Ubiegają się Państwo o ubezpieczenie cyber, odnawiają polisę albo wypełniają sekcję dotyczącą bezpieczeństwa IT, którą ubezpieczyciele odpowiedzialności zawodowej coraz częściej dołączają? Pytania są techniczne: uwierzytelnianie wieloskładnikowe, kopie zapasowe, ochrona punktów końcowych, aktualizacje, konta administratorów, bezpieczeństwo poczty elektronicznej, reagowanie na incydenty. Cyber Insurance Express pomaga przygotować każdą odpowiedź na podstawie tego, co faktycznie jest skonfigurowane w Państwa dzierżawie Microsoft 365, i jasno wskazuje, na które pytania Microsoft 365 nie może odpowiedzieć.
Ankieta bezpieczeństwa stała się kluczowym elementem zakupu lub odnowienia ubezpieczenia cyber i rzadko łatwo na nią odpowiedzieć rzetelnie.
Czy uwierzytelnianie wieloskładnikowe jest wymagane przy każdym zdalnym dostępie i dla każdego administratora? Czy kopie zapasowe są przechowywane offline lub w formie niezmiennej i czy przetestowano ich odtworzenie? Czy na wszystkich punktach końcowych działa narzędzie wykrywania i reagowania? Czy starsze uwierzytelnianie poczty jest wyłączone? Właściciel firmy, dyrektor finansowy, a nawet zajęty generalista IT rzadko ma te odpowiedzi pod ręką, wraz z dowodami.
Ankieta jest częścią tego, jak ubezpieczyciel rozumie przyjmowane ryzyko. Odpowiedź, która okaże się nieprawdziwa, może stać się przedmiotem rozmowy z ubezpieczycielem, zwłaszcza po incydencie. Dokładne konsekwencje zależą od umowy i prawa właściwego dla niej, dlatego warto je sprawdzić u brokera lub ubezpieczyciela. Za dokładność swoich deklaracji odpowiadają Państwo.
Sprawdzanie jeden po drugim zasad dostępu warunkowego, przypisań ról administracyjnych, protokołów skrzynek, rekordów DNS uwierzytelniania poczty, zgodności urządzeń i rejestrowania zdarzeń, pytanie po pytaniu, to godziny pracy w kilku portalach administracyjnych. W małej lub średniej firmie ta praca konkuruje ze wszystkim, co zespół IT musi zrobić.
Nowy wniosek, roczne odnowienie, zmiana brokera lub ubezpieczyciela, przetarg od dużego klienta pytającego o Państwa ochronę: te same pytania wracają, często sformułowane inaczej. Bez ustrukturyzowanego pliku dowodowego każda runda zaczyna się od zera, a wcześniejsza praca przepada.
Każdy ubezpieczyciel tworzy własną ankietę, a sformułowania zmieniają się z formularza na formularz i z roku na rok. Poniższe obszary pojawiają się najczęściej. Opisujemy je tutaj jako powtarzające się obszary, a nie jako cytat formularza któregokolwiek ubezpieczyciela.
Dla każdego obszaru wyjaśniamy, co pytanie zwykle ma ustalić, co Państwa dzierżawa Microsoft 365 może pokazać jako dowód oraz co leży poza Microsoft 365 i musi zostać udokumentowane inaczej. Linki prowadzą do publicznej dokumentacji Microsoftu dotyczącej danej funkcji.
O co zwykle się pyta: czy MFA jest wymagane dla poczty, zdalnego dostępu, aplikacji chmurowych i każdego konta administratora, z wyjątkami czy bez?
Co może pokazać Microsoft 365: czy włączone są domyślne ustawienia zabezpieczeń lub które zasady dostępu warunkowego wymagają MFA, do kogo się stosują i kto jest wyłączony; metody uwierzytelniania zarejestrowane przez użytkowników; czy zablokowano starsze protokoły uwierzytelniania, które nie obsługują MFA.
Poza M365: VPN, brama pulpitu zdalnego lub aplikacja biznesowa, która nie loguje się przez Microsoft Entra ID, trzeba udokumentować osobno.
O co zwykle się pyta: czy systemy krytyczne i dane mają kopie zapasowe, czy co najmniej jedna kopia jest odizolowana od sieci lub chroniona przed modyfikacją, z jaką częstotliwością oraz kiedy ostatnio testowano odtworzenie?
Co może pokazać Microsoft 365: niewiele, co odpowiada na to pytanie. Ustawienia przechowywania danych w Microsoft 365 nie są kopią zapasową odizolowaną od Państwa własnych kont administratorów i nie przedstawimy ich jako takiej.
Poza M365: Państwa rozwiązanie do kopii zapasowych, izolacja ich kopii oraz raporty z testów odtwarzania. Warsztat z przewodnikiem prosi o ich opisanie i załączenie własnych dowodów, a dokument oznacza tę odpowiedź jako zadeklarowaną, a nie zmierzoną.
O co zwykle się pyta: czy wszystkie stacje robocze i serwery są chronione narzędziem wykrywania i reagowania na punktach końcowych, czy jest ono monitorowane i czy urządzenia są szyfrowane?
Co może pokazać Microsoft 365: gdy urządzenia są zarządzane przez Microsoft Intune i chronione przez Microsoft Defender: inwentarz urządzeń, wyniki zasad zgodności (na przykład szyfrowanie i minimalna wersja systemu) oraz zalecenia dotyczące bezpieczeństwa zgłaszane w Microsoft Secure Score.
Poza M365: EDR innej firmy, niezarządzane urządzenia i serwery lokalne nieobjęte narzędziami Microsoftu. Są oznaczone, a nie zgadywane.
O co zwykle się pyta: jak szybko instalowane są aktualizacje bezpieczeństwa, czy nadal używane są systemy bez wsparcia producenta i czy śledzone są krytyczne podatności systemów wystawionych do internetu?
Co może pokazać Microsoft 365: dla urządzeń zarządzanych przez Intune: reguły zgodności dotyczące minimalnych wersji systemu i urządzenia, które ich nie spełniają; tam, gdzie licencja na to pozwala, zalecenia Defendera.
Poza M365: sprzęt sieciowy, zapory, serwery i aplikacje biznesowe oraz sama procedura aktualizacji. Warsztat pomaga opisać ją prostym językiem.
O co zwykle się pyta: ile osób ma uprawnienia administratora, czy administratorzy używają osobnych kont do codziennej pracy, czy wymagane jest dla nich MFA oraz czy dostęp uprzywilejowany jest ograniczony w czasie lub zatwierdzany?
Co może pokazać Microsoft 365: kto posiada jaką rolę administratora Microsoft Entra, czy przypisania są stałe, czy kwalifikowane przez Privileged Identity Management (tam, gdzie licencja na to pozwala), oraz czy MFA obowiązuje dla tych ról.
Poza M365: lokalne konta administratorów na serwerach i stacjach roboczych, administratorzy domeny w lokalnym Active Directory oraz dostęp administracyjny do systemów innych firm.
O co zwykle się pyta: czy wdrożono SPF, DKIM i DMARC, czy filtrowane są wiadomości phishingowe i złośliwe załączniki, czy wyłączono starsze protokoły skrzynek oraz czy kontrolowane jest automatyczne przekazywanie na zewnętrzne adresy?
Co może zostać pokazane: opublikowane rekordy SPF i DMARC Państwa domen (publiczne dane DNS), konfiguracja podpisywania DKIM, zasady ochrony Exchange Online i Defender for Office 365 oraz protokoły dozwolone na skrzynkach.
Poza M365: bramka poczty innej firmy umieszczona przed Microsoft 365 oraz szkolenia uświadamiające użytkowników, które dokumentują Państwo samodzielnie.
O co zwykle się pyta: czy istnieje pisemny plan reagowania na incydenty, kto jest wzywany jako pierwszy, czy plan był ćwiczony oraz czy dzienniki zdarzeń bezpieczeństwa są przechowywane wystarczająco długo, by można je było analizować?
Co może pokazać Microsoft 365: czy ujednolicony dziennik inspekcji jest aktywny i możliwy do przeszukiwania oraz jaki obowiązuje dla niego okres przechowywania. Microsoft dokumentuje, że Inspekcja (standardowa) jest domyślnie włączony dla organizacji z odpowiednią subskrypcją i przechowuje rekordy przez 180 dni.
Poza M365: sam plan. Warsztat przygotowuje wstępny projekt krótkiego planu reagowania, obejmujący dla organizacji we Francji odruch zawiadomienia organów ścigania w ciągu 72 godzin (patrz niżej).
Ankiety często pytają także o liczbę pracowników i przechowywanych rekordów, wcześniejsze incydenty, korzystanie z dostawców mających dostęp do systemów, szyfrowanie danych oraz szkolenia z bezpieczeństwa. Niektóre z tych informacji mogą zadeklarować wyłącznie Państwo. Inne, na przykład ustawienia udostępniania zewnętrznego lub konta gości w Microsoft 365, można zmierzyć.
Sam Microsoft Secure Score zaznacza, że nie jest bezwzględną miarą prawdopodobieństwa naruszenia. Zmierzone ustawienia wykorzystujemy jako dowody dla konkretnych odpowiedzi, nigdy jako gwarancję.
Skąd pochodzi każda odpowiedź i jak zostanie oznaczona w Państwa dokumencie.
| Obszar | Źródło dowodu | Oznaczenie w dokumencie |
|---|---|---|
| MFA | Microsoft Entra ID: domyślne ustawienia zabezpieczeń, zasady dostępu warunkowego, zarejestrowane metody uwierzytelniania, stan starszego uwierzytelniania | Zmierzone, z wyjątkami wymienionymi z nazwy zasady lub grupy |
| Kopie zapasowe | Państwa narzędzie do kopii zapasowych i raporty z testów odtwarzania | Zadeklarowane przez Państwa, z załączonymi dokumentami |
| Ochrona punktów końcowych | Intune i Defender, jeśli są używane; w przeciwnym razie konsola Państwa EDR | Zmierzone dla urządzeń zarządzanych; zadeklarowane dla pozostałych |
| Aktualizacje | Wyniki zgodności w Intune; Państwa procedura dla serwerów i sprzętu sieciowego | Częściowo zmierzone, częściowo zadeklarowane |
| Konta uprzywilejowane | Przypisania ról Microsoft Entra, Privileged Identity Management tam, gdzie licencja na to pozwala | Zmierzone dla Microsoft 365; zadeklarowane dla środowiska lokalnego |
| Bezpieczeństwo poczty | Publiczny DNS (SPF, DMARC), konfiguracja DKIM, zasady Exchange Online i Defender for Office 365 | Zmierzone |
| Reagowanie na incydenty i dzienniki | Stan ujednoliconego dziennika inspekcji; Państwa pisemny plan | Dzienniki zmierzone; plan przygotowany na warsztacie, zatwierdzony przez Państwa |
Zasada jawności: nic w dokumencie nie jest przedstawiane jako zmierzone, jeśli nie zostało zmierzone. Pytanie, na które Microsoft 365 nie może odpowiedzieć, pozostaje wyraźnie tak oznaczone, aby to Państwo, a nie narzędzie, decydowali, co zadeklarować ubezpieczycielowi.
Ścieżka samoobsługowa w czterech krokach. Od pierwszego pytania do ostatecznego dokumentu Państwo zachowują kontrolę.
Krótki test online: czy ubiegają się Państwo o ochronę cyber, odnawiają ją, czy wypełniają sekcję bezpieczeństwa IT w polisie odpowiedzialności zawodowej lub innej? Czy Państwa firma ma siedzibę we Francji, gdzie obowiązuje 72-godzinny termin zgłoszenia? Które części Państwa IT działają w Microsoft 365? Wynik wskaże, które obszary Państwa dotyczą i co trzeba zebrać.
Warsztat online prowadzi Państwa przez każdy obszar. Odpowiadają Państwo swobodnie, we własnym tempie, z wyjaśnieniami, co oznacza każde pytanie i dlaczego ubezpieczyciele je zadają. Tam, gdzie Microsoft 365 może dostarczyć dowodów, wynik pomiaru pojawia się obok Państwa odpowiedzi, dzięki czemu wszelka rozbieżność między tym, w co Państwo wierzą, a tym, co jest skonfigurowane, staje się widoczna, zanim cokolwiek zadeklarują.
Otrzymują Państwo ustrukturyzowany dokument w imieniu swojej firmy: odpowiedzi według obszarów, dowody załączone do każdej z nich, oznaczone punkty poza zakresem oraz wstępny projekt karty reagowania na incydent. Jest to materiał roboczy, który przed użyciem powinien zostać sprawdzony i zatwierdzony przez Państwa doradcę, brokera lub prawnika.
Jeśli chcą Państwo drugiej pary oczu, konsultant partnerski może przejrzeć z Państwem dokument, pomóc zamknąć luki przed odnowieniem lub udokumentować punkty leżące poza Microsoft 365. Ten krok jest opcjonalny; pierwsze trzy kroki są zaprojektowane tak, by mogli Państwo wykonać je samodzielnie.
Ważne: dokument jest materiałem roboczym i nie stanowi porady prawnej. Nie zastępuje ankiety ubezpieczyciela, którą wypełniają i podpisują Państwo samodzielnie, i nie zobowiązuje żadnego ubezpieczyciela do objęcia Państwa ochroną. Za dokładność końcowej deklaracji nadal odpowiadają Państwo.
Jeden plik dowodowy, rzetelnie wskazujący, co zostało zmierzone, a co nie, który mogą Państwo ponownie wykorzystać przy każdym odnowieniu.
Jasna odpowiedź na każdy powtarzający się obszar, gotowa do przeniesienia do formularza ubezpieczyciela.
Ustawienia potwierdzające każdą odpowiedź, według stanu w Państwa dzierżawie w dniu pomiaru.
Tam, gdzie Państwa odpowiedź i zmierzona konfiguracja się rozchodzą, pojawi się to najpierw tutaj.
Krótki wstępny projekt do uzupełnienia Państwa kontaktami i zatwierdzenia wewnętrznie.
Każde stwierdzenie prawne lub regulacyjne w dokumencie wskazuje na swoje oficjalne źródło.
W przyszłym roku mierzą Państwo ponownie i porównują wyniki, zamiast zaczynać od nowa.
Dwie minuty, by odróżnić regułę prawną od dobrej praktyki, z oficjalnym źródłem za każdym razem.
Od 24 kwietnia 2023 r. art. L12-10-1 francuskiego Kodeksu ubezpieczeń uzależnia każdą wypłatę ubezpieczeniową rekompensującą straty i szkody spowodowane atakiem na zautomatyzowany system przetwarzania danych od złożenia przez poszkodowanego zawiadomienia o przestępstwie (fr. plainte) do właściwych organów nie później niż 72 godziny po dowiedzeniu się o ataku. Bieg terminu zaczyna się w chwili, gdy dowiedzą się Państwo o ataku, a nie w chwili jego rozpoczęcia.
Artykuł został wprowadzony art. 5 ustawy nr 2023-22 z 24 stycznia 2023 r. (znanej jako LOPMI). Nikogo nie zobowiązuje do zakupu ubezpieczenia cyber: określa warunek wypłaty, gdy umowa już obejmuje cyberataki.
Arkusz informacyjny Ministerstwa Spraw Wewnętrznych, rozpowszechniany przez Cybermalveillance.gouv.fr, rządową platformę dla ofiar cyberataków, przypomina ofiarom prowadzącym działalność zawodową, że ustawa z 2023 r. wymaga, aby zachować prawo do odszkodowania z umowy ubezpieczenia, złożenia zawiadomienia o przestępstwie w ciągu 72 godzin od dowiedzenia się o ataku. Wśród powodów zawiadomienia organów ścigania wymienia też uruchomienie procedury odszkodowawczej z ubezpieczenia.
Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) opublikowała 21 lutego 2024 r. raport „Cyber Insurance - Models and methods and the use of AI”. Jego deklarowanym celem jest wprowadzenie w ryzyko cyber i ubezpieczenia cyber, przegląd istniejących badań i podejść modelowych oraz wskazanie luk do dalszych badań. To przydatne tło, wyjaśniające, dlaczego ubezpieczyciele starają się ocenić stan bezpieczeństwa obejmowanych firm.
Dla podmiotów objętych jej zakresem art. 21 dyrektywy (UE) 2022/2555 (NIS2) wymienia środki zarządzania ryzykiem cyberbezpieczeństwa, obejmujące obsługę incydentów, ciągłość działania, w tym zarządzanie kopiami zapasowymi i odtwarzanie po awarii, podstawową higienę cyfrową i szkolenia, kontrolę dostępu oraz stosowanie uwierzytelniania wieloskładnikowego. Nawet poza NIS2 pokrywanie się z obszarami ubezpieczycieli oznacza, że dowody zebrane dla jednego celu służą drugiemu.
ANSSI, francuska krajowa agencja cyberbezpieczeństwa, oraz AMRAE, francuskie stowarzyszenie menedżerów ryzyka i ubezpieczeń, opublikowały przewodnik dla kadry kierowniczej „Controlling the digital risk - the trust advantage”, dostępny po angielsku i po francusku. Przedstawia on zarządzanie ryzykiem cyfrowym jako podejście krok po kroku dla organizacji każdej wielkości, czyli dokładnie w tych ramach należy czytać ankietę ubezpieczyciela.
Art. 32 RODO wymaga odpowiednich środków technicznych i organizacyjnych, w tym, w stosownych przypadkach, zdolności do szybkiego przywrócenia dostępności danych osobowych po incydencie oraz procesu regularnego testowania i oceny skuteczności tych środków. Kopie zapasowe, testy odtwarzania i kontrola dostępu mają więc znaczenie daleko wykraczające poza Państwa plik ubezpieczeniowy.
Poza Francją: powyższy 72-godzinny termin zgłoszenia wynika z prawa francuskiego. Inne kraje mają własne przepisy dotyczące ubezpieczeń i zgłaszania cyberprzestępstw, a Państwa umowa może określać własne terminy powiadomień. Warto je sprawdzić u brokera, ubezpieczyciela lub doradcy prawnego. Ta strona ma charakter informacyjny i nie stanowi porady prawnej.
Co zawiera każda opcja. Dostępność i warunki zostaną opublikowane po uruchomieniu usługi.
Ubiegają się Państwo o ochronę cyber lub po raz pierwszy wypełniają sekcję bezpieczeństwa IT.
Ankieta wraca wraz z odnowieniem, a Państwa IT zmieniło się od zeszłego roku.
Nowy formularz, sformułowany inaczej, ale pytający o te same mechanizmy kontroli.
Krótkie odpowiedzi, z oficjalnym źródłem tam, gdzie chodzi o przepis.
Sprawdzono 13 października 2026 r. Tam, gdzie tekst jest po francusku, tłumaczenie na tej stronie jest nasze i nieoficjalne.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender i Purview są znakami towarowymi Microsoft. Są przywoływane wyłącznie w celu wskazania funkcji, z których odczytywane są dowody. SYAGA Consulting nie jest powiązana z Microsoft, ENISA, ANSSI ani z żadnym ubezpieczycielem.
Ścieżka samoobsługowa jest przygotowywana. Pytania w międzyczasie: contact@syaga.eu
Materiał roboczy, nie porada prawna. Ostateczna deklaracja wobec ubezpieczyciela oraz jej dokładność pozostają po Państwa stronie.