Slēdzat kiberapdrošināšanu, pagarināt polisi vai aizpildāt IT drošības sadaļu, ko profesionālās atbildības apdrošinātāji arvien biežāk iekļauj? Jautājumi ir tehniski: daudzfaktoru autentifikācija, dublējumi, galapunktu aizsardzība, atjauninājumi, administratoru konti, e-pasta drošība, incidentu reaģēšana. Cyber Insurance Express palīdz sagatavot katru atbildi no tā, kas patiesībā ir konfigurēts jūsu Microsoft 365 vidē, un skaidri norāda, uz kuriem jautājumiem Microsoft 365 nevar atbildēt.
Drošības anketa ir kļuvusi par svarīgu daļu, iegādājoties vai pagarinot kiberapdrošināšanu, un to reti ir viegli precīzi aizpildīt.
Vai daudzfaktoru autentifikācija ir obligāta katrai attālinātai piekļuvei un katram administratoram? Vai dublējumi tiek glabāti bezsaistē vai nemainīgi, un vai atjaunošana ir pārbaudīta? Vai visās galapunktu ierīcēs darbojas atklāšanas un reaģēšanas rīks? Vai novecojusī e-pasta autentifikācija ir izslēgta? Uzņēmuma īpašniekam, finanšu direktoram vai pat aizņemtam IT darbiniekam ar plašu profilu reti ir šīs atbildes pa rokai un ar pierādījumiem.
Anketa ir daļa no tā, kā apdrošinātājs novērtē risku, ko uzņemas. Atbilde, kas izrādās neprecīza, var kļūt par strīda punktu ar apdrošinātāju, īpaši pēc incidenta. Precīzās sekas ir atkarīgas no jūsu līguma un tam piemērojamā likuma: pārbaudiet tās ar savu brokeri vai apdrošinātāju. Ko jūs kontrolējat, ir jūsu deklarēto datu precizitāte.
Nosacītās piekļuves politiku, administratoru lomu piešķīrumu, pastkastes protokolu, e-pasta autentifikācijas DNS ierakstu, ierīču atbilstības un auditēšanas žurnālu pārbaude pa vienam, jautājumu pa jautājumam, ir stundām ilgs darbs vairākās administrēšanas konsolēs. Mazā vai vidējā uzņēmumā šis darbs konkurē ar visu pārējo, ko IT komandai jādara.
Jauns pieteikums, ikgadēja pagarināšana, brokera vai apdrošinātāja maiņa, lielāka klienta piegādātāju atlase, kurā jautā par jūsu apdrošinājumu: tie paši jautājumi atgriežas, bieži citādi formulēti. Bez strukturēta pierādījumu faila katrs cikls sākas no nulles, un iepriekšējais darbs tiek zaudēts.
Katrs apdrošinātājs raksta savu anketu, un formulējums mainās no veidlapas un gada uz gadu. Tālāk minētās tēmas ir tās, kas bieži parādās. Tās aprakstītas kā atkārtotas tēmas, nevis kā kāda konkrēta apdrošinātāja veidlapas citāts.
Katrai tēmai mēs paskaidrojam, ko jautājums parasti cenšas noskaidrot, ko jūsu Microsoft 365 vide var parādīt kā pierādījumu un kas atrodas ārpus Microsoft 365 un ir jādokumentē citādi. Saites ved uz Microsoft publisko dokumentāciju par attiecīgo funkciju.
Ko parasti jautā: vai MFA ir obligāta e-pastam, attālinātai piekļuvei, mākoņa lietojumprogrammām un katram administratora kontam, ar izņēmumiem vai bez tiem?
Ko var parādīt Microsoft 365: vai ir ieslēgti drošības noklusējumi vai kuras nosacītās piekļuves politikas prasa MFA, kam tās attiecas un kas ir izslēgts; lietotāju reģistrētās autentifikācijas metodes; vai novecojušie autentifikācijas protokoli, kas nevar nest MFA, ir bloķēti.
Ārpus M365: VPN, attālās darbvirsmas vārteja vai biznesa lietojumprogramma, kas nepiesakās caur Microsoft Entra ID, ir jādokumentē atsevišķi.
Ko parasti jautā: vai kritiskās sistēmas un dati ir dublēti, vai vismaz viena kopija ir izolēta no tīkla vai aizsargāta pret modifikāciju, cik bieži un kad pēdējo reizi tika pārbaudīta atjaunošana?
Ko var parādīt Microsoft 365: gandrīz neko, kas atbild uz šo jautājumu. Microsoft 365 glabāšanas iestatījumi nav dublējums, kas izolēts no jūsu pašu administratora kontiem, un mēs to neuzrādīsim kā tādu.
Ārpus M365: jūsu dublēšanas risinājums, tā kopiju izolācija un jūsu atjaunošanas testu pārskati. Vadītā darbnīca lūdz jūs tos aprakstīt un pievienot savus pierādījumus, un dokuments šo atbildi apzīmē kā deklarētu, nevis izmērītu.
Ko parasti jautā: vai visas darbstacijas un serveri ir aizsargāti ar galapunktu atklāšanas un reaģēšanas rīku, vai tas tiek uzraudzīts un vai ierīces ir šifrētas?
Ko var parādīt Microsoft 365: ja ierīces pārvalda ar Microsoft Intune un aizsargā ar Microsoft Defender, ierīču inventārs, atbilstības politiku rezultāti (piemēram, šifrēšana un minimālā operētājsistēmas versija) un drošības ieteikumi, ko ziņo Microsoft Secure Score.
Ārpus M365: trešās puses EDR, nepārvaldītas ierīces un lokālie serveri, kas nav reģistrēti Microsoft rīkos. Tie ir atzīmēti, nevis minēti.
Ko parasti jautā: cik ātri tiek uzstādīti drošības atjauninājumi, vai vēl tiek izmantotas operētājsistēmas, kurām nav atbalsta, un vai kritiskās ievainojamības sistēmās, kas pieejamas no interneta, tiek uzskaitītas?
Ko var parādīt Microsoft 365: ierīcēm, ko pārvalda ar Intune, atbilstības noteikumi par minimālām operētājsistēmas versijām un tas, kuras ierīces tos neizpilda; ja ir licence, Defender ieteikumi.
Ārpus M365: tīkla iekārtas, ugunsmūri, līnijas biznesa serveri un lietojumprogrammas, kā arī pati jūsu atjaunināšanas procedūra. Darbnīca palīdz to aprakstīt vienkāršā valodā.
Ko parasti jautā: cik cilvēku ir administratora tiesības, vai administratori izmanto atsevišķus kontus ikdienas darbam, vai viņiem MFA ir obligāta un vai privileģētā piekļuve ir laikā ierobežota vai apstiprināta?
Ko var parādīt Microsoft 365: kuram ir piešķirta kāda Microsoft Entra administratora loma, vai piešķīrumi ir pastāvīgi vai pieejami pēc pieprasījuma caur Privileged Identity Management (ja ir licence), un vai uz šīm lomām attiecas MFA.
Ārpus M365: vietējie administratora konti serveros un darbstacijās, domēna administratori lokālajā Active Directory un administratora piekļuve trešo pušu sistēmām.
Ko parasti jautā: vai SPF, DKIM un DMARC ir ieviesti, vai pikšķerēšanas e-pasti un ļaunprātīgi pielikumi tiek filtrēti, vai novecojušie pastkastes protokoli ir atspējoti un vai automātiska pārsūtīšana uz ārējām adresēm ir kontrolēta?
Ko var parādīt: jūsu domēnu publicētie SPF un DMARC ieraksti (publiski DNS dati), DKIM parakstīšanas konfigurācija, Exchange Online un Defender for Office 365 aizsardzības politikas un pastkastēm atļautie protokoli.
Ārpus M365: trešās puses e-pasta vārteja, kas novietota pirms Microsoft 365, un lietotāju informētības apmācība, ko dokumentējat pats.
Ko parasti jautā: vai ir rakstisks incidentu reaģēšanas plāns, kam zvana pirmajam, vai tas ir ticis pārbaudīts un vai drošības žurnāli tiek glabāti pietiekami ilgi, lai varētu izmeklēt?
Ko var parādīt Microsoft 365: vai vienotais audita žurnāls ir aktīvs un meklējams un kāda glabāšana tam piemērojama. Microsoft dokumentē, ka Audit (Standard) ir ieslēgts pēc noklusējuma organizācijām ar atbilstošu abonementu un glabā ierakstus 180 dienas.
Ārpus M365: pats plāns. Darbnīca sagatavo īsa reaģēšanas plāna pirmo melnrakstu, tostarp Francijā reģistrētām organizācijām atgādinājumu iesniegt sūdzību 72 stundu laikā (skat. zemāk).
Anketās bieži jautā arī par darbinieku un glabāto datu apjomu, iepriekšējiem incidentiem, pakalpojumu sniedzēju izmantošanu ar piekļuvi jūsu sistēmām, datu šifrēšanu un drošības apmācību. Daļu no tā var deklarēt tikai jūs. Citus, piemēram, ārējās koplietošanas iestatījumus vai viesu kontus Microsoft 365, var izmērīt.
Pats Microsoft Secure Score norāda, ka tas nav absolūts rādītājs tam, cik lielā mērā jūs varat tikt uzlauzts. Mēs izmērītos iestatījumus izmantojam kā pierādījumus konkrētām atbildēm, nekad kā garantiju.
No kurienes nāk katra atbilde un kā tā tiks apzīmēta jūsu dokumentā.
| Tēma | No kurienes nāk pierādījums | Apzīmējums jūsu dokumentā |
|---|---|---|
| MFA | Microsoft Entra ID: drošības noklusējumi, nosacītās piekļuves politikas, reģistrētās autentifikācijas metodes, novecojušās autentifikācijas statuss | Izmērīts, ar izņēmumiem, kas uzskaitīti pēc politikas vai grupas nosaukuma |
| Dublējumi | Jūsu dublēšanas rīks un atjaunošanas testu pārskati | Deklarēts no jūsu puses, ar jūsu pielikumiem |
| Galapunktu aizsardzība | Intune un Defender, ja tie tiek izmantoti; citādi jūsu EDR konsole | Izmērīts pārvaldītām ierīcēm; deklarēts pārējām |
| Atjaunināšana | Intune atbilstības rezultāti; jūsu procedūra serveriem un tīkla iekārtām | Daļēji izmērīts, daļēji deklarēts |
| Privileģētie konti | Microsoft Entra lomu piešķīrumi, Privileged Identity Management, ja ir licence | Izmērīts Microsoft 365; deklarēts lokālajai videi |
| E-pasta drošība | Publiskais DNS (SPF, DMARC), DKIM konfigurācija, Exchange Online un Defender for Office 365 politikas | Izmērīts |
| Incidentu reaģēšana un žurnāli | Vienotā audita žurnāla statuss; jūsu rakstiskais plāns | Žurnāli izmērīti; plāns sagatavots darbnīcā, apstiprina jūs |
Vienkārša nostāja: nekas dokumentā netiek uzrādīts kā izmērīts, ja tas nav izmērīts. Jautājums, uz kuru Microsoft 365 nevar atbildēt, paliek redzami atzīmēts, lai jūs, nevis rīks, nolemtu, ko deklarēt savam apdrošinātājam.
Pašapkalpošanās ceļš četros soļos. Jūs kontrolējat procesu no pirmā jautājuma līdz galīgajam dokumentam.
Īss tiešsaistes tests: vai slēdzat kiberapdrošināšanu, to pagarināt vai atbildat uz IT drošības sadaļu profesionālās atbildības vai citā polisē? Vai jūsu uzņēmums atrodas Francijā, kur piemērojams 72 stundu sūdzības noteikums? Kuras jūsu IT daļas darbojas Microsoft 365? Rezultāts parāda, kuras tēmas uz jums attiecas un ko jums vajadzēs apkopot.
Tiešsaistes darbnīca ved jūs cauri katrai tēmai. Jūs atbildat brīvi, savā tempā, ar paskaidrojumiem, ko nozīmē katrs jautājums un kāpēc apdrošinātāji to uzdod. Kur Microsoft 365 var sniegt pierādījumus, izmērītais rezultāts tiek novietots blakus jūsu atbildei, tādējādi jebkura atšķirība starp to, ko jūs uzskatāt, un to, kas ir konfigurēts, kļūst redzama, pirms jūs ko deklarējat.
Jūs saņemat strukturētu dokumentu jūsu uzņēmuma vārdā: atbildes pa tēmām, katrai pievienotie pierādījumi, atzīmēti punkti ārpus darbības jomas un incidentu reaģēšanas lapas pirmais melnraksts. Tas ir darba pamats, kas pirms izmantošanas jāpārskata un jāapstiprina jūsu pašu konsultantam, brokerim vai juristam.
Ja vēlaties otru viedokli, partneru konsultants var kopā ar jums pārskatīt dokumentu, palīdzēt aizvērt nepilnības pirms pagarināšanas vai palīdzēt dokumentēt punktus, kas atrodas ārpus Microsoft 365. Šis solis ir pēc izvēles; pirmie trīs soļi ir paredzēti, lai tos varētu pabeigt patstāvīgi.
Svarīgi: dokuments ir darba pamats un nav juridisks padoms. Tas neaizstāj jūsu apdrošinātāja anketu, ko jūs paši aizpildāt un parakstāt, un tas neuzliek nevienam apdrošinātājam pienākumu segt jūsu zaudējumus. Jūsu galīgās deklarācijas precizitāte paliek jūsu atbildībā.
Viens pierādījumu fails, godīgs par to, kas izmērīts un kas nav, ko var izmantot atkārtoti katrā pagarināšanā.
Skaidra atbilde katrai atkārtotai tēmai, gatava pārnešanai uz apdrošinātāja pašu veidlapu.
Iestatījumi, kas atbalsta katru atbildi, kā tie atrasti jūsu vidē mērījuma datumā.
Ja jūsu atbilde un izmērītā konfigurācija nesakrīt, tas vispirms parādīsies šeit.
Īss pirmais melnraksts, ko papildināt ar saviem kontaktiem un apstiprināt uzņēmumā.
Katrs juridisks vai regulējuma apgalvojums dokumentā norāda uz tā oficiālo avotu.
Nākamgad izmēriet vēlreiz un salīdziniet, nevis sāciet no nulles.
Divas minūtes, lai atšķirtu, kas ir juridisks noteikums un kas ir laba prakse, katrā gadījumā ar oficiālo avotu.
Kopš 2023. gada 24. aprīļa Francijas Apdrošināšanas kodeksa L12-10-1 pants nosaka, ka jebkura apdrošināšanas izmaksa, kas kompensē zaudējumus un kaitējumu, ko radījis uzbrukums automatizētai datu apstrādes sistēmai, ir atkarīga no tā, vai cietusī puse iesniedz sūdzību kompetentajām iestādēm ne vēlāk kā 72 stundas pēc uzbrukuma apzināšanās. Termiņš sākas, kad jūs uzzināt par uzbrukumu, nevis kad tas sākās.
Pants ieviests ar 2023. gada 24. janvāra Likuma Nr. 2023-22 (saukts par LOPMI) 5. pantu. Tas nevienu neuzliek par pienākumu iegādāties kiberapdrošināšanu: tas nosaka nosacījumu, lai saņemtu izmaksu, ja līgums jau sedz kiberuzbrukumus.
Iekšlietu ministrijas informācijas lapa, ko izplata Cybermalveillance.gouv.fr, Francijas valsts platforma kiberuzbrukumu upuriem, atgādina profesionālajiem upuriem, ka 2023. gada likums prasa iesniegt sūdzību, lai saglabātu tiesības uz kompensāciju saskaņā ar viņu apdrošināšanas līgumu, 72 stundu laikā pēc uzbrukuma apzināšanās. Tā arī norāda, ka apdrošināšanas kompensācijas procesa aktivizēšana ir viens no iemesliem iesniegt sūdzību.
Eiropas Savienības Kiberdrošības aģentūra (ENISA) 2024. gada 21. februārī publicēja “Cyber Insurance - Models and methods and the use of AI”. Tās deklarētais mērķis ir ieviest kiberrisku un kiberapdrošināšanas jēdzienu, sniegt pārskatu par esošajām pētniecības un modelēšanas pieejām un noteikt trūkumus turpmākiem pētījumiem. Tas ir noderīgs pamatinformācijas avots par to, kāpēc apdrošinātāji cenšas novērtēt uzņēmumu, ko tie apdrošina, drošības stāvokli.
Organizācijām, kas ietilpst tās darbības jomā, Direktīvas (ES) 2022/2555 (NIS2) 21. pants uzskaita kiberdrošības riska pārvaldības pasākumus, tostarp incidentu apstrādi, darbības nepārtrauktību, piemēram, dublēšanas pārvaldību un katastrofas atkopšanu, pamata kiberhigiēnu un apmācību, piekļuves kontroli un daudzfaktoru autentifikācijas izmantošanu. Pat ārpus NIS2 apdrošinātāju tēmu pārklāšanās nozīmē, ka pierādījumi, ko apkopojat vienai, kalpo arī otrai.
ANSSI, Francijas valsts kiberdrošības aģentūra, un AMRAE, Francijas risku un apdrošināšanas vadītāju asociācija, publicēja vadītājiem paredzētu ceļvedi “Controlling the digital risk - the trust advantage”, kas pieejams angļu un franču valodā. Tajā digitālā riska pārvaldība piedāvāta kā pakāpeniska pieeja organizācijām jebkura izmēra, un tieši šajā kontekstā apdrošinātāja anketa būtu jālasa.
VDAR 32. pants pieprasa atbilstošus tehniskus un organizatoriskus pasākumus, tostarp, attiecīgos gadījumos, spēju savlaicīgi atjaunot personas datu pieejamību pēc incidenta un procesu šo pasākumu efektivitātes regulārai pārbaudei un novērtēšanai. Dublējumi, atjaunošanas testi un piekļuves kontrole tādēļ ir svarīgi daudz plašāk nekā jūsu apdrošināšanas fails.
Ārpus Francijas: augstāk minētais 72 stundu sūdzības noteikums ir Francijas tiesības. Citām valstīm ir savi noteikumi par apdrošināšanu un kibernoziegumu ziņošanu, un jūsu līgums var noteikt savus paziņošanas termiņus. Pārbaudiet tos ar savu brokeri, apdrošinātāju vai juridisko konsultantu. Šī lapa ir informācija, nevis juridisks padoms.
Ko satur katra iespēja. Pieejamība un nosacījumi tiks publicēti, kad pakalpojums tiks atvērts.
Jūs slēdzat kiberapdrošināšanu vai pirmo reizi atbildat uz IT drošības sadaļu.
Anketa atgriežas kopā ar jūsu pagarināšanu, un jūsu IT kopš pagājušā gada ir mainījies.
Jauna veidlapa, citādi formulēta, bet jautā par tām pašām kontrolēm.
Īsas atbildes, ar oficiālo avotu, ja iesaistīts noteikums.
Avoti pārbaudīti 2026. gada 13. oktobrī. Ja teksts ir franču valodā, šajā lapā sniegtais tulkojums ir mūsu veikts un neoficiāls.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender un Purview ir Microsoft preču zīmes. Tās minētas tikai, lai nosauktu funkcijas, no kurām nolasīti pierādījumi. SYAGA Consulting nav saistīts ar Microsoft, ENISA, ANSSI vai jebkuru apdrošinātāju.
Pašapkalpošanās ceļš tiek gatavots. Jautājumi līdz tam: contact@syaga.eu
Darba pamats, nevis juridisks padoms. Galīgā deklarācija jūsu apdrošinātājam un tās precizitāte paliek jūsu atbildībā.