou.
Krátký online test: žádáte o kybernetické krytí, obnovujete ho, nebo vyplňujete sekci o IT bezpečnosti v pojistce odpovědnosti nebo jiné smlouvě? Sídlí vaše firma ve Francii, kde platí pravidlo 72 hodin pro trestní oznámení? Které části vašeho IT běží na Microsoft 365? Výsledek vám řekne, která témata se vás týkají a co budete muset shromáždit.
Online workshop vás provede každým tématem. Odpovídáte volně, svým tempem, s vysvětlením, co která otázka znamená a proč se pojistitelé ptají. Tam, kde může Microsoft 365 poskytnout důkaz, je změřený výsledek umístěn vedle vaší odpovědi, takže jakýkoli rozdíl mezi tím, co si myslíte, a tím, co je nastaveno, se ukáže dřív, než cokoli deklarujete.
Dostanete strukturovaný dokument ve jménu vaší firmy: odpovědi podle témat, ke každé připojené důkazy, označené body mimo rozsah a první návrh karty postupu při incidentu. Je to pracovní podklad, který musí před použitím zkontrolovat a schválit váš vlastní poradce, makléř nebo právník.
Pokud chcete druhý pohled, může partnerský konzultant dokument s vámi projít, pomoci uzavřít mezery před obnovou nebo pomoci zdokumentovat body mimo Microsoft 365. Tento krok je volitelný; první tři kroky jsou navrženy tak, abyste je zvládli sami.
Důležité: dokument je pracovní podklad a nepředstavuje právní poradenství. Nenahrazuje dotazník vašeho pojistitele, který vyplňujete a podepisujete sami, a nezavazuje žádného pojistitele k poskytnutí krytí. Přesnost vašeho konečného prohlášení zůstává vaší odpovědností.
Jeden soubor důkazů, upřímný v tom, co bylo změřeno a co ne, který můžete znovu použít při každé obnově.
Jasná odpověď na každé opakující se téma, připravená k přenesení do formuláře vašeho pojistitele.
Nastavení, která podporují každou odpověď, tak, jak byla zjištěna ve vašem tenantu k datu měření.
Tam, kde se vaše odpověď a změřená konfigurace neshodují, se to nejprve ukáže zde.
Krátký první návrh, který doplníte vlastními kontakty a interně schválíte.
Každé právní nebo regulatorní tvrzení v dokumentu odkazuje na svůj oficiální zdroj.
Příští rok změřte znovu a porovnejte, místo abyste začínali od nuly.
Dvě minuty na oddělení právní povinnosti od dobré praxe, vždy s oficiálním zdrojem.
Od 24. dubna 2023 je podle článku L12-10-1 francouzského pojistného zákoníku (Code des assurances) každé pojistné plnění kompenzující ztráty a škody způsobené útokem na systém automatizovaného zpracování dat podmíněno tím, že oběť podá trestní oznámení u příslušných orgánů nejpozději 72 hodin poté, co se o útoku dozvěděla. Lhůta začíná běžet okamžikem, kdy se o útoku dozvíte, ne okamžikem, kdy útok začal.
Toto ustanovení zavedl článek 5 zákona č. 2023-22 ze dne 24. ledna 2023 (známého jako LOPMI). Nikoho nenutí koupit kybernetické pojištění: stanoví podmínku pro vyplacení plnění tehdy, když smlouva kybernetické útoky již kryje.
Informační leták ministerstva vnitra šířený prostřednictvím Cybermalveillance.gouv.fr, francouzské vládní platformy pro oběti kybernetických útoků, připomíná profesionálním obětem, že zákon z roku 2023 je zavazuje podat trestní oznámení, aby si zachovaly právo na náhradu podle své pojistné smlouvy, a to do 72 hodin od okamžiku, kdy se o útoku dozvěděly. Mezi důvody pro podání oznámení uvádí také aktivaci procesu pojistného plnění.
Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) zveřejnila dne 21. února 2024 dokument „Cyber Insurance - Models and methods and the use of AI“ (Kybernetické pojištění - modely, metody a využití AI). Jejím uvedeným cílem je představit kybernetické riziko a kybernetické pojištění, poskytnout přehled existujících výzkumných a modelovacích přístupů a určit mezery pro budoucí výzkum. Je to užitečné pozadí toho, proč se pojistitelé snaží posoudit bezpečnostní úroveň firem, které kryjí.
Pro subjekty spadající do jeho působnosti uvádí článek 21 směrnice (EU) 2022/2555 (NIS2) opatření pro řízení kybernetických rizik, která zahrnují řešení incidentů, kontinuitu činnosti, například správu záloh a obnovu po havárii, základní kybernetickou hygienu a školení, řízení přístupu a použití vícefaktorového ověřování. I mimo NIS2 znamená překryv s tématy pojistitelů, že důkazy, které shromáždíte pro jedno, slouží i druhému.
ANSSI, francouzská národní agentura pro kybernetickou bezpečnost, a AMRAE, francouzská asociace manažerů rizik a pojištění, vydaly pro vedoucí pracovníky příručku „Controlling the digital risk - the trust advantage“, dostupnou v angličtině i francouzštině. Předkládá řízení digitálního rizika jako postup krok za krokem pro organizace všech velikostí, což je přesně rámec, v němž by se měl dotazník pojistitele číst.
Článek 32 GDPR vyžaduje přiměřená technická a organizační opatření, včetně, je-li to vhodné, schopnosti včas obnovit dostupnost osobních údajů po incidentu a postupu pravidelného testování a hodnocení účinnosti těchto opatření. Zálohy, testy obnovy a řízení přístupu tak mají význam daleko přesahující váš pojistný spis.
Mimo Francii: výše uvedené pravidlo 72 hodin pro trestní oznámení je francouzské právo. Jiné země mají vlastní pravidla pro pojištění a hlášení kyberkriminality a vaše smlouva může stanovovat vlastní lhůty pro oznámení. Ověřte je u svého makléře, pojistitele nebo právního poradce. Tato stránka je informační, nikoli právním poradenstvím.
Co obsahuje každá varianta. Dostupnost a podmínky budou zveřejněny při spuštění služby.
Žádáte o kybernetické krytí, nebo poprvé odpovídáte na sekci o IT bezpečnosti.
Dotazník se vrací s obnovou smlouvy a vaše IT se od loňska změnilo.
Nový formulář, jinak formulovaný, ale ptající se na stejná opatření.
Krátké odpovědi, u pravidel s uvedením oficiálního zdroje.
Zdroje ověřeny 13. října 2026. Tam, kde je text ve francouzštině, je překlad na této stránce náš a neoficiální.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender a Purview jsou ochranné známky společnosti Microsoft. Uvádějí se pouze k pojmenování funkcí, z nichž se čtou důkazy. SYAGA Consulting není spojena s Microsoftem, ENISA, ANSSI ani s žádným pojistitelem.
Samoobslužný postup se připravuje. Dotazy mezitím na: contact@syaga.eu
Pracovní podklad, nikoli právní poradenství. Konečné prohlášení vůči pojistiteli a jeho přesnost zůstávají vaší odpovědností.