Haetko kybervakuutusta, uusitko vakuutuksen vai täytätkö IT-turvallisuusosion, jonka ammatillisen vastuuvakuutuksen vakuuttajat nykyään yhä useammin lisäävät? Kysymykset ovat teknisiä: monivaiheinen todentaminen, varmuuskopiot, päätelaitteiden suojaus, päivitykset, järjestelmänvalvojatilit, sähköpostiturvallisuus ja tietoturvapoikkeamien käsittely. Cyber Insurance Express auttaa valmistelemaan jokaisen vastauksen sen perusteella, mitä Microsoft 365 -vuokraajassasi todella on määritetty, ja kertoo selvästi, mihin kysymyksiin Microsoft 365 ei pysty vastaamaan.
Turvallisuuskysely on noussut keskeiseksi osaksi kybervakuutuksen ostamista tai uusimista, eikä siihen ole helppo vastata oikein.
Vaaditaanko monivaiheinen todentaminen jokaiselle etäkäytölle ja jokaiselle järjestelmänvalvojalle? Ovatko varmuuskopiot offline-tilassa tai muuttumattomia, ja onko palautus testattu? Käyttääkö jokainen päätelaite EDR-työkalua? Onko vanha sähköpostin todennus poistettu käytöstä? Yrityksen omistajalla, talousjohtajalla tai kiireisellä IT-yleisasiantuntijallakaan ei yleensä ole näitä vastauksia valmiina todisteineen.
Kyselyn avulla vakuuttaja arvioi ottamansa riskin. Vastaus, joka osoittautuu virheelliseksi, voi nousta esiin vakuuttajan kanssa käytävässä keskustelussa, erityisesti tietoturvatapahtuman jälkeen. Tarkat seuraukset riippuvat sopimuksestasi ja sitä hallitsevasta laista: tarkista ne välittäjältäsi tai vakuuttajaltasi. Sinun hallittavissasi on se, kuinka tarkasti ilmoitat.
Ehdollisen käytön käytäntöjen, järjestelmänvalvojaroolien, postilaatikkoprotokollien, sähköpostin todennuksen DNS-tietueiden, laitteiden vaatimustenmukaisuuden ja tarkastuslokituksen tarkistaminen yksi kerrallaan, kysymys kerrallaan, on tuntien työtä useissa hallintaportaaleissa. Pienessä tai keskisuuressa yrityksessä tämä työ kilpailee kaiken muun kanssa, mitä IT-tiimin on tehtävä.
Uusi hakemus, vuosittainen uusinta, välittäjän tai vakuuttajan vaihto, suuren asiakkaan tarjouskilpailu, jossa kysytään vakuutuksestasi: samat kysymykset palaavat, usein eri sanamuodoin. Ilman jäsenneltyä todistusaineistoa jokainen kierros alkaa alusta ja aiempi työ katoaa.
Jokainen vakuuttaja laatii oman kyselynsä, ja sanamuodot vaihtelevat lomakkeesta ja vuodesta toiseen. Alla olevat teemat ovat niitä, jotka toistuvat usein. Ne on kuvattu toistuvina teemoina, eikä niitä esitetä minkään tietyn vakuuttajan lomakkeen lainauksina.
Jokaisen teeman kohdalla selitämme, mitä kysymyksellä yleensä pyritään selvittämään, mitä Microsoft 365 -vuokraajasi voi näyttää todisteena ja mikä jää Microsoft 365:n ulkopuolelle ja on dokumentoitava muulla tavalla. Linkit osoittavat Microsoftin omaan julkiseen dokumentaatioon kyseisestä ominaisuudesta.
Mitä yleensä kysytään: vaaditaanko MFA sähköpostiin, etäkäyttöön, pilvisovelluksiin ja jokaiselle järjestelmänvalvojatilille, ilman poikkeuksia vai niiden kanssa?
Mitä Microsoft 365 voi näyttää: ovatko suojausoletukset käytössä vai mitkä Ehdollisen käytön käytännöt vaativat MFA:n, keihin ne kohdistuvat ja keitä on jätetty niiden ulkopuolelle; käyttäjien rekisteröimät todennusmenetelmät; ovatko vanhat todennusprotokollat, joihin MFA ei sovi, estetty.
M365:n ulkopuolella: VPN, etätyöpöytäyhdyskäytävä tai liiketoimintasovellus, joka ei kirjaudu Microsoft Entra ID:n kautta, on dokumentoitava erikseen.
Mitä yleensä kysytään: varmuuskopioidaanko kriittiset järjestelmät ja data, onko vähintään yksi kopio eristetty verkosta tai suojattu muokkaamiselta, kuinka usein, ja milloin palautus testattiin viimeksi?
Mitä Microsoft 365 voi näyttää: tuskin mitään tähän kysymykseen. Microsoft 365:n säilytysasetukset eivät ole varmuuskopio, joka on eristetty omilta järjestelmänvalvojatileiltäsi, emmekä esitä niitä sellaisena.
M365:n ulkopuolella: varmuuskopiointiratkaisusi, sen kopioiden eristäminen ja palautustestiesi raportit. Ohjattu työpaja pyytää sinua kuvaamaan ne ja liittämään omat todisteesi, ja asiakirja merkitsee tämän vastauksen ilmoitetuksi, ei mitatuksi.
Mitä yleensä kysytään: onko kaikki työasemat ja palvelimet suojattu EDR-työkalulla, valvotaanko sitä, ja ovatko laitteet salattuja?
Mitä Microsoft 365 voi näyttää: kun laitteita hallitaan Microsoft Intunella ja suojataan Microsoft Defenderilla: laiteluettelo, vaatimustenmukaisuuskäytäntöjen tulokset (esimerkiksi salaus ja käyttöjärjestelmän vähimmäisversio) sekä Microsoft Secure Scoressa raportoidut turvallisuussuositukset.
M365:n ulkopuolella: kolmannen osapuolen EDR, hallitsemattomat laitteet ja paikallispalvelimet, joita ei ole rekisteröity Microsoftin työkaluihin. Ne merkitään, eikä niitä arvata.
Mitä yleensä kysytään: kuinka nopeasti tietoturvapäivitykset asennetaan, onko yhä käytössä käyttöjärjestelmiä, joiden tuki on päättynyt, ja seurataanko kriittisiä haavoittuvuuksia internetiin näkyvillä järjestelmillä?
Mitä Microsoft 365 voi näyttää: Intunella hallittujen laitteiden käyttöjärjestelmän vähimmäisversioita koskevat vaatimustenmukaisuussäännöt ja se, mitkä laitteet eivät niitä täytä; lisensoidussa käytössä Defenderin suositukset.
M365:n ulkopuolella: verkkolaitteet, palomuurit, liiketoimintapalvelimet ja -sovellukset sekä itse päivitysmenettelysi. Työpaja auttaa kuvaamaan sen selkeällä kielellä.
Mitä yleensä kysytään: kuinka moni henkilö hallitsee järjestelmänvalvojaoikeuksia, käyttävätkö järjestelmänvalvojat erillisiä tilejä päivittäiseen työhön, vaaditaanko heiltä MFA, ja onko etuoikeutettu pääsy aikarajoitettua tai hyväksyttyä?
Mitä Microsoft 365 voi näyttää: kuka hallitsee mitäkin Microsoft Entra -järjestelmänvalvojarooleja, ovatko roolit pysyviä vai aktivoitavissa tarvittaessa Privileged Identity Managementin kautta (lisensoidussa käytössä), ja koskeeko MFA näitä rooleja.
M365:n ulkopuolella: paikalliset järjestelmänvalvojatilit palvelimilla ja työasemilla, toimialueen järjestelmänvalvojat paikallisessa Active Directoryssä sekä järjestelmänvalvojan pääsy kolmannen osapuolen järjestelmiin.
Mitä yleensä kysytään: ovatko SPF, DKIM ja DMARC käytössä, suodatetaanko tietojenkalastelu ja haitalliset liitteet, onko vanhat postilaatikkoprotokollat poistettu käytöstä ja hallitaanko automaattista edelleenlähetystä ulkopuolisiin osoitteisiin?
Mitä voidaan näyttää: toimialueidesi julkaistut SPF- ja DMARC-tietueet (julkinen DNS-data), DKIM-allekirjoituksen määritys, Exchange Online- ja Defender for Office 365 -suojauskäytännöt sekä postilaatikoissa sallitut protokollat.
M365:n ulkopuolella: kolmannen osapuolen sähköpostiyhdyskäytävä Microsoft 365:n edessä sekä käyttäjien tietoisuuskoulutus, jonka dokumentoit itse.
Mitä yleensä kysytään: onko kirjallinen poikkeamien käsittelysuunnitelma, keneen otetaan yhteyttä ensimmäisenä, onko sitä harjoiteltu, ja säilytetäänkö tietoturvalokeja riittävän kauan tutkintaa varten?
Mitä Microsoft 365 voi näyttää: onko yhtenäinen tarkastuskirjaus käytössä ja haettavissa, ja mikä sen säilytysaika on. Microsoft dokumentoi, että Audit (Standard) on oletuksena käytössä organisaatioissa, joilla on sopiva tilaus, ja että se säilyttää tietueet 180 päivää.
M365:n ulkopuolella: itse suunnitelma. Työpaja tuottaa lyhyen vastaussuunnitelman luonnoksen, mukaan lukien Ranskassa toimiville organisaatioille 72 tunnin kuluessa tehtävän rikosilmoituksen (katso alla).
Kyselyt kysyvät usein myös työntekijöiden ja tallennettujen tietueiden määrää, aiempia tapahtumia, palveluntarjoajien käyttöä, joilla on pääsy järjestelmiisi, tietojen salausta ja tietoturvakoulutusta. Osa näistä on tosiasioita, jotka vain sinä voit ilmoittaa. Toiset, kuten ulkoisen jakamisen asetukset tai Microsoft 365:n vierastilit, voidaan mitata.
Microsoft Secure Score itse toteaa, ettei se ole absoluuttinen mitta siitä, kuinka todennäköisesti joudut tietomurron kohteeksi. Käytämme mitattuja asetuksia todisteina tietyille vastauksille, emme koskaan takuuna.
Mistä kunkin vastauksen tieto tulee ja miten se merkitään asiakirjassasi.
| Teema | Mistä todiste tulee | Merkintä asiakirjassasi |
|---|---|---|
| MFA | Microsoft Entra ID: suojausoletukset, Ehdollisen käytön käytännöt, rekisteröidyt todennusmenetelmät, vanhan todennuksen tila | Mitattu, poikkeukset nimettyinä käytännön tai ryhmän mukaan |
| Varmuuskopiot | Varmuuskopiointityökalusi ja palautustestiesi raportit | Ilmoittamasi, omilla liitteilläsi |
| Päätelaitteiden suojaus | Intune ja Defender, kun käytössä; muutoin EDR-konsolisi | Mitattu hallituille laitteille; ilmoitettu muille |
| Päivitykset | Intunen vaatimustenmukaisuustulokset; palvelimien ja verkkolaitteiden menettelysi | Osittain mitattu, osittain ilmoitettu |
| Etuoikeutetut tilit | Microsoft Entra -roolien määritykset, Privileged Identity Management lisensoidussa käytössä | Mitattu Microsoft 365:lle; ilmoitettu paikallisille järjestelmille |
| Sähköpostiturvallisuus | Julkinen DNS (SPF, DMARC), DKIM-määritys, Exchange Online- ja Defender for Office 365 -käytännöt | Mitattu |
| Poikkeamien käsittely ja lokit | Yhtenäisen tarkastuslokin tila; kirjallinen suunnitelmasi | Lokit mitattu; suunnitelma laadittu työpajassa, sinä hyväksyt |
Yksinkertainen sääntö: mitään asiakirjassa ei esitetä mitattuna, ellei sitä ole mitattu. Kysymys, johon Microsoft 365 ei voi vastata, pysyy näkyvästi merkittynä, jotta sinä, etkä työkalu, päätät, mitä vakuuttajallesi ilmoitetaan.
Itsepalveluna etenevä polku neljässä vaiheessa. Pysyt hallinnassa ensimmäisestä kysymyksestä lopulliseen asiakirjaan.
Lyhyt verkkotesti: haetko kybervakuutusta, uusitko sitä vai vastaatko IT-turvallisuusosioon ammatillisessa vastuuvakuutuksessa tai muussa vakuutuksessa? Sijaitseeko yrityksesi Ranskassa, jossa 72 tunnin rikosilmoitussääntö on voimassa? Mitkä IT-järjestelmäsi osat toimivat Microsoft 365:ssä? Tulos kertoo, mitkä teemat koskevat sinua ja mitä sinun kannattaa koota.
Verkkotyöpaja opastaa sinut läpi jokaisen teeman. Vastaat vapaasti omassa tahdissasi, ja saat selityksen kunkin kysymyksen merkityksestä ja siitä, miksi vakuuttajat kysyvät sitä. Kun Microsoft 365 voi antaa todisteita, mitattu tulos asetetaan vastauksesi viereen, jolloin kaikki erot sen välillä, mitä uskot ja mitä on todella määritetty, näkyvät ennen kuin ilmoitat mitään.
Saat jäsennellyn asiakirjan yrityksesi nimissä: vastaukset teemoittain, kuhunkin liitetty todiste, Microsoft 365:n ulkopuoliset kohdat merkittyinä ja luonnos poikkeamien käsittelylomakkeesta. Se on työpohja, jonka oma neuvonantajasi, välittäjäsi tai lakimiehesi tarkistaa ja hyväksyy ennen käyttöä.
Jos haluat toisen näkökulman, kumppanikonsultti voi käydä asiakirjan kanssasi läpi, auttaa sulkemaan aukkoja ennen uusintaa tai auttaa dokumentoimaan Microsoft 365:n ulkopuoliset kohdat. Tämä vaihe on valinnainen; kolme ensimmäistä vaihetta on suunniteltu tehtäviksi itsenäisesti.
Tärkeää: asiakirja on työpohja eikä muodosta oikeudellista neuvontaa. Se ei korvaa vakuuttajasi kyselyä, jonka täytät ja allekirjoitat itse, eikä se sido yhtäkään vakuuttajaa korvaamaan vahinkoa. Lopullisen ilmoituksesi tarkkuus on edelleen sinun vastuullasi.
Yksi todistusaineisto, joka kertoo rehellisesti, mitä mitattiin ja mitä ei, ja jonka voit käyttää uudelleen joka uusinnassa.
Selkeä vastaus kullekin toistuvalle teemalle, valmis siirrettäväksi vakuuttajasi omaan lomakkeeseen.
Kunkin vastauksen tukena olevat asetukset sellaisina kuin ne olivat vuokraajassasi mittauspäivänä.
Kun vastauksesi ja mitattu kokoonpano eivät vastaa toisiaan, ero näkyy ensin täällä.
Lyhyt ensimmäinen luonnos, jonka täydennät omilla yhteystiedoillasi ja hyväksytät sisäisesti.
Jokainen oikeudellinen tai sääntelyä koskeva väite asiakirjassa viittaa viralliseen lähteeseensä.
Ensi vuonna mitataan uudelleen ja verrataan, sen sijaan että aloitettaisiin alusta.
Kaksi minuuttia: erottele lakisääteinen velvoite hyvästä käytännöstä, ja jokaisella kerralla virallinen lähde.
24. huhtikuuta 2023 alkaen Ranskan vakuutuslain (Code des assurances) L12-10-1 artikla tekee kaikki vakuutuskorvaukset, jotka korvaavat tietojenkäsittelyjärjestelmään kohdistuvan hyökkäyksen aiheuttamia tappioita ja vahinkoja, ehdolliseksi sille, että uhri tekee rikosilmoituksen toimivaltaisille viranomaisille viimeistään 72 tuntia sen jälkeen, kun hän on saanut tietää hyökkäyksestä. Määräaika alkaa, kun tiedät hyökkäyksestä, ei silloin kun se alkoi.
Artikla lisättiin 24. tammikuuta 2023 annetun lain nro 2023-22 (LOPMI) 5 artiklalla. Se ei velvoita ketään ostamaan kybervakuutusta: se asettaa ehdon korvauksen saamiselle silloin, kun sopimus kattaa jo kyberhyökkäykset.
Cybermalveillance.gouv.fr -palvelun, Ranskan hallituksen kyberuhrien alustan, kautta jaettu sisäministeriön tiedote muistuttaa ammatillisia uhreja siitä, että vuoden 2023 laki edellyttää rikosilmoituksen tekemistä 72 tunnin kuluessa hyökkäyksen tietoon saamisesta, jotta vakuutussopimuksen mukainen korvausoikeus säilyy. Siinä luetellaan myös vakuutuskorvausprosessin aktivointi yhtenä rikosilmoituksen tekemisen syistä.
Euroopan unionin kyberturvallisuusvirasto (ENISA) julkaisi 21. helmikuuta 2024 julkaisun "Cyber Insurance - Models and methods and the use of AI". Sen ilmoitettu tavoite on esitellä kyberriski ja kybervakuutus, antaa yleiskatsaus olemassa oleviin tutkimus- ja mallinnusmenetelmiin sekä tunnistaa aukot tulevaa tutkimusta varten. Se on hyödyllinen tausta sille, miksi vakuuttajat pyrkivät arvioimaan vakuuttamiensa yritysten tietoturvatilannetta.
Direktiivin soveltamisalaan kuuluville toimijoille direktiivin (EU) 2022/2555 (NIS2) 21 artikla luettelee kyberturvallisuusriskien hallintatoimenpiteitä. Niihin kuuluvat tapahtumien käsittely, liiketoiminnan jatkuvuus kuten varmuuskopioiden hallinta ja katastrofista palautuminen, kyberhygienian perusteet ja koulutus, pääsynhallinta sekä monivaiheisen todentamisen käyttö. Myös NIS2:n soveltamisalan ulkopuolella vakuuttajien teemat menevät osin päällekkäin, joten yhtä varten kerätty todiste palvelee myös toista.
Ranskan kansallinen kyberturvallisuusvirasto ANSSI ja riski- ja vakuutusjohtajien ranskalainen yhdistys AMRAE julkaisivat johtajille suunnatun oppaan "Controlling the digital risk - the trust advantage", saatavilla englanniksi ja ranskaksi. Se esittää digitaalisen riskin hallinnan vaiheittaisena lähestymistapana kaikenkokoisille organisaatioille, ja juuri tässä kehyksessä vakuuttajan kyselyä tulisi lukea.
GDPR:n 32 artikla edellyttää asianmukaisia teknisiä ja organisatorisia toimenpiteitä, mukaan lukien tarvittaessa kyky palauttaa henkilötietojen saatavuus ajoissa tapahtuman jälkeen sekä prosessi, jolla näiden toimenpiteiden tehokkuutta testataan ja arvioidaan säännöllisesti. Varmuuskopiot, palautustestit ja pääsynhallinta ovat siis tärkeitä paljon kybervakuutushakemuksesi ulkopuolellakin.
Ranskan ulkopuolella: yllä oleva 72 tunnin rikosilmoitussääntö on ranskalaista lakia. Muilla mailla on omat sääntönsä vakuutuksista ja kyberrikosten ilmoittamisesta, ja sopimuksesi voi asettaa omat ilmoitusaikansa. Tarkista ne välittäjältäsi, vakuuttajaltasi tai oikeudelliselta neuvonantajaltasi. Tämä sivu on tietoa, ei oikeudellista neuvontaa.
Mitä kukin vaihtoehto sisältää. Saatavuus ja ehdot julkaistaan, kun palvelu avautuu.
Haet kybervakuutusta tai vastaat IT-turvallisuusosioon ensimmäistä kertaa.
Kysely palaa uusinnan yhteydessä, ja IT-ympäristösi on muuttunut viime vuodesta.
Uusi lomake, joka on muotoiltu toisin mutta kysyy samoista hallintakeinoista.
Lyhyet vastaukset; kun kyse on säännöstä, mukana on virallinen lähde.
Tarkistettu 13. lokakuuta 2026. Jos teksti on ranskankielinen, tämän sivun käännös on meidän ja epävirallinen.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender ja Purview ovat Microsoftin tavaramerkkejä. Ne on mainittu vain nimeämään ominaisuudet, joista todisteet luetaan. SYAGA Consulting ei ole kytköksissä Microsoftiin, ENISAan, ANSSIin eikä mihinkään vakuuttajaan.
Itsepalvelupolkua valmistellaan. Kysymykset sillä välin: contact@syaga.eu
Työpohja, ei oikeudellista neuvontaa. Vakuuttajallesi tehtävä lopullinen ilmoitus ja sen tarkkuus ovat edelleen sinun vastuullasi.