Sklapate kibernetičko osiguranje, obnavljate policu ili ispunjavate dio o IT sigurnosti u obrascu koji sve češće traže i osiguravatelji profesionalne odgovornosti? Pitanja su tehnička: višefaktorska provjera autentičnosti, sigurnosne kopije, zaštita krajnjih uređaja, nadogradnje i ispravci, administratorski računi, sigurnost e-pošte, odgovor na incidente. Cyber Insurance Express pomaže vam pripremiti svaki odgovor na temelju onoga što je stvarno konfigurirano u vašem Microsoft 365 zakupcu i jasno vam kaže na koja pitanja Microsoft 365 ne može odgovoriti.
Sigurnosni upitnik postao je središnji dio kupnje ili obnove kibernetičkog osiguranja, a rijetko ga je lako točno ispuniti.
Vrijedi li višefaktorska provjera autentičnosti za svaki udaljeni pristup i svakog administratora? Čuvaju li se sigurnosne kopije izvan mreže ili su nepromjenjive i je li vraćanje podataka ikad testirano? Koristi li svaki krajnji uređaj alat za detekciju i odgovor? Je li isključena zastarjela provjera autentičnosti e-pošte? Vlasnik tvrtke, financijski direktor pa čak i zaposleni IT generalist rijetko imaju te odgovore pri ruci, a kamoli s dokazima.
Upitnik je dio načina na koji osiguravatelj procjenjuje rizik koji preuzima. Odgovor koji se pokaže netočnim može postati predmet spora s osiguravateljem, osobito nakon incidenta. Točne posljedice ovise o vašem ugovoru i mjerodavnom pravu: provjerite ih s posrednikom ili osiguravateljem. Na što možete utjecati jest točnost onoga što izjavljujete.
Provjera pravila uvjetnog pristupa, dodjela administratorskih uloga, protokola poštanskih sandučića, DNS zapisa za provjeru autentičnosti e-pošte, usklađenosti uređaja i zapisnika revizije, jedno po jedno, pitanje po pitanje, višesatni je posao u nekoliko administratorskih portala. U maloj ili srednjoj tvrtki taj se posao natječe sa svime ostalim što IT tim mora obaviti.
Nova prijava, godišnja obnova, promjena posrednika ili osiguravatelja, natječaj velikog kupca koji pita o vašem osiguranju: ista se pitanja vraćaju, često drugačije formulirana. Bez strukturirane datoteke dokaza svaki krug kreće od nule, a prethodno obavljen posao se gubi.
Svaki osiguravatelj piše vlastiti upitnik, a formulacije se mijenjaju od obrasca do obrasca i od godine do godine. Teme u nastavku su one koje se često pojavljuju. Ovdje su opisane kao ponavljajuća tematska područja, a ne kao citat obrasca nekog konkretnog osiguravatelja.
Za svaku temu objašnjavamo što pitanje obično nastoji utvrditi, što vaš Microsoft 365 zakupac može pokazati kao dokaz i što je izvan usluge Microsoft 365 pa se mora dokumentirati na drugi način. Poveznice vode na Microsoftovu javnu dokumentaciju o dotičnoj značajki.
Što se obično pita: je li MFA obvezan za e-poštu, za udaljeni pristup, za oblačne aplikacije i za svaki administratorski račun, s iznimkama ili bez njih?
Što Microsoft 365 može pokazati: jesu li uključene zadane sigurnosne postavke ili koja pravila uvjetnog pristupa zahtijevaju MFA, na koga se primjenjuju i tko je izuzet; metode provjere autentičnosti koje su korisnici registrirali; je li blokirana zastarjela provjera autentičnosti, koja ne podržava MFA.
Izvan M365: VPN, pristupnik za udaljenu radnu površinu ili poslovna aplikacija koja se ne prijavljuje putem Microsoft Entra ID-a mora se zasebno dokumentirati.
Što se obično pita: jesu li kritični sustavi i podaci sigurnosno kopirani, je li barem jedna kopija izolirana od mreže ili zaštićena od izmjene, koliko često se kopira i kada je vraćanje zadnji put testirano?
Što Microsoft 365 može pokazati: malo toga što odgovara na to pitanje. Postavke zadržavanja u Microsoft 365 nisu sigurnosna kopija izolirana od vaših vlastitih administratorskih računa i nećemo je tako predstavljati.
Izvan M365: vaše rješenje za sigurnosne kopije, izolacija njegovih kopija i izvješća o testovima vraćanja. Vođena radionica traži da ih opišete i priložite vlastite dokaze, a dokument ovaj odgovor označava kao izjavljen, a ne izmjeren.
Što se obično pita: jesu li sva radna mjesta i poslužitelji zaštićeni alatom za detekciju i odgovor na krajnjim točkama, prati li se on i jesu li uređaji šifrirani?
Što Microsoft 365 može pokazati: kada se uređajima upravlja pomoću Microsoft Intunea i štite ih Microsoft Defender, inventar uređaja, rezultate pravila usklađenosti (primjerice šifriranje i minimalnu verziju operacijskog sustava) te sigurnosne preporuke prijavljene u Microsoft Secure Score.
Izvan M365: EDR treće strane, neupravljani uređaji i lokalni poslužitelji koji nisu uključeni u Microsoftove alate. Oni se označavaju, a ne pogađaju.
Što se obično pita: koliko se brzo primjenjuju sigurnosne nadogradnje, koriste li se još operacijski sustavi bez podrške i prate li se kritične ranjivosti na sustavima izloženima internetu?
Što Microsoft 365 može pokazati: za uređaje kojima se upravlja putem Intunea, pravila usklađenosti o minimalnim verzijama operacijskog sustava i koji uređaji ta pravila ne zadovoljavaju; tamo gdje je licencirano, preporuke Defendera.
Izvan M365: mrežna oprema, vatrozidi, poslužitelji i aplikacije poslovne namjene te sam vaš postupak nadogradnje. Radionica vam pomaže da ga opišete običnim jezikom.
Što se obično pita: koliko osoba ima administratorska prava, koriste li administratori zasebne račune za svakodnevni rad, zahtijeva li se za njih MFA i je li privilegirani pristup vremenski ograničen ili se odobrava po zahtjevu?
Što Microsoft 365 može pokazati: tko ima koju administratorsku ulogu u Microsoft Entra ID-u, jesu li dodjele trajne ili „prihvatljive“ (eligible) putem usluge Privileged Identity Management (tamo gdje je licencirano) i primjenjuje li se MFA na te uloge.
Izvan M365: lokalni administratorski računi na poslužiteljima i radnim stanicama, administratori domene u lokalnom Active Directoryju te administratorski pristup sustavima trećih strana.
Što se obično pita: jesu li postavljeni SPF, DKIM i DMARC, filtriraju li se pokušaji krađe identiteta i zlonamjerni privitci, jesu li zastarjeli protokoli poštanskih sandučića isključeni i kontrolira li se automatsko preusmjeravanje na vanjske adrese?
Što se može pokazati: objavljeni SPF i DMARC zapisi vaših domena (javni DNS podaci), konfiguracija DKIM potpisivanja, pravila zaštite Exchange Online i Defender for Office 365 te protokoli dopušteni na poštanskim sandučićima.
Izvan M365: pristupnik e-pošte treće strane postavljen ispred Microsofta 365 te osposobljavanje korisnika, koje sami dokumentirate.
Što se obično pita: postoji li pisani plan odgovora na incidente, tko se zove prvi, je li proba provedena i čuvaju li se sigurnosni zapisi dovoljno dugo za istragu?
Što Microsoft 365 može pokazati: je li objedinjeni zapisnik revizije uključen i može li se pretraživati te koje se razdoblje zadržavanja na njega primjenjuje. Microsoft dokumentira da je Audit (Standard) prema zadanim postavkama uključen za organizacije s odgovarajućom pretplatom i da zapise čuva 180 dana.
Izvan M365: sam plan. Radionica izrađuje prvi nacrt kratkog plana odgovora, uključujući, za organizacije u Francuskoj, obvezu podnošenja prijave u roku od 72 sata (vidi dolje).
Upitnici često pitaju i o broju zaposlenika te količini podataka koje držite, prethodnim incidentima, korištenju pružatelja usluga s pristupom vašim sustavima, šifriranju podataka i sigurnosnoj obuci. Neke od tih činjenica možete izjaviti samo vi. Druge, poput postavki vanjskog dijeljenja ili gostujućih računa u Microsoft 365, mogu se izmjeriti.
Sam Microsoft Secure Score navodi da nije apsolutna mjera koliko je vjerojatno da ćete biti meta proboja. Izmjerene postavke koristimo kao dokaz za određene odgovore, nikada kao jamstvo.
Odakle dolazi svaki odgovor i kako će biti označen u vašem dokumentu.
| Tema | Odakle dolazi dokaz | Oznaka u vašem dokumentu |
|---|---|---|
| MFA | Microsoft Entra ID: zadane sigurnosne postavke, pravila uvjetnog pristupa, registrirane metode provjere autentičnosti, stanje zastarjele provjere autentičnosti | Izmjereno, s iznimkama navedenima po nazivu pravila ili grupe |
| Sigurnosne kopije | Vaš alat za sigurnosne kopije i izvješća o testovima vraćanja | Izjavljeno od vas, uz vaše priloge |
| Zaštita krajnjih uređaja | Intune i Defender, kada se koriste; inače vaša EDR konzola | Izmjereno za upravljane uređaje; izjavljeno za ostale |
| Nadogradnje | Rezultati usklađenosti u Intuneu; vaš postupak za poslužitelje i mrežnu opremu | Djelomično izmjereno, djelomično izjavljeno |
| Privilegirani računi | Dodjele uloga u Microsoft Entra ID-u, Privileged Identity Management tamo gdje je licencirano | Izmjereno za Microsoft 365; izjavljeno za lokalne sustave |
| Sigurnost e-pošte | Javni DNS (SPF, DMARC), konfiguracija DKIM-a, pravila usluga Exchange Online i Defender for Office 365 | Izmjereno |
| Odgovor na incidente i zapisi | Stanje objedinjenog zapisnika revizije; vaš pisani plan | Zapisi izmjereni; plan izrađen na radionici, a potvrđujete ga vi |
Jednostavno pravilo: ništa u dokumentu ne predstavlja se kao izmjereno ako nije izmjereno. Pitanje na koje Microsoft 365 ne može odgovoriti ostaje vidljivo označeno kao takvo, kako biste vi, a ne alat, odlučili što ćete izjaviti svom osiguravatelju.
Samoposlužni put u četiri koraka. Od prvog pitanja do konačnog dokumenta cijelo vrijeme ostajete u kontroli.
Kratki online test: sklapate li kibernetičko osiguranje, obnavljate li ga ili odgovarate na dio o IT sigurnosti za policu osiguranja profesionalne odgovornosti ili neku drugu policu? Je li vaša tvrtka u Francuskoj, gdje vrijedi pravilo o prijavi u roku od 72 sata? Koji dijelovi vašeg IT-a rade na Microsoft 365? Rezultat vam kaže koja se područja odnose na vas i što ćete morati prikupiti.
Online radionica vodi vas kroz svako tematsko područje. Odgovarate slobodno, vlastitim tempom, uz objašnjenja što svako pitanje znači i zašto ga osiguravatelji postavljaju. Tamo gdje Microsoft 365 može pružiti dokaz, izmjereni se rezultat prikazuje uz vaš odgovor, pa se svako odstupanje između onoga što vjerujete i onoga što je zapravo konfigurirano vidi prije nego što išta izjavite.
Dobivate strukturirani dokument u ime vaše tvrtke: odgovori po temama, uz svaki priložen dokaz, označene točke izvan opsega i nacrt podsjetnika za postupanje pri incidentu. Riječ je o radnoj podlozi koju vaš savjetnik, posrednik ili pravni savjetnik mora pregledati i potvrditi prije upotrebe.
Ako želite drugo mišljenje, partnerski konzultant može s vama pregledati dokument, pomoći otkloniti praznine prije obnove ili dokumentirati točke koje su izvan usluge Microsoft 365. Ovaj je korak izborni; prva tri koraka osmišljena su tako da ih možete dovršiti sami.
Važno: dokument je radna podloga i ne predstavlja pravni savjet. Ne zamjenjuje upitnik vašeg osiguravatelja, koji sami ispunjavate i potpisujete, i ne obvezuje nijednog osiguravatelja da vas pokrije. Točnost vaše konačne izjave ostaje vaša odgovornost.
Jedna datoteka dokaza, iskrena u pogledu onoga što je izmjereno, a što nije, koju možete ponovno upotrijebiti pri svakoj obnovi.
Jasan odgovor za svako ponavljajuće tematsko područje, spreman za prijenos u vlastiti obrazac vašeg osiguravatelja.
Postavke koje potkrepljuju svaki odgovor, onakve kakve su zatečene u vašem zakupcu na datum mjerenja.
Ako se vaš odgovor i izmjerena konfiguracija ne podudaraju, to se prvo prikazuje ovdje.
Kratak prvi nacrt koji dovršavate vlastitim kontaktima i interno potvrđujete.
Svaka pravna ili regulatorna tvrdnja u dokumentu upućuje na svoj službeni izvor.
Sljedeće godine izmjerite ponovno i usporedite umjesto da krenete ispočetka.
Dvije minute da odvojite što je pravno pravilo od dobre prakse, uz službeni izvor svaki put.
Od 24. travnja 2023. članak L12-10-1 Zakonika o osiguranju uvjetuje svaku isplatu osiguranja koja nadoknađuje gubitke i štetu uzrokovane napadom na sustav automatizirane obrade podataka time da žrtva podnese prijavu nadležnim tijelima najkasnije 72 sata nakon što sazna za napad. Rok počinje teći kada saznate za napad, a ne kada je on započeo.
Članak je uveden člankom 5. Zakona br. 2023-22 od 24. siječnja 2023. (poznat kao LOPMI). Nikoga ne obvezuje na kupnju kibernetičkog osiguranja: postavlja uvjet za isplatu kada ugovor već pokriva kibernetičke napade.
Informativni list francuskog ministarstva unutarnjih poslova, distribuiran preko Cybermalveillance.gouv.fr, francuske državne platforme za žrtve kibernetičkih napada, podsjeća profesionalne žrtve da ih zakon iz 2023. obvezuje na podnošenje prijave kako bi sačuvale pravo na naknadu prema ugovoru o osiguranju, u roku od 72 sata nakon što saznaju za napad. Među razlozima za podnošenje prijave navodi i pokretanje postupka naknade osiguranja.
Agencija Europske unije za kibernetičku sigurnost (ENISA) objavila je 21. veljače 2024. dokument „Cyber Insurance - Models and methods and the use of AI“. Njegov je navedeni cilj uvesti čitatelja u kibernetički rizik i kibernetičko osiguranje, dati pregled postojećih istraživačkih i modelskih pristupa te utvrditi praznine za buduća istraživanja. Koristan je kao pozadina zašto osiguravatelji nastoje procijeniti sigurnosno stanje tvrtki koje osiguravaju.
Za subjekte obuhvaćene njezinim područjem primjene, članak 21. Direktive (EU) 2022/2555 (NIS2) navodi mjere upravljanja kibernetičkim sigurnosnim rizicima, među kojima su rješavanje incidenata, kontinuitet poslovanja (primjerice upravljanje sigurnosnim kopijama i oporavak nakon katastrofe), osnovna kiberhigijena i osposobljavanje, kontrola pristupa te uporaba višefaktorske provjere autentičnosti. Čak i izvan područja primjene NIS2, preklapanje s temama osiguravatelja znači da dokazi koje prikupite za jedno služe i za drugo.
ANSSI, francuska nacionalna agencija za kibernetičku sigurnost, i AMRAE, francusko udruženje za upravljanje rizicima i osiguranje, objavili su vodič za upravu „Controlling the digital risk - the trust advantage“, dostupan na engleskom i francuskom. Digitalni rizik prikazuje kao pristup po koracima za organizacije svih veličina, a upravo je to okvir u kojem treba čitati upitnik osiguravatelja.
Članak 32. GDPR-a zahtijeva odgovarajuće tehničke i organizacijske mjere, uključujući, prema potrebi, sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka nakon incidenta te postupak redovitog testiranja, ocjenjivanja i evaluacije učinkovitosti tih mjera. Sigurnosne kopije, testovi vraćanja i kontrola pristupa stoga su važni daleko izvan dokumentacije za osiguravatelja.
Izvan Francuske: gore opisano pravilo o prijavi u roku od 72 sata francusko je pravo. Druge zemlje imaju vlastita pravila o osiguranju i prijavi kibernetičkog kriminala, a vaš ugovor može odrediti vlastite rokove za obavijest. Provjerite ih s posrednikom, osiguravateljem ili pravnim savjetnikom. Ova stranica je informacija, a ne pravni savjet.
Što sadrži svaka opcija. Dostupnost i uvjeti bit će objavljeni kada usluga bude otvorena.
Prijavljujete se za kibernetičko osiguranje ili prvi put odgovarate na dio o IT sigurnosti.
Upitnik se vraća uz vašu obnovu, a vaš IT se od prošle godine promijenio.
Novi obrazac, drugačije formuliran, ali pita o istim kontrolama.
Kratki odgovori, uz službeni izvor gdje je riječ o pravilu.
Pregledano 13. listopada 2026. Gdje je tekst na francuskom, prijevod na ovoj stranici je naš i neslužben.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender i Purview zaštitni su znakovi tvrtke Microsoft. Navode se samo radi imenovanja značajki iz kojih se čitaju dokazi. SYAGA Consulting nije povezan s Microsoftom, ENISA-om, ANSSI-jem niti s bilo kojim osiguravateljem.
Samoposlužni put je u pripremi. Za pitanja u međuvremenu: contact@syaga.eu
Radna podloga, a ne pravni savjet. Konačna izjava vašem osiguravatelju i njezina točnost ostaju vaša odgovornost.