Taotlete küberkindlustust, uuendate poliisi või täidate IT-turvalisuse osa, mida vastutuskindlustuse pakkujad üha sagedamini lisavad? Küsimused on tehnilised: mitmeastmeline autentimine, varundused, lõpp-punkti kaitse, turvavärskenduste paigaldamine, administraatorikontod, e-posti turvalisus, intsidentidele reageerimine. Cyber Insurance Express aitab teil koostada iga vastuse selle põhjal, mis on tegelikult seadistatud teie Microsoft 365 keskkonnas, ning ütleb selgelt, millistele küsimustele Microsoft 365 vastata ei saa.
Turvaküsimustik on küberkindlustuse ostmisel või uuendamisel muutunud keskseks osaks ning sellele täpselt vastamine on harva lihtne.
Kas mitmeastmeline autentimine on kohustuslik igal kaugjuurdepääsul ja igal administraatoril? Kas varundused hoitakse võrgust eraldatuna või muudetamatuna ning kas taastamist on testitud? Kas kõigil lõpp-punktidel töötab tuvastus- ja reageerimistööriist? Kas vananenud e-posti autentimismeetodid on välja lülitatud? Ettevõtte juht, finantsjuht ega isegi hõivatud IT-spetsialist ei ole neile küsimustele tõenditega kinnitatud vastuseid käepärast.
Küsimustik on osa sellest, kuidas kindlustaja mõistab riski, mida ta võtab. Vastus, mis osutub ebatäpseks, võib saada kindlustajaga arutelu teemaks, eriti pärast intsidenti. Täpsed tagajärjed sõltuvad teie lepingust ja seda reguleerivast õigusest: kontrollige neid oma maakleri või kindlustajaga. Teie kontrolli all on see, kui täpne on see, mida deklareerite.
Tingimusliku juurdepääsu poliitikate, administraatorirollide määramiste, postkastide protokollide, e-posti autentimise DNS-kirjete, seadmete vastavuse ja auditilogimise kontrollimine ükshaaval, küsimus küsimuse haaval, on tunde kestev töö mitmes administraatorportaalis. Väikeses või keskmises ettevõttes konkureerib see töö kõige muuga, mida IT-meeskond peab tegema.
Uus taotlus, aastane uuendamine, maakleri või kindlustaja vahetus, suure kliendi hange, mis küsib teie kindlustuskaitse kohta: samad küsimused tulevad tagasi, sageli teistsuguses sõnastuses. Ilma struktureeritud tõendite failita algab iga voor nullist ning varasem töö läheb kaotsi.
Iga kindlustaja koostab oma küsimustiku ning sõnastus muutub vormist ja aastast teise. Allpool on teemad, mis esinevad sageli. Need on siin kirjeldatud korduvate teemadena, mitte mõne konkreetse kindlustaja vormi tsitaadina.
Iga teema puhul selgitame, mida küsimusega tavaliselt välja selgitada soovitakse, mida teie Microsoft 365 keskkond võib tõendina näidata ning mis jääb Microsoft 365-st väljapoole ja tuleb dokumenteerida teisel viisil. Lingid viivad asjaomase funktsiooni Microsofti enda avalikule dokumentatsioonile.
Mida tavaliselt küsitakse: kas MFA on nõutav e-posti, kaugjuurdepääsu, pilverakenduste ja igal administraatorikontol, kas erandite või ilma?
Mida Microsoft 365 näidata saab: kas turvavaikeseaded on sisse lülitatud või millised tingimusliku juurdepääsu poliitikad nõuavad MFA-d, kellele need kehtivad ja kes on välja jäetud; autentimismeetodid, mille kasutajad on registreerinud; kas pärand-autentimisprotokollid, mis ei saa kanda MFA-d, on blokeeritud.
M365-st väljaspool: VPN, kaugtöölaua lüüs või äririst, mis ei logi sisse Microsoft Entra ID kaudu, tuleb dokumenteerida eraldi.
Mida tavaliselt küsitakse: kas kriitilisi süsteeme ja andmeid varundatakse, kas vähemalt üks koopia on võrgust eraldatud või kaitstud muutmise eest, kui sageli ja millal taastamist viimati testiti?
Mida Microsoft 365 näidata saab: vähe, mis sellele küsimusele vastaks. Microsoft 365 säilitusseaded ei ole varundus, mis oleks eraldatud teie enda administraatorikontodest, ning seda ei tohiks sellisena esitada.
M365-st väljaspool: teie varunduslahendus, selle koopiate eraldatus ja taastamistestide aruanded. Juhendatud töötuba palub teil need kirjeldada ja lisada oma tõendid ning dokument märgistab selle vastuse kui deklareeritud, mitte mõõdetud.
Mida tavaliselt küsitakse: kas kõiki tööjaamu ja servereid kaitseb lõpp-punkti tuvastus- ja reageerimistööriist, kas seda jälgitakse ning kas seadmed on krüpteeritud?
Mida Microsoft 365 näidata saab: kui seadmeid hallatakse Microsoft Intune'iga ja kaitstakse Microsoft Defenderiga, seadmete inventar, vastavuspoliitika tulemused (näiteks krüpteerimine ja minimaalne operatsioonisüsteemi versioon) ning Microsoft Secure Score'is esitatud turvasoovitused.
M365-st väljaspool: kolmanda osapoole EDR, hallamata seadmed ja kohapealsed serverid, mis ei ole Microsofti tööriistadesse registreeritud. Need on märgitud, mitte oletatud.
Mida tavaliselt küsitakse: kui kiiresti turvavärskendusi paigaldatakse, kas kasutusel on veel toetuseta operatsioonisüsteeme ning kas internetile avatud süsteemide kriitilisi haavatavusi jälgitakse?
Mida Microsoft 365 näidata saab: Intune'iga hallatud seadmete puhul vastavusreeglid minimaalsete operatsioonisüsteemi versioonide kohta ja see, millised seadmed neid ei täida; litsentsi olemasolul Defenderi soovitused.
M365-st väljaspool: võrguseadmed, tulemüürid, äriserverid ja -rakendused ning teie enda värskenduste paigaldamise kord. Töötuba aitab seda kirjeldada lihtsas keeles.
Mida tavaliselt küsitakse: mitmel inimesel on administraatoriõigused, kas administraatorid kasutavad igapäevatööks eraldi kontosid, kas neile on MFA nõutav ning kas privilegeeritud juurdepääs on ajaliselt piiratud või kinnitatud?
Mida Microsoft 365 näidata saab: kellel on milline Microsoft Entra administraatorirolli, kas määramised on püsivad või kvalifitseeruvad Privileged Identity Managementi kaudu (litsentsi olemasolul) ning kas MFA kehtib nendele rollidele.
M365-st väljaspool: kohalikud administraatorikontod serverites ja tööjaamades, domeeniadministraatorid kohapealses Active Directory'is ja administraatorijuurdepääs kolmanda osapoole süsteemidele.
Mida tavaliselt küsitakse: kas SPF, DKIM ja DMARC on paigas, kas andmepüügikirju ja pahatahtlikke manuseid filtreeritakse, kas pärand-postkastiprotokollid on välja lülitatud ning kas automaatset edastamist välisaadressidele kontrollitakse?
Mida saab näidata: teie domeenide avaldatud SPF- ja DMARC-kirjed (avalikud DNS-andmed), DKIM-allkirjastamise seadistus, Exchange Online'i ja Defender for Office 365 kaitsepoliitikad ning postkastidel lubatud protokollid.
M365-st väljaspool: Microsoft 365 ette paigutatud kolmanda osapoole e-posti lüüs ja kasutajate teadlikkuse koolitus, mida dokumenteerite ise.
Mida tavaliselt küsitakse: kas on kirjalik intsidendile reageerimise plaan, kes kutsutakse esimesena, kas seda on harjutatud ning kas turvalogisid hoitakse piisavalt kaua uurimiseks?
Mida Microsoft 365 näidata saab: kas ühtne auditilogi on aktiivne ja otsitav ning sellele kehtiv säilitusaeg. Microsoft dokumenteerib, et Audit (Standard) on asjakohase tellimusega organisatsioonidel vaikimisi sisse lülitatud ja hoiab kirjeid 180 päeva.
M365-st väljaspool: plaan ise. Töötuba koostab lühikese reageerimisplaani esimese mustandi, sealhulgas Prantsusmaa organisatsioonide puhul meeldetuletust esitada 72 tunni jooksul kuriteoteade (vt allpool).
Küsimustikud küsivad sageli ka töötajate arvu ja hoitavate andmete mahu, varasemate intsidentide, teenusepakkujate kasutamise kohta, kellel on juurdepääs teie süsteemidele, andmete krüpteerimise ja turvakoolituse kohta. Osa neist on faktid, mida ainult teie saate deklareerida. Teised, näiteks Microsoft 365 väliste jagamisseaded või külalisekontod, on mõõdetavad.
Microsoft Secure Score ise ütleb, et see ei ole absoluutne mõõdik selle kohta, kui tõenäoliselt teid rünnatakse. Kasutame mõõdetud seadeid tõenditena konkreetsete vastuste jaoks, mitte kunagi garantiina.
Kust iga vastus pärineb ja kuidas see teie dokumendis märgistatakse.
| Teema | Kust tõendid pärinevad | Märgis teie dokumendis |
|---|---|---|
| MFA | Microsoft Entra ID: turvavaikeseaded, tingimusliku juurdepääsu poliitikad, registreeritud autentimismeetodid, pärand-autentimise staatus | Mõõdetud, erandid loetletud poliitika või grupi nime järgi |
| Varundused | Teie varundustööriist ja taastamistestide aruanded | Deklareeritud teie poolt, koos teie lisadega |
| Lõpp-punktide kaitse | Intune ja Defender, kui kasutusel; muidu teie EDR-konsool | Hallatud seadmete puhul mõõdetud; muu osas deklareeritud |
| Turvavärskendused | Intune'i vastavustulemused; teie kord serverite ja võrguseadmete jaoks | Osaliselt mõõdetud, osaliselt deklareeritud |
| Privilegeeritud kontod | Microsoft Entra rollide määramised, Privileged Identity Management litsentsi olemasolul | Microsoft 365 puhul mõõdetud; kohapealse osa puhul deklareeritud |
| E-posti turvalisus | Avalik DNS (SPF, DMARC), DKIM-seadistus, Exchange Online'i ja Defender for Office 365 poliitikad | Mõõdetud |
| Intsidendile reageerimine ja logid | Ühtse auditilogi staatus; teie kirjalik plaan | Logid mõõdetud; plaan koostatud töötoas, kinnitatud teie poolt |
Lihtne reegel: dokumendis ei esitata midagi mõõdetuna, kui seda ei ole mõõdetud. Küsimus, millele Microsoft 365 ei suuda vastata, jääb nähtavalt sellisena märgitud, et teie, mitte tööriist, otsustaksite, mida kindlustajale deklareerida.
Iseteeninduslik tee neljas etapis. Olete kontrolli all esimesest küsimusest lõpliku dokumendini.
Lühike veebitest: kas taotlete küberkindlustust, uuendate seda või täidate IT-turvalisuse osa vastutuskindlustuse või mõne muu poliisi küsimustikust? Kas teie ettevõte asub Prantsusmaal, kus kehtib 72-tunnise kuriteoteate reegel? Millised osad teie IT-st töötavad Microsoft 365-s? Tulemus näitab, millised teemad teie kohta kehtivad ja mida teil tuleb koguda.
Veebitöötuba juhatab teid läbi igast teemast. Vastate vabalt, oma tempos, selgitustega selle kohta, mida iga küsimus tähendab ja miks kindlustajad seda küsivad. Kui Microsoft 365 saab tõendeid pakkuda, asetatakse mõõdetud tulemus teie vastuse kõrvale, nii et kõik lahknevused selle vahel, mida usute, ja sellest, mis on tegelikult seadistatud, muutuvad nähtavaks enne mistahes deklareerimist.
Saate oma ettevõtte nimel struktureeritud dokumendi: vastused teemade kaupa, igale lisatud tõendid, väljapoole ulatuvad punktid märgitud ning intsidendile reageerimise lehe esimese mustandi. See on töö alus, mida teie enda nõustaja, maakler või jurist peab enne kasutamist üle vaatama ja kinnitama.
Kui soovite teist paari silmi, võib partnerkonsultant dokumendi teiega üle vaadata, aidata lüngad enne uuendamist sulgeda või aidata dokumenteerida punktid, mis jäävad Microsoft 365-st väljapoole. See samm on valikuline; esimesed kolm sammu on mõeldud läbiviimiseks iseseisvalt.
Oluline: dokument on töö alus ega ole õigusnõuanne. See ei asenda teie kindlustaja küsimustikku, mille täidate ja allkirjastate ise, ega kohusta ühtegi kindlustajat teid katma. Teie lõpliku deklaratsiooni täpsus jääb teie vastutusele.
Üks tõendite fail, mis on aus selle suhtes, mis on mõõdetud ja mis mitte, ja mida saate igal uuendamisel uuesti kasutada.
Selge vastus igale korduvale teemale, valmis kantavaks üle teie kindlustaja enda vormi.
Seaded, mis toetavad iga vastust, nii nagu need olid teie keskkonnas mõõtmiskuupäeval.
Kui teie vastus ja mõõdetud seadistus lahknevad, ilmub see siia esimesena.
Lühike esimene mustand, mida täiendada oma kontaktidega ja kinnitada organisatsioonisiseselt.
Iga õigusliku või regulatiivse väite juures dokumendis on viide ametlikule allikale.
Järgmisel aastal mõõdetakse uuesti ja võrreldakse, selle asemel et alustada nullist.
Kaks minutit, et eristada õiguslikku nõuet heast tavast, igal korral koos ametliku allikaga.
Alates 24. aprillist 2023 muudab Prantsuse kindlustusseadustiku artikkel L12-10-1 iga kindlustushüvitise väljamakse, mis hüvitab automatiseeritud andmetöötlussüsteemi vastu suunatud rünnakust tekitatud kahju, sõltuvaks sellest, et kannatanu esitab pädevatele asutustele kuriteoteate hiljemalt 72 tunni jooksul pärast rünnakust teadasaamist. Tähtaeg algab sellest, kui te rünnakust teada saate, mitte sellest, kui see algas.
Artikli lisas 24. jaanuari 2023. aasta seaduse nr 2023-22 (LOPMI) artikkel 5. See ei kohusta kedagi ostma küberkindlustust: see seab tingimuse hüvitise saamiseks juhul, kui leping juba katab küberrünnakud.
Cybermalveillance.gouv.fr, Prantsuse valitsuse küberohvrite platvormi kaudu levitatav siseministeeriumi infoleht tuletab kutselistele ohvritele meelde, et 2023. aasta seadus nõuab neilt kuriteoteate esitamist, et säilitada õigus hüvitisele oma kindlustuslepingu alusel, 72 tunni jooksul pärast rünnakust teadasaamist. Samuti loetleb see kindlustushüvitise menetluse käivitamist kuriteoteate esitamise põhjustena.
Euroopa Liidu Küberturvalisuse Agentuur (ENISA) avaldas 21. veebruaril 2024 dokumendi „Cyber Insurance - Models and methods and the use of AI“. Selle väljendatud eesmärk on tutvustada küberriski ja küberkindlustust, anda ülevaade olemasolevatest uuringutest ja modelleerimisviisidest ning tuvastada lüngad tulevaste uuringute jaoks. See on kasulik taustteave selle kohta, miks kindlustajad püüavad hinnata oma kaitstavate ettevõtete turvalisust.
Oma reguleerimisalasse kuuluvate üksuste puhul loetleb direktiivi (EL) 2022/2555 (NIS2) artikkel 21 küberturvalisuse riskijuhtimise meetmeid, mis hõlmavad intsidentidega tegelemist, äritegevuse jätkuvust, nagu varunduse haldus ja katastroofijärgne taastamine, põhilist küberhügieeni ja koolitust, juurdepääsukontrolli ning mitmeastmelise autentimise kasutamist. Isegi väljaspool NIS2-t tähendab kattuvus kindlustajate teemadega, et ühe jaoks kogutud tõendid teenivad ka teist.
ANSSI, Prantsuse riiklik küberturvalisuse amet, ja AMRAE, Prantsuse riski- ja kindlustusjuhtide ühing, avaldasid juhtidele mõeldud juhendi „Controlling the digital risk - the trust advantage“, mis on saadaval inglise ja prantsuse keeles. See esitab digitaalse riskijuhtimise sammhaaval lähenemisena kõigi suuruste organisatsioonidele ning just selles raamis tuleks kindlustaja küsimustikku lugeda.
IKÜM artikkel 32 nõuab asjakohaseid tehnilisi ja korralduslikke meetmeid, sealhulgas vajaduse korral isikuandmete kättesaadavuse ja juurdepääsetavuse õigeaegse taastamise võimet pärast intsidenti ning korda nende meetmete tõhususe regulaarseks testimiseks ja hindamiseks. Varundused, taastamistestid ja juurdepääsukontroll on seetõttu oluline palju kaugemal kui teie kindlustustoimik.
Väljaspool Prantsusmaad: ülaltoodud 72-tunnine kuriteoteate reegel on Prantsuse õigus. Teistel riikidel on oma reeglid kindlustuse ja küberkuritegude teatamise kohta ning teie leping võib seada oma teavitamistähtajad. Kontrollige neid oma maakleri, kindlustaja või juriidilise nõustajaga. See leht on teave, mitte õigusnõuanne.
Mis iga valik sisaldab. Saadavus ja tingimused avaldatakse teenuse avamisel.
Taotlete küberkindlustust või vastate IT-turvalisuse osale esmakordselt.
Küsimustik tuleb uuendamisega tagasi ja teie IT on möödunud aastast saadik muutunud.
Uus vorm, teistsuguse sõnastusega, kuid küsib samade kontrollide kohta.
Lühikesed vastused, kus on tegemist reegliga, koos ametliku allikaga.
Vaadatud 13. oktoobril 2026. Kui tekst on prantsuse keeles, on selle tõlge sellel lehel meie oma ja mitteametlik.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender ja Purview on Microsofti kaubamärgid. Neid tsiteeritakse ainult selleks, et nimetada funktsioone, millest tõendeid loetakse. SYAGA Consulting ei ole seotud Microsofti, ENISA, ANSSI ega ühegi kindlustajaga.
Iseteeninduslikku teed ette valmistatakse. Küsimused vahepeal: contact@syaga.eu
Töö alus, mitte õigusnõuanne. Lõplik deklaratsioon kindlustajale ja selle täpsus jäävad teie vastutusele.