Teikiate paraišką dėl kibernetinio draudimo, pratęsiate poliso galiojimą ar pildote IT saugumo skyrių, kurį profesinės civilinės atsakomybės draudikai vis dažniau įtraukia? Klausimai techniniai: daugiafaktorinis autentifikavimas, atsarginės kopijos, galinių įrenginių apsauga, atnaujinimų diegimas, administratorių paskyros, el. pašto saugumas, reagavimas į incidentus. Cyber Insurance Express padeda paruošti kiekvieną atsakymą pagal tai, kas iš tikrųjų sukonfigūruota jūsų Microsoft 365 nuomotojo aplinkoje, ir aiškiai nurodo, į kuriuos klausimus Microsoft 365 negali atsakyti.
Saugumo klausimynas tapo esminiu kibernetinio draudimo įsigijimo ar pratęsimo elementu, o tiksliai į jį atsakyti retai būna paprasta.
Ar daugiafaktorinis autentifikavimas taikomas kiekvienai nuotolinei prieigai ir kiekvienam administratoriui? Ar atsarginės kopijos laikomos atjungtos nuo tinklo arba nekeičiamos (immutable), ir ar buvo patikrintas atkūrimas? Ar visuose galiniuose įrenginiuose veikia aptikimo ir reagavimo įrankis? Ar išjungtas pasenęs el. pašto autentifikavimas? Verslo savininkas, finansų direktorius ar net užimtas IT generalistas retai turi šiuos atsakymus po ranka ir su įrodymais.
Klausimynas yra dalis to, kaip draudikas supranta riziką, kurią prisiima. Atsakymas, kuris pasirodo netikslus, gali tapti ginčo su draudiku objektu, ypač įvykus incidentui. Tikslios pasekmės priklauso nuo jūsų sutarties ir ją reglamentuojančios teisės: pasitikslinkite pas savo tarpininką ar draudiką. Jūs kontroliuojate tik tai, kiek tiksli yra jūsų deklaruojama informacija.
Sąlyginės prieigos taisyklių, administratorių vaidmenų priskyrimų, pašto dėžučių protokolų, el. pašto autentifikavimo DNS įrašų, įrenginių atitikties ir audito žurnalų tikrinimas po vieną, klausimas po klausimo, reikalauja valandų darbo keliuose administravimo portaluose. Mažoje ar vidutinio dydžio įmonėje šis darbas konkuruoja su visais kitais IT komandos darbais.
Nauja paraiška, metinis pratęsimas, tarpininko ar draudiko keitimas, didelio kliento konkursas, kuriame klausiama apie jūsų draudimą: tie patys klausimai grįžta, dažnai kitaip suformuluoti. Be struktūruotos įrodymų bylos kiekvienas ratas prasideda iš naujo, o ankstesnis darbas prarandamas.
Kiekvienas draudikas rengia savo klausimyną, o formuluotės keičiasi nuo formos prie formos ir iš metų į metus. Toliau pateiktos temos yra tos, kurios dažnai iškyla. Čia jos aprašytos kaip pasikartojančios temos, o ne kaip citata iš bet kurio konkretaus draudiko formos.
Kiekvienai temai paaiškiname, ką klausimu paprastai siekiama nustatyti, ką jūsų Microsoft 365 nuomotojas gali parodyti kaip įrodymą ir kas lieka už Microsoft 365 ribų bei turi būti dokumentuota kitaip. Nuorodos veda į Microsoft oficialią viešą atitinkamos funkcijos dokumentaciją.
Ko paprastai klausiama: ar MFA privaloma el. paštui, nuotolinei prieigai, debesies programoms ir kiekvienai administratoriaus paskyrai, su išimtimis ar be jų?
Ką gali parodyti Microsoft 365: ar įjungti numatytieji saugumo nustatymai ir kurios sąlyginės prieigos taisyklės reikalauja MFA, kam jos taikomos ir kas yra išskirtas; naudotojų užregistruoti autentifikavimo būdai; ar blokuojami pasenę autentifikavimo protokolai, kurie negali perduoti MFA.
Už M365 ribų: VPN, nuotolinio darbalaukio šliuzas ar verslo programa, kuri neprisijungia per Microsoft Entra ID, turi būti dokumentuojami atskirai.
Ko paprastai klausiama: ar kritinės sistemos ir duomenys turi atsargines kopijas, ar bent viena kopija izoliuota nuo tinklo arba apsaugota nuo pakeitimų, kaip dažnai jos daromos ir kada paskutinį kartą buvo tikrinamas atkūrimas?
Ką gali parodyti Microsoft 365: nedaug ką, kas atsakytų į šį klausimą. Microsoft 365 saugojimo nustatymai nėra atsarginė kopija, izoliuota nuo jūsų pačių administratorių paskyrų, todėl nepateiksime jų kaip tokios.
Už M365 ribų: jūsų atsarginių kopijų sprendimas, jo kopijų izoliavimas ir atkūrimo bandymų ataskaitos. Vedamas seminaras prašo jas aprašyti ir pridėti savo įrodymus, o dokumente šis atsakymas pažymimas kaip deklaruotas, o ne išmatuotas.
Ko paprastai klausiama: ar visos darbo stotys ir serveriai apsaugoti galinių įrenginių aptikimo ir reagavimo įrankiu, ar jis stebimas ir ar įrenginiai užšifruoti?
Ką gali parodyti Microsoft 365: kai įrenginiai valdomi per Microsoft Intune ir apsaugoti Microsoft Defender, įrenginių inventorius, atitikties politikos rezultatai (pavyzdžiui, šifravimas ir minimali OS versija) bei Microsoft Secure Score pateikiamos saugumo rekomendacijos.
Už M365 ribų: trečiosios šalies EDR, nevaldomi įrenginiai ir vietiniai serveriai, neįtraukti į Microsoft įrankius. Jie pažymimi, o ne spėjami.
Ko paprastai klausiama: kaip greitai diegiami saugumo atnaujinimai, ar dar naudojamos nebepalaikomos operacinės sistemos ir ar stebimi kritiniai pažeidžiamumai sistemose, pasiekiamose iš interneto?
Ką gali parodyti Microsoft 365: Intune valdomiems įrenginiams – atitikties taisyklės dėl minimalių operacinės sistemos versijų ir kurie įrenginiai jų neatitinka; kur turima licencija – Defender rekomendacijos.
Už M365 ribų: tinklo įranga, ugniasienės, verslo serveriai ir programos bei pats jūsų atnaujinimų diegimo procesas. Seminaras padeda jį aprašyti paprasta kalba.
Ko paprastai klausiama: kiek žmonių turi administratoriaus teises, ar administratoriai kasdieniam darbui naudoja atskiras paskyras, ar jiems privaloma MFA ir ar privilegijuota prieiga yra ribota laiku arba patvirtinama?
Ką gali parodyti Microsoft 365: kas turi kokį Microsoft Entra administratoriaus vaidmenį, ar priskyrimai nuolatiniai ar gali būti aktyvuojami per Privileged Identity Management (kur turima licencija), ir ar MFA taikoma tiems vaidmenims.
Už M365 ribų: vietinės administratoriaus paskyros serveriuose ir darbo stotyse, domeno administratoriai vietiniame Active Directory ir administratoriaus prieiga prie trečiųjų šalių sistemų.
Ko paprastai klausiama: ar įdiegti SPF, DKIM ir DMARC, ar filtruojami sukčiavimo (phishing) laiškai ir kenkėjiški priedai, ar išjungti pasenę pašto dėžučių protokolai ir ar kontroliuojamas automatinis persiuntimas į išorinius adresus?
Ką galima parodyti: jūsų domenų paskelbti SPF ir DMARC įrašai (vieši DNS duomenys), DKIM pasirašymo konfigūracija, Exchange Online ir Defender for Office 365 apsaugos politikos bei pašto dėžutėms leidžiami protokolai.
Už M365 ribų: prieš Microsoft 365 veikiantis trečiosios šalies el. pašto šliuzas ir naudotojų informuotumo mokymai, kuriuos dokumentuojate patys.
Ko paprastai klausiama: ar yra rašytinis reagavimo į incidentus planas, kas kviečiamas pirmiausia, ar jis buvo išbandytas ir ar saugumo žurnalai saugomi pakankamai ilgai tyrimui?
Ką gali parodyti Microsoft 365: ar įjungtas ir prieinamas paieškai vieningas audito žurnalas bei jam taikomas saugojimo laikotarpis. Microsoft nurodo, kad Audit (Standard) tinkamą prenumeratą turinčioms organizacijoms įjungiamas pagal numatytuosius nustatymus ir įrašus saugo 180 dienų.
Už M365 ribų: pats planas. Seminare parengiamas trumpo reagavimo plano pirmasis projektas, įskaitant Prancūzijos organizacijoms skirtą žingsnį: skundo pateikimą per 72 valandas (žr. žemiau).
Klausimynuose dažnai klausiama ir apie darbuotojų skaičių bei saugomų įrašų kiekį, ankstesnius incidentus, paslaugų teikėjus, turinčius prieigą prie jūsų sistemų, duomenų šifravimą ir saugumo mokymus. Dalį šių dalykų gali deklaruoti tik jūs. Kiti, pavyzdžiui, išorinio dalijimosi nustatymai ar svečių paskyros Microsoft 365, gali būti išmatuoti.
Pats Microsoft Secure Score nurodo, kad tai nėra absoliutus matas, kokia tikėtina, kad į jūsų sistemas bus įsilaužta. Išmatuotus nustatymus naudojame kaip konkrečių atsakymų įrodymus, niekada kaip garantiją.
Iš kur kiekvienas atsakymas, ir kaip jis bus pažymėtas jūsų dokumente.
| Tema | Iš kur gaunami įrodymai | Žymė jūsų dokumente |
|---|---|---|
| MFA | Microsoft Entra ID: numatytieji saugumo nustatymai, sąlyginės prieigos politikos, užregistruoti autentifikavimo būdai, pasenusio autentifikavimo būsena | Išmatuota, išimtys išvardytos pagal politikos ar grupės pavadinimą |
| Atsarginės kopijos | Jūsų atsarginių kopijų įrankis ir atkūrimo bandymų ataskaitos | Deklaruota jūsų, su jūsų priedais |
| Galinių įrenginių apsauga | Intune ir Defender, jei naudojami; kitu atveju jūsų EDR konsolė | Išmatuota valdomiems įrenginiams; deklaruota likusiems |
| Atnaujinimų diegimas | Intune atitikties rezultatai; jūsų serverių ir tinklo įrangos procedūra | Iš dalies išmatuota, iš dalies deklaruota |
| Privilegijuotos paskyros | Microsoft Entra vaidmenų priskyrimai, Privileged Identity Management, kur turima licencija | Išmatuota Microsoft 365; deklaruota vietinei infrastruktūrai |
| El. pašto saugumas | Viešasis DNS (SPF, DMARC), DKIM konfigūracija, Exchange Online ir Defender for Office 365 politikos | Išmatuota |
| Reagavimas į incidentus ir žurnalai | Vieningo audito žurnalo būsena; jūsų rašytinis planas | Žurnalai išmatuoti; planas parengtas seminare, patvirtinamas jūsų |
Paprasta taisyklė: dokumente nieko nepateikiama kaip išmatuoto, jei tai nebuvo išmatuota. Klausimas, į kurį Microsoft 365 negali atsakyti, lieka aiškiai pažymėtas, kad nuspręstumėte jūs, o ne įrankis, ką deklaruoti savo draudikui.
Savitarnos kelias per keturis žingsnius. Nuo pirmo klausimo iki galutinio dokumento visą laiką viską kontroliuojate jūs.
Trumpas internetinis testas: ar teikiate paraišką dėl kibernetinio draudimo, pratęsiate jį, ar pildote IT saugumo skyrių profesinės civilinės atsakomybės ar kito poliso klausimyne? Ar jūsų įmonė įsikūrusi Prancūzijoje, kur taikoma 72 valandų skundo taisyklė? Kurios jūsų IT dalys veikia Microsoft 365? Rezultatas parodo, kurios temos jums taikomos ir ką turėsite surinkti.
Internetinis seminaras jus veda per kiekvieną temą. Atsakote laisvai, savo tempu, su paaiškinimais, ką reiškia kiekvienas klausimas ir kodėl jį užduoda draudikai. Kur Microsoft 365 gali pateikti įrodymus, išmatuotas rezultatas pateikiamas šalia jūsų atsakymo, todėl bet koks skirtumas tarp to, ką manote, ir to, kas sukonfigūruota, tampa matomas prieš ką nors deklaruojant.
Gausite struktūruotą dokumentą jūsų įmonės vardu: atsakymus pagal temas, prie kiekvieno pridėtus įrodymus, pažymėtus punktus, esančius už apimties ribų, ir reagavimo į incidentus lapo pirmąjį projektą. Tai darbinis pagrindas, prieš naudojant jį turi peržiūrėti ir patvirtinti jūsų patarėjas, tarpininkas ar teisininkas.
Jei norite antros nuomonės, partnerio konsultantas gali kartu su jumis peržiūrėti dokumentą, padėti užpildyti spragas prieš pratęsimą arba padėti dokumentuoti punktus, esančius už Microsoft 365 ribų. Šis žingsnis neprivalomas; pirmieji trys žingsniai skirti atlikti savarankiškai.
Svarbu: dokumentas yra darbinis pagrindas ir nėra teisinė konsultacija. Jis nepakeičia jūsų draudiko klausimyno, kurį pildote ir pasirašote patys, ir neįpareigoja jokio draudiko jūsų drausti. Galutinės deklaracijos tikslumas lieka jūsų atsakomybė.
Viena įrodymų byla, sąžiningai nurodanti, kas išmatuota, o kas ne, ir kurią galite naudoti kiekvieno pratęsimo metu.
Aiškus atsakymas kiekvienai pasikartojančiai temai, paruoštas perkelti į jūsų draudiko formą.
Nustatymai, pagrindžiantys kiekvieną atsakymą, tokie, kokie buvo jūsų nuomotojo matavimo dieną.
Čia pirmiausia matyti, kur jūsų atsakymas ir išmatuota konfigūracija nesutampa.
Trumpas pirmasis projektas, kurį papildysite savo kontaktais ir patvirtinsite įmonėje.
Kiekvienas teisinis ar reguliavimo teiginys dokumente nurodo į oficialų šaltinį.
Kitais metais matuokite iš naujo ir lyginkite, o ne pradėkite iš naujo.
Dvi minutės, per kurias atskirsite teisinę taisyklę nuo gerosios praktikos; kiekvienu atveju nurodome oficialų šaltinį.
Nuo 2023 m. balandžio 24 d. Prancūzijos Draudimo kodekso L12-10-1 straipsnis numato, kad bet koks draudimo mokėjimas, kompensuojantis nuostolius ir žalą, padarytą kibernetinio išpuolio prieš automatizuotą duomenų apdorojimo sistemą, priklauso nuo to, ar nukentėjusysis kompetentingoms institucijoms pateikia skundą ne vėliau kaip per 72 valandas nuo tada, kai sužinojo apie išpuolį. Terminas skaičiuojamas nuo to momento, kai sužinojote apie išpuolį, o ne nuo jo pradžios.
Straipsnis įtrauktas 2023 m. sausio 24 d. Įstatymo Nr. 2023-22 (vadinamo LOPMI) 5 straipsniu. Jis niekam nenustato pareigos įsigyti kibernetinio draudimo: jis nustato išmokos sąlygą, kai sutartis jau apima kibernetines atakas.
Vidaus reikalų ministerijos informacinis lapas, platinamas per Cybermalveillance.gouv.fr – Prancūzijos vyriausybės platformą kibernetinių išpuolių aukoms, primena profesionalioms aukoms, kad 2023 m. įstatymas reikalauja pateikti skundą, kad išliktų teisė į kompensaciją pagal jų draudimo sutartį, per 72 valandas nuo sužinojimo apie išpuolį. Jame taip pat tarp skundo pateikimo priežasčių nurodoma draudimo kompensavimo proceso inicijavimas.
Europos Sąjungos kibernetinio saugumo agentūra (ENISA) 2024 m. vasario 21 d. paskelbė leidinį „Cyber Insurance - Models and methods and the use of AI“. Jo deklaruotas tikslas – supažindinti su kibernetine rizika ir kibernetiniu draudimu, apžvelgti esamus tyrimų ir modeliavimo metodus bei nustatyti spragas būsimiems tyrimams. Tai naudingas kontekstas, paaiškinantis, kodėl draudikai bando įvertinti bendrovių, kurias draudžia, saugumo būklę.
Subjektams, patenkantiems į jos taikymo sritį, Direktyvos (ES) 2022/2555 (NIS2) 21 straipsnis nurodo kibernetinio saugumo rizikos valdymo priemones, apimančias incidentų valdymą, veiklos tęstinumą, pavyzdžiui, atsarginių kopijų valdymą ir avarinį atkūrimą, pagrindinę kibernetinę higieną ir mokymus, prieigos kontrolę bei daugiafaktorio autentifikavimo naudojimą. Net ir už NIS2 ribų temų sutapimas su draudikų temomis reiškia, kad vienam tikslui surinkti įrodymai tarnauja ir kitam.
Prancūzijos nacionalinė kibernetinio saugumo agentūra ANSSI ir Prancūzijos rizikos ir draudimo vadovų asociacija AMRAE paskelbė vadovybei skirtą leidinį „Controlling the digital risk - the trust advantage“, prieinamą anglų ir prancūzų kalbomis. Jame skaitmeninės rizikos valdymas pateikiamas kaip nuoseklus metodas visų dydžių organizacijoms – būtent tokiame kontekste ir turėtų būti skaitomas draudiko klausimynas.
BDAR 32 straipsnis reikalauja tinkamų techninių ir organizacinių priemonių, įskaitant, kai tinkama, galimybę po incidento laiku atkurti asmens duomenų prieinamumą ir procesą, kuriuo reguliariai tikrinamas ir vertinamas šių priemonių veiksmingumas. Todėl atsarginės kopijos, atkūrimo bandymai ir prieigos kontrolė svarbūs ne tik jūsų draudimo bylai.
Už Prancūzijos ribų: aukščiau nurodyta 72 valandų skundo taisyklė yra Prancūzijos teisė. Kitos šalys turi savo taisykles dėl draudimo ir kibernetinių nusikaltimų pranešimo, o jūsų sutartyje gali būti nustatyti savi pranešimo terminai. Pasitikslinkite pas savo tarpininką, draudiką ar teisės patarėją. Šis puslapis yra informacija, o ne teisinė konsultacija.
Ką apima kiekvienas variantas. Prieinamumas ir sąlygos bus paskelbtos paslaugai pradėjus veikti.
Teikiate paraišką dėl kibernetinio draudimo arba pirmą kartą pildote IT saugumo skyrių.
Klausimynas grįžta kartu su pratęsimu, o jūsų IT nuo praėjusių metų pasikeitė.
Nauja forma, kitaip suformuluota, bet klausianti apie tas pačias kontrolės priemones.
Trumpi atsakymai, o kai yra taisyklė – su oficialiu šaltiniu.
Šaltiniai peržiūrėti 2026 m. spalio 13 d. Kai tekstas yra prancūzų kalba, šiame puslapyje pateiktas vertimas yra mūsų ir neoficialus.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender ir Purview yra Microsoft prekių ženklai. Jie minimi tik tam, kad būtų įvardytos funkcijos, iš kurių skaitomi įrodymai. SYAGA Consulting nėra susijusi nei su Microsoft, nei su ENISA, nei su ANSSI, nei su jokiu draudiku.
Savitarnos kelias ruošiamas. Tuo tarpu klausimus siųskite el. paštu: contact@syaga.eu
Darbinis pagrindas, o ne teisinė konsultacija. Galutinė deklaracija draudikui ir jos tikslumas lieka jūsų atsakomybė.