Stai richiedendo un'assicurazione cyber, rinnovando una polizza o compilando la sezione sulla sicurezza informatica che oggi le assicurazioni di responsabilità civile professionale includono sempre più spesso? Le domande sono tecniche: autenticazione a più fattori, backup, protezione degli endpoint, aggiornamento delle patch, account amministratore, sicurezza della posta elettronica, risposta agli incidenti. Cyber Insurance Express ti aiuta a preparare ogni risposta a partire da ciò che è effettivamente configurato nel tuo tenant Microsoft 365, e ti dice chiaramente a quali domande Microsoft 365 non può rispondere.
Il questionario di sicurezza è diventato una parte centrale nell'acquisto o nel rinnovo della copertura cyber, e raramente è facile rispondere in modo accurato.
L'autenticazione a più fattori è obbligatoria per ogni accesso remoto e per ogni amministratore? I backup sono conservati offline o immutabili, e un ripristino è stato testato? Tutti gli endpoint eseguono uno strumento di rilevamento e risposta? L'autenticazione legacy della posta elettronica è disattivata? Un titolare d'azienda, un direttore finanziario o anche un responsabile IT generalista raramente hanno queste risposte a portata di mano, con le relative prove.
Il questionario concorre a determinare come l'assicuratore valuta il rischio che assume. Una risposta che si rivela inesatta può diventare un motivo di contestazione con l'assicuratore, soprattutto dopo un incidente. Le conseguenze esatte dipendono dal tuo contratto e dalla legge che lo regola: verificale con il tuo broker o assicuratore. Ciò su cui hai il controllo è l'accuratezza di ciò che dichiari.
Verificare una per una, domanda per domanda, le policy di accesso condizionale, le assegnazioni dei ruoli amministrativi, i protocolli delle cassette postali, i record DNS per l'autenticazione della posta, la conformità dei dispositivi e la registrazione dei log di controllo, significa ore di lavoro su diversi portali di amministrazione. In una piccola o media impresa, questo lavoro compete con tutto il resto che il team IT deve fare.
Nuova richiesta, rinnovo annuale, cambio di broker o assicuratore, gara indetta da un grande cliente che chiede informazioni sulla tua copertura: le stesse domande tornano, spesso formulate in modo diverso. Senza un fascicolo di prove strutturato, ogni volta si riparte da zero e il lavoro precedente va perso.
Ogni assicuratore redige il proprio questionario, e la formulazione cambia da un modulo all'altro e da un anno all'altro. I temi qui sotto sono quelli che ricorrono più spesso. Sono descritti come temi ricorrenti, non come citazione del modulo di un particolare assicuratore.
Per ogni tema spieghiamo che cosa la domanda cerca di accertare, che cosa il tuo tenant Microsoft 365 può mostrare come prova e che cosa resta al di fuori di Microsoft 365 e va documentato in altro modo. I link rimandano alla documentazione pubblica di Microsoft sulla funzionalità in questione.
Cosa viene di solito chiesto: l'MFA è richiesta per la posta elettronica, per l'accesso remoto, per le applicazioni cloud e per ogni account amministratore, con o senza eccezioni?
Cosa può mostrare Microsoft 365: se sono attive le impostazioni di sicurezza predefinite o quali policy di Accesso condizionale richiedono l'MFA, a chi si applicano e chi ne è escluso; i metodi di autenticazione registrati dagli utenti; se i protocolli di autenticazione legacy, che non supportano l'MFA, sono bloccati.
Fuori da M365: una VPN, un gateway di desktop remoto o un'applicazione aziendale che non effettua l'accesso tramite Microsoft Entra ID deve essere documentata separatamente.
Cosa viene di solito chiesto: i sistemi e i dati critici sono sottoposti a backup, almeno una copia è isolata dalla rete o protetta contro le modifiche, con quale frequenza, e quando è stato testato per l'ultima volta un ripristino?
Cosa può mostrare Microsoft 365: poco che risponda a questa domanda. Le impostazioni di conservazione di Microsoft 365 non sono un backup isolato dai tuoi account amministratore, e non le presenteremo come tali.
Fuori da M365: la tua soluzione di backup, l'isolamento delle sue copie e i report dei test di ripristino. Il workshop guidato ti chiede di descriverli e di allegare le tue prove, e il documento etichetta questa risposta come dichiarata, non misurata.
Cosa viene di solito chiesto: tutte le postazioni di lavoro e i server sono protetti da uno strumento di rilevamento e risposta degli endpoint, è monitorato, e i dispositivi sono cifrati?
Cosa può mostrare Microsoft 365: quando i dispositivi sono gestiti con Microsoft Intune e protetti con Microsoft Defender, l'inventario dei dispositivi, i risultati delle policy di conformità (ad esempio cifratura e versione minima del sistema operativo) e le raccomandazioni di sicurezza riportate in Microsoft Secure Score.
Fuori da M365: un EDR di terze parti, i dispositivi non gestiti e i server on-premises non registrati negli strumenti Microsoft. Vengono segnalati, non supposti.
Cosa viene di solito chiesto: con quale rapidità vengono applicati gli aggiornamenti di sicurezza, sono ancora in uso sistemi operativi non più supportati, e le vulnerabilità critiche sui sistemi esposti a internet sono monitorate?
Cosa può mostrare Microsoft 365: per i dispositivi gestiti con Intune, le regole di conformità sulle versioni minime del sistema operativo e quali dispositivi non le rispettano; dove è disponibile la licenza, le raccomandazioni di Defender.
Fuori da M365: apparecchiature di rete, firewall, server e applicazioni di business, e la tua stessa procedura di patch. Il workshop ti aiuta a descriverla in linguaggio semplice.
Cosa viene di solito chiesto: quante persone detengono i diritti di amministratore, gli amministratori usano account separati per il lavoro quotidiano, l'MFA è richiesta per loro, e l'accesso privilegiato è limitato nel tempo o approvato?
Cosa può mostrare Microsoft 365: chi detiene quale ruolo amministrativo di Microsoft Entra, se le assegnazioni sono permanenti o eleggibili tramite Privileged Identity Management (dove è disponibile la licenza), e se l'MFA si applica a questi ruoli.
Fuori da M365: gli account di amministratore locale su server e postazioni di lavoro, gli amministratori di dominio in un Active Directory on-premises, e l'accesso amministrativo a sistemi di terze parti.
Cosa viene di solito chiesto: sono attivi SPF, DKIM e DMARC, vengono filtrati phishing e allegati dannosi, i protocolli legacy delle cassette postali sono disattivati, e l'inoltro automatico verso indirizzi esterni è controllato?
Cosa si può mostrare: i record SPF e DMARC pubblicati dei tuoi domini (dati DNS pubblici), la configurazione della firma DKIM, le policy di protezione di Exchange Online e Defender per Office 365, e i protocolli consentiti sulle cassette postali.
Fuori da M365: un gateway di posta di terze parti posto davanti a Microsoft 365, e la formazione di sensibilizzazione degli utenti, che documenti tu stesso.
Cosa viene di solito chiesto: esiste un piano scritto di risposta agli incidenti, chi viene chiamato per primo, è stato testato con un'esercitazione, e i log di sicurezza sono conservati abbastanza a lungo da permettere le indagini?
Cosa può mostrare Microsoft 365: se il log di controllo unificato è attivo e consultabile, e il periodo di conservazione che gli si applica. Microsoft documenta che Controllo (Standard) è attivato per impostazione predefinita per le organizzazioni con l'abbonamento appropriato e conserva i record per 180 giorni.
Fuori da M365: il piano in sé. Il workshop produce una prima bozza di un breve piano di risposta, che include, per le organizzazioni in Francia, la denuncia da sporgere entro 72 ore (vedi sotto).
I questionari chiedono spesso anche il numero di dipendenti e di registrazioni detenute, gli incidenti precedenti, l'uso di fornitori di servizi con accesso ai tuoi sistemi, la cifratura dei dati e la formazione sulla sicurezza. Alcuni di questi sono fatti che solo tu puoi dichiarare. Altri, come le impostazioni di condivisione esterna o gli account ospiti in Microsoft 365, possono essere misurati.
Lo stesso Microsoft Secure Score precisa che non è una misura assoluta della probabilità di subire una violazione. Usiamo le impostazioni misurate come prova per risposte specifiche, mai come garanzia.
Da dove proviene ogni risposta e come sarà etichettata nel tuo documento.
| Tema | Da dove provengono le prove | Etichetta nel tuo documento |
|---|---|---|
| MFA | Microsoft Entra ID: impostazioni di sicurezza predefinite, policy di Accesso condizionale, metodi di autenticazione registrati, stato dell'autenticazione legacy | Misurata, con le eccezioni elencate per nome di policy o gruppo |
| Backup | Il tuo strumento di backup e i report dei test di ripristino | Dichiarata da te, con i tuoi allegati |
| Protezione degli endpoint | Intune e Defender, se utilizzati; altrimenti la console del tuo EDR | Misurata per i dispositivi gestiti; dichiarata per il resto |
| Patch | Risultati di conformità di Intune; la tua procedura per server e apparecchiature di rete | In parte misurata, in parte dichiarata |
| Account privilegiati | Assegnazioni di ruoli di Microsoft Entra, Privileged Identity Management dove è disponibile la licenza | Misurata per Microsoft 365; dichiarata per l'on-premises |
| Sicurezza della posta | DNS pubblico (SPF, DMARC), configurazione DKIM, policy di Exchange Online e Defender per Office 365 | Misurata |
| Risposta agli incidenti e log | Stato del log di controllo unificato; il tuo piano scritto | Log misurati; piano redatto nel workshop, convalidato da te |
Regola chiara: nulla nel documento viene presentato come misurato se non è stato misurato. Una domanda a cui Microsoft 365 non può rispondere resta visibilmente contrassegnata come tale, in modo che sia tu, e non uno strumento, a decidere cosa dichiarare al tuo assicuratore.
Un percorso self-service in quattro passaggi. Mantieni il controllo dalla prima domanda al documento finale.
Un breve test online: stai richiedendo una copertura cyber, la stai rinnovando o stai rispondendo alla sezione sulla sicurezza informatica di una polizza di responsabilità civile professionale o di un'altra polizza? La tua azienda ha sede in Francia, dove si applica la regola delle 72 ore per la denuncia? Quali parti della tua infrastruttura IT usano Microsoft 365? Il risultato ti indica quali temi ti riguardano e cosa dovrai raccogliere.
Un workshop online ti accompagna attraverso ogni tema. Rispondi liberamente, con i tuoi tempi, con spiegazioni su ciò che ogni domanda significa e sul motivo per cui gli assicuratori la pongono. Dove Microsoft 365 può fornire prove, il risultato misurato viene affiancato alla tua risposta, così qualsiasi differenza tra ciò che credi e ciò che è configurato diventa visibile prima di dichiarare qualsiasi cosa.
Ricevi un documento strutturato a nome della tua azienda: risposte tema per tema, le prove allegate a ciascuna, i punti fuori perimetro segnalati e una prima bozza di scheda di risposta agli incidenti. È una base di lavoro, da rivedere e convalidare con il tuo consulente, broker o legale prima di utilizzarla.
Se desideri un secondo parere, un consulente partner può rivedere il documento con te, aiutarti a colmare le lacune prima del rinnovo o aiutarti a documentare i punti che restano fuori da Microsoft 365. Questo passaggio è facoltativo; i primi tre sono pensati per essere completati autonomamente.
Importante: il documento è una base di lavoro e non costituisce consulenza legale. Non sostituisce il questionario del tuo assicuratore, che compili e firmi tu stesso, e non impegna alcun assicuratore a garantirti la copertura. L'accuratezza della tua dichiarazione finale resta di tua responsabilità.
Un unico fascicolo di prove, trasparente su ciò che è stato misurato e su ciò che non lo è, che puoi riutilizzare a ogni rinnovo.
Una risposta chiara per ciascun tema ricorrente, pronta da riportare nel modulo del tuo assicuratore.
Le impostazioni che supportano ogni risposta, così come risultano nel tuo tenant alla data della misurazione.
Quando la tua risposta e la configurazione misurata non coincidono, la differenza emerge qui per prima.
Una breve prima bozza da completare con i tuoi contatti e da convalidare internamente.
Ogni affermazione giuridica o normativa nel documento rimanda alla sua fonte ufficiale.
L'anno successivo, misura di nuovo e confronta, invece di ricominciare da zero.
Due minuti per distinguere ciò che è obbligo di legge da ciò che è buona prassi, con la fonte ufficiale ogni volta.
Dal 24 aprile 2023, l'articolo L12-10-1 del Code des assurances francese subordina ogni pagamento assicurativo che indennizzi perdite e danni causati da un attacco a un sistema di elaborazione automatizzata dei dati alla condizione che la vittima sporga denuncia presso le autorità competenti entro 72 ore dal momento in cui ne è venuta a conoscenza. Il termine decorre dal momento in cui vieni a conoscenza dell'attacco, non da quando è iniziato.
L'articolo è stato introdotto dall'articolo 5 della legge n. 2023-22 del 24 gennaio 2023 (nota come LOPMI). Non obbliga nessuno ad acquistare un'assicurazione cyber: stabilisce una condizione per essere pagati quando un contratto copre già i cyberattacchi.
Una scheda informativa del Ministero dell'Interno, diffusa tramite Cybermalveillance.gouv.fr, la piattaforma governativa francese per le vittime di attacchi informatici, ricorda alle vittime professionali che la legge del 2023 impone di sporgere denuncia per preservare il diritto all'indennizzo previsto dal contratto assicurativo, entro 72 ore dal momento in cui si è venuti a conoscenza dell'attacco. Tra i motivi per sporgere denuncia indica anche l'attivazione della procedura di indennizzo assicurativo.
L'Agenzia dell'Unione europea per la cybersicurezza (ENISA) ha pubblicato "Cyber Insurance - Models and methods and the use of AI" il 21 febbraio 2024. Il suo obiettivo dichiarato è introdurre il rischio cyber e l'assicurazione cyber, offrire una panoramica degli approcci di ricerca e di modellizzazione esistenti e individuare le lacune per la ricerca futura. È un utile riferimento di contesto sul motivo per cui gli assicuratori cercano di valutare la postura di sicurezza delle aziende che assicurano.
Per i soggetti che rientrano nel suo ambito, l'articolo 21 della direttiva (UE) 2022/2555 (NIS2) elenca le misure di gestione dei rischi di cybersicurezza, che comprendono la gestione degli incidenti, la continuità operativa come la gestione dei backup e il disaster recovery, l'igiene informatica di base e la formazione, il controllo degli accessi e l'uso dell'autenticazione a più fattori. Anche al di fuori della NIS2, la sovrapposizione con i temi degli assicuratori significa che le prove raccolte per l'uno servono anche per l'altro.
L'ANSSI, l'agenzia nazionale francese per la cybersicurezza, e l'AMRAE, l'associazione francese dei responsabili di rischi e assicurazioni, hanno pubblicato una guida per i dirigenti, "Controlling the digital risk - the trust advantage", disponibile in inglese e in francese. Presenta la gestione del rischio digitale come un approccio graduale per organizzazioni di ogni dimensione, cioè proprio la cornice in cui va letto il questionario di un assicuratore.
L'articolo 32 del GDPR richiede misure tecniche e organizzative adeguate, tra cui, ove opportuno, la capacità di ripristinare tempestivamente la disponibilità dei dati personali in caso di incidente e una procedura per testare e valutare regolarmente l'efficacia di tali misure. Backup, test di ripristino e controllo degli accessi contano quindi ben oltre il tuo fascicolo assicurativo.
Fuori dalla Francia: la regola delle 72 ore per la denuncia sopra descritta è diritto francese. Altri paesi hanno proprie regole in materia di assicurazione e di segnalazione dei reati informatici, e il tuo contratto può fissare termini di notifica propri. Verificali con il tuo broker, il tuo assicuratore o il tuo consulente legale. Questa pagina è un'informazione, non una consulenza legale.
Cosa contiene ciascuna opzione. Disponibilità e condizioni saranno pubblicate all'apertura del servizio.
Stai richiedendo una copertura cyber, oppure rispondi per la prima volta a una sezione sulla sicurezza informatica.
Il questionario ritorna con il rinnovo e il tuo IT è cambiato dall'anno scorso.
Un nuovo modulo, formulato diversamente, ma che chiede degli stessi controlli.
Risposte brevi, con la fonte ufficiale ogni volta che è coinvolta una norma.
Fonti consultate il 13 ottobre 2026. Quando un testo è in francese, la traduzione in questa pagina è nostra e non ufficiale.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender e Purview sono marchi di Microsoft. Sono citati solo per indicare le funzionalità da cui vengono lette le prove. SYAGA Consulting non è affiliata a Microsoft, all'ENISA, all'ANSSI né ad alcun assicuratore.
Il percorso self-service è in preparazione. Domande nel frattempo: contact@syaga.eu
Base di lavoro, non consulenza legale. La dichiarazione finale al tuo assicuratore, e la sua accuratezza, restano di tua responsabilità.