Kiberbiztosításra jelentkezik, szerződést újít meg, vagy kitölti azt az IT-biztonsági részt, amelyet a szakmai felelősségbiztosítók egyre gyakrabban építenek be? A kérdések technikai jellegűek: többtényezős hitelesítés, biztonsági mentések, végpontvédelem, javítások, rendszergazdai fiókok, e-mail-biztonság, incidenskezelés. A Cyber Insurance Express segít minden választ abból előkészíteni, ami ténylegesen be van állítva a Microsoft 365-bérlőjében, és egyértelműen jelzi, mely kérdésekre nem tud válaszolni a Microsoft 365.
A biztonsági kérdőív központi elemmé vált a kiberbiztosítás megvásárlásakor vagy megújításakor, és pontos kitöltése ritkán egyszerű.
Minden távoli hozzáférésnél és minden rendszergazdai fióknál kötelező a többtényezős hitelesítés? A biztonsági mentések offline vagy módosíthatatlanok, és volt már tesztelt visszaállítás? Minden végponton fut észlelő és válaszadó eszköz? Le van tiltva az örökölt e-mail-hitelesítés? Egy kisvállalkozás tulajdonosának, egy pénzügyi igazgatónak vagy akár egy túlterhelt általános rendszergazdának ritkán van kéznél ezekre a kérdésekre bizonyítékkal alátámasztott válasza.
A kérdőív része annak, ahogyan a biztosító megérti az általa vállalt kockázatot. Egy pontatlannak bizonyuló válasz vita tárgya lehet a biztosítóval, különösen egy incidens után. A pontos következmények a szerződéstől és az azt szabályozó jogtól függenek: ezeket a brókerével vagy biztosítójával egyeztesse. Azt viszont Ön irányíthatja, hogy a nyilatkozata mennyire pontos.
A feltételes hozzáférési szabályzatok, a rendszergazdai szerepkör-kiosztások, a levelezési protokollok, az e-mail-hitelesítéshez szükséges DNS-rekordok, az eszközök megfelelősége és a naplózás egyenkénti, kérdésről kérdésre történő ellenőrzése órákig tartó munka több adminisztrációs felületen. Egy kis- vagy középvállalkozásban ez a munka ütközik mindazzal, amit az IT-csapatnak amúgy is el kell végeznie.
Új igénylés, éves megújítás, brókerváltás vagy biztosítóváltás, egy nagy ügyfél ajánlatkérése, amely a biztosítási fedezetéről kérdez: ugyanazok a kérdések térnek vissza, gyakran más megfogalmazásban. Strukturált bizonyítékdosszié nélkül minden kör nulláról indul, és a korábbi munka elvész.
Minden biztosító saját kérdőívet készít, a megfogalmazás pedig űrlaponként és évenként változik. Az alábbi témák gyakran előkerülnek. Ismétlődő témaként ismertetjük őket, nem egy adott biztosító űrlapjának idézeteként.
Minden témához elmagyarázzuk, mit próbál a kérdés jellemzően megállapítani, mit tud bizonyítékként mutatni a Microsoft 365-bérlője, és mi esik a Microsoft 365-ön kívülre, ezért más módon kell dokumentálni. A hivatkozások a Microsoft érintett funkcióinak nyilvános dokumentációjára mutatnak.
Jellemzően kérdezik: kötelező-e az MFA az e-mailhez, a távoli hozzáféréshez, a felhőalkalmazásokhoz és minden rendszergazdai fiókhoz, kivétel nélkül vagy kivételekkel?
Mit tud mutatni a Microsoft 365: be vannak-e kapcsolva az biztonsági alapértelmezések, vagy mely Feltételes hozzáférési szabályzatok írják elő az MFA-t, kikre vonatkoznak és kik vannak kizárva; a felhasználók által regisztrált hitelesítési módszereket; blokkolva vannak-e az örökölt hitelesítési protokollok, amelyek nem képesek MFA-t továbbítani.
M365-ön kívül: a VPN-t, a távoli asztali átjárót vagy azt az üzleti alkalmazást, amely nem a Microsoft Entra ID-n keresztül jelentkezik be, külön kell dokumentálni.
Jellemzően kérdezik: mentik-e a kritikus rendszereket és adatokat, van-e legalább egy másolat, amely el van szigetelve a hálózattól vagy védett a módosítás ellen, milyen gyakran, és mikor volt utoljára tesztelve a visszaállítás?
Mit tud mutatni a Microsoft 365: keveset, ami erre a kérdésre válaszolna. A Microsoft 365 megtartási beállításai nem tekinthetők a rendszergazdai fiókoktól elszigetelt mentésnek, és mi sem mutatjuk be annak.
M365-ön kívül: a mentési megoldása, másolatainak elszigeteltsége és a visszaállítási teszt jelentései. A vezetett műhelymunka arra kéri, hogy ezeket írja le, és csatolja saját bizonyítékait; a dokumentum ezt a választ önbevallott, nem mért válaszként jelöli.
Jellemzően kérdezik: minden munkaállomást és szervert véd-e végponti észlelő és válaszadó eszköz, figyelik-e, és titkosítottak-e az eszközök?
Mit tud mutatni a Microsoft 365: ha az eszközöket Microsoft Intune-nal kezelik és Microsoft Defenderrel védik, az eszközleltárt, a megfelelőségi szabályzatok eredményeit (például titkosítás és minimális operációs rendszer-verzió), valamint a Microsoft Secure Score-ban jelzett biztonsági javaslatokat.
M365-ön kívül: harmadik féltől származó EDR, nem kezelt eszközök és a Microsoft-eszközökbe nem regisztrált helyszíni szerverek. Ezeket megjelöljük, nem találgatjuk.
Jellemzően kérdezik: milyen gyorsan települnek a biztonsági frissítések, használnak-e még támogatás nélküli operációs rendszereket, és nyomon követik-e a kritikus sebezhetőségeket az internetről elérhető rendszereken?
Mit tud mutatni a Microsoft 365: az Intune-nal kezelt eszközöknél a minimális operációs rendszer-verziókra vonatkozó megfelelőségi szabályokat és azt, mely eszközök nem felelnek meg nekik; licenc esetén a Defender-javaslatokat.
M365-ön kívül: hálózati eszközök, tűzfalak, üzletkritikus szerverek és alkalmazások, valamint maga a javítási eljárás. A műhelymunka segít közérthetően leírni.
Jellemzően kérdezik: hányan rendelkeznek rendszergazdai jogokkal, a rendszergazdák külön fiókot használnak-e a napi munkához, kötelező-e nekik az MFA, és a kiemelt jogosultságú hozzáférés időkorlátos vagy jóváhagyott-e?
Mit tud mutatni a Microsoft 365: kik töltenek be melyik Microsoft Entra rendszergazdai szerepkört, a kiosztások állandók-e, vagy licenc esetén a Privileged Identity Management-en keresztül igényelhetők, és vonatkozik-e az MFA ezekre a szerepkörökre.
M365-ön kívül: a szerverek és munkaállomások helyi rendszergazdai fiókjai, a helyszíni Active Directory tartományi rendszergazdái, valamint a harmadik féltől származó rendszerekhez való rendszergazdai hozzáférés.
Jellemzően kérdezik: be van-e állítva az SPF, a DKIM és a DMARC, szűrik-e az adathalász és a rosszindulatú mellékleteket, le vannak-e tiltva az örökölt levelezési protokollok, és ellenőrzött-e az automatikus továbbítás külső címekre?
Mit lehet bemutatni: a domainjei közzétett SPF- és DMARC-rekordjait (nyilvános DNS-adatok), a DKIM-aláírás beállítását, az Exchange Online és a Defender for Office 365 védelmi szabályzatait, valamint a postafiókokon engedélyezett protokollokat.
M365-ön kívül: a Microsoft 365 elé helyezett harmadik féltől származó e-mail-átjáró, valamint a felhasználói tudatosságnövelő képzés, amelyet Ön dokumentál.
Jellemzően kérdezik: van-e írásos incidenskezelési terv, kit hívnak először, gyakorolták-e már, és a biztonsági naplókat elég ideig őrzik-e a vizsgálathoz?
Mit tud mutatni a Microsoft 365: aktív és kereshető-e az egyesített auditnapló (unified audit log), valamint az arra vonatkozó megtartási idő. A Microsoft dokumentálja, hogy az Audit (Standard) alapértelmezés szerint engedélyezett a megfelelő előfizetéssel rendelkező szervezeteknél, és 180 napig őrzi a rekordokat.
M365-ön kívül: maga a terv. A műhelymunka egy rövid választerv első vázlatát készíti el, Franciaországban működő szervezetek számára a 72 órán belüli feljelentés lépésével együtt (lásd lent).
A kérdőívek gyakran kérdeznek a munkavállalók és a tárolt nyilvántartások számáról, a korábbi incidensekről, a rendszereihez hozzáféréssel rendelkező szolgáltatók használatáról, az adattitkosításról és a biztonsági képzésről is. Ezek egy részét csak Ön vallhatja be. Mások, mint például a külső megosztási beállítások vagy a vendégfiókok a Microsoft 365-ben, mérhetők.
Maga a Microsoft is kimondja, hogy a Secure Score nem abszolút mérőszáma annak, mennyire valószínű a feltörés. Mi a mért beállításokat konkrét válaszok bizonyítékaként használjuk, sosem garanciaként.
Honnan származik az egyes válasz, és hogyan lesz megjelölve a dokumentumában.
| Téma | A bizonyíték forrása | Címke a dokumentumban |
|---|---|---|
| MFA | Microsoft Entra ID: biztonsági alapértelmezések, Feltételes hozzáférési szabályzatok, regisztrált hitelesítési módszerek, az örökölt hitelesítés állapota | Mért, a kivételek szabályzat- vagy csoportnév szerint felsorolva |
| Biztonsági mentések | Az Ön mentési eszköze és a visszaállítási teszt jelentései | Önbevallás, saját mellékletekkel |
| Végpontvédelem | Intune és Defender, ha használják; egyébként az Ön EDR-konzolja | Mért a kezelt eszközöknél; önbevallott a többinél |
| Javítás | Intune-megfelelőségi eredmények; az Ön eljárása szervereknél és hálózati eszközöknél | Részben mért, részben önbevallott |
| Kiemelt jogosultságú fiókok | Microsoft Entra szerepkör-kiosztások, Privileged Identity Management licenc esetén | Microsoft 365-re mért; helyszíni rendszerekre önbevallott |
| E-mail-biztonság | Nyilvános DNS (SPF, DMARC), DKIM-konfiguráció, Exchange Online és Defender for Office 365 szabályzatok | Mért |
| Incidenskezelés és naplók | Az egyesített auditnapló állapota; az Ön írásos terve | A naplók mért adatok; a tervet a műhelymunkában készítik el, Ön hagyja jóvá |
Egyszerű szabály: a dokumentumban semmi sem jelenik meg mértként, ha nem lett megmérve. Azt a kérdést, amelyre a Microsoft 365 nem tud válaszolni, láthatóan így jelöljük meg, hogy Ön, és ne egy eszköz döntse el, mit nyilatkozik a biztosítójának.
Önkiszolgáló út négy lépésben. Az első kérdéstől a végső dokumentumig Ön tartja kézben az irányítást.
Rövid online teszt: kiberbiztosításra jelentkezik, azt újítja meg, vagy egy szakmai felelősségbiztosítás vagy más szerződés IT-biztonsági részét tölti ki? Vállalkozása Franciaországban van, ahol a 72 órás feljelentési szabály érvényes? Az IT-ja mely részei futnak Microsoft 365-ön? Az eredmény megmutatja, mely témák vonatkoznak Önre, és mit kell összegyűjtenie.
Egy online műhelymunka végigvezeti minden témán. Szabadon, saját tempójában válaszol, magyarázatokkal arról, mit jelent az egyes kérdés és miért kérdezik a biztosítók. Ahol a Microsoft 365 bizonyítékot tud adni, a mért eredmény a válasza mellé kerül, így bármilyen eltérés aközött, amit hisz, és ami be van állítva, még a nyilatkozattétel előtt láthatóvá válik.
Strukturált dokumentumot kap a vállalkozása nevében: témánként a válaszokat, mindegyikhez csatolt bizonyítékkal, a Microsoft 365-ön kívül eső pontok megjelölésével, és egy incidenskezelési lap első vázlatával. Ez munkaanyag, amelyet saját tanácsadójának, brókerének vagy jogi képviselőjének át kell néznie és jóvá kell hagynia a felhasználás előtt.
Ha második szempárra van szüksége, egy partnertanácsadó átnézheti Önnel a dokumentumot, segíthet a hiányosságok megszüntetésében a megújítás előtt, vagy abban, hogy dokumentálja a Microsoft 365-ön kívül eső pontokat. Ez a lépés opcionális; az első három lépést úgy terveztük, hogy önállóan elvégezhető legyen.
Fontos: a dokumentum munkaanyag, és nem minősül jogi tanácsadásnak. Nem helyettesíti a biztosítója kérdőívét, amelyet Ön maga tölt ki és ír alá, és nem kötelezi el egyetlen biztosítót sem a fedezetre. A végső nyilatkozat pontossága továbbra is az Ön felelőssége.
Egy bizonyítékdosszié, amely őszinte arról, mi lett megmérve és mi nem, és amelyet minden megújításkor újra felhasználhat.
Minden ismétlődő témára egyértelmű válasz, amelyet át lehet vezetni a biztosítója saját űrlapjába.
A válaszokat alátámasztó beállítások, a mérés napján a bérlőjében talált állapotban.
Ahol a válasza és a mért konfiguráció eltér, az először itt jelenik meg.
Rövid első vázlat, amelyet saját kapcsolataival kell kiegészíteni és belsőleg jóváhagyni.
A dokumentum minden jogi vagy szabályozási állítása a hivatalos forrására mutat.
A következő évben mérjen újra, és hasonlítson össze, ahelyett hogy nulláról kezdené.
Két perc alatt elkülönítjük, mi a jogi szabály és mi a jó gyakorlat, minden esetben a hivatalos forrással.
2023. április 24. óta a francia biztosítási törvénykönyv L12-10-1. cikke szerint a kibertámadás okozta veszteségeket és károkat fedező minden biztosítási kifizetés feltétele, hogy az áldozat a támadásról való tudomásszerzéstől számított legfeljebb 72 órán belül feljelentést tegyen az illetékes hatóságoknál. Az óra attól indul, hogy tudomást szerzett a támadásról, nem attól, hogy az elkezdődött.
A cikket a 2023. január 24-i 2023-22. számú törvény (ismertebb nevén LOPMI) 5. cikke hozta létre. Senkit sem kötelez kiberbiztosítás vásárlására: feltételt szab a kifizetéshez, ha a szerződés már fedezi a kibertámadásokat.
A Cybermalveillance.gouv.fr, a francia kormány kibertámadás-áldozatoknak szóló platformja által terjesztett belügyminisztériumi tájékoztató emlékezteti a szakmai áldozatokat, hogy a 2023-as törvény értelmében a biztosítási szerződésükben szereplő kártérítéshez való jogaik megőrzéséhez feljelentést kell tenniük a támadás tudomásra jutásától számított 72 órán belül. A feljelentés okai között a biztosítási kártérítési igény érvényesítését is megnevezi.
Az Európai Unió Kiberbiztonsági Ügynöksége (ENISA) 2024. február 21-én tette közzé a „Cyber Insurance: Models and methods and the use of AI” című kiadványt. Kitűzött célja a kiberkockázat és a kiberbiztosítás bemutatása, a meglévő kutatási és modellezési megközelítések áttekintése, valamint a jövőbeli kutatások hiányosságainak azonosítása. Háttérinformációként hasznos annak megértéséhez, miért igyekeznek a biztosítók felmérni a fedezetük alá tartozó vállalkozások biztonsági helyzetét.
A hatálya alá tartozó szervezetekre az (EU) 2022/2555 irányelv (NIS2) 21. cikke olyan kiberbiztonsági kockázatkezelési intézkedéseket sorol fel, mint az incidenskezelés, az üzletmenet-folytonosság (például a mentéskezelés és a katasztrófa utáni helyreállítás), az alapvető kiberhigiénia és képzés, a hozzáférés-szabályozás, valamint a többtényezős hitelesítés alkalmazása. A biztosítói témákkal való átfedés miatt az egyik célra gyűjtött bizonyíték a másikat is szolgálja.
Az ANSSI, a francia nemzeti kiberbiztonsági ügynökség, és az AMRAE, a francia kockázat- és biztosításkezelők egyesülete vezetőknek szóló útmutatót adott ki „Controlling the digital risk: the trust advantage” címmel, angolul és franciául. A digitális kockázatkezelést lépésenkénti megközelítésként mutatja be minden méretű szervezet számára, éppen olyan keretben, amelyben egy biztosítói kérdőívet értelmezni érdemes.
A GDPR 32. cikke megfelelő technikai és szervezési intézkedéseket ír elő, beleértve adott esetben a személyes adatok rendelkezésre állásának és a hozzáférésnek incidens utáni, időben történő helyreállítására való képességet, valamint az intézkedések hatékonyságának rendszeres tesztelésére és értékelésére szolgáló eljárást. A mentések, a visszaállítási tesztek és a hozzáférés-szabályozás ezért a biztosítási dossziéján jóval túl is fontosak.
Franciaországon kívül: a fenti 72 órás feljelentési szabály francia jog. Más országoknak saját szabályai vannak a biztosításra és a kiberbűnözés bejelentésére vonatkozóan, a szerződése pedig saját értesítési határidőket határozhat meg. Ezeket a brókerével, biztosítójával vagy jogi tanácsadójával egyeztesse. Ez az oldal tájékoztatás, nem jogi tanácsadás.
Mit tartalmaz az egyes lehetőség. A szolgáltatás elérhetősége és feltételei a szolgáltatás indulásakor kerülnek közzétételre.
Kiberbiztosításra jelentkezik, vagy először tölti ki az IT-biztonsági részt.
A kérdőív a megújítással együtt visszatér, és az IT-ja az elmúlt év óta változott.
Új űrlap, más megfogalmazással, de ugyanazokról a kontrollokról kérdez.
Rövid válaszok, ahol jogszabályról van szó, a hivatalos forrással.
Megtekintés időpontja: 2026. október 13. Ahol a szöveg franciául van, az oldalon szereplő fordítás a miénk, és nem hivatalos.
A Microsoft, a Microsoft 365, a Microsoft Entra, az Intune, a Defender és a Purview a Microsoft védjegyei. Csak azért hivatkozunk rájuk, hogy megnevezzük azokat a funkciókat, amelyekből a bizonyíték származik. A SYAGA Consulting nem áll kapcsolatban a Microsofttal, az ENISA-val, az ANSSI-vel vagy egyetlen biztosítóval sem.
Az önkiszolgáló út előkészítés alatt áll. Addig is kérdés esetén: contact@syaga.eu
Munkaanyag, nem jogi tanácsadás. A biztosítójának tett végső nyilatkozat és annak pontossága továbbra is az Ön felelőssége.