Solicitați o asigurare cibernetică, reînnoiți o poliță sau completați secțiunea de securitate IT pe care asigurătorii de răspundere profesională o includ tot mai des? Întrebările sunt tehnice: autentificarea multifactor, copiile de rezervă, protecția endpoint-urilor, actualizările, conturile de administrator, securitatea e-mailului, răspunsul la incidente. Cyber Insurance Express vă ajută să pregătiți fiecare răspuns pe baza a ceea ce este efectiv configurat în tenantul dvs. Microsoft 365 și vă spune clar la ce întrebări Microsoft 365 nu poate răspunde.
Chestionarul de securitate a devenit o parte centrală a cumpărării sau reînnoirii unei asigurări cibernetice și rareori este ușor de completat corect.
Autentificarea multifactor este impusă pentru fiecare acces de la distanță și pentru fiecare administrator? Copiile de rezervă sunt păstrate offline sau imuabile, iar o restaurare a fost testată? Toate endpoint-urile rulează un instrument de detecție și răspuns? Autentificarea moștenită (legacy) a e-mailului este dezactivată? Un patron, un director financiar sau chiar un specialist IT generalist, ocupat, rareori au aceste răspunsuri la îndemână, împreună cu dovezile lor.
Chestionarul face parte din modul în care asigurătorul înțelege riscul pe care îl acceptă. Un răspuns care se dovedește inexact poate deveni un motiv de dispută cu asigurătorul, mai ales după un incident. Consecințele exacte depind de contractul dvs. și de legea care îl guvernează: verificați-le cu brokerul sau asigurătorul. Ceea ce puteți controla este exactitatea a ceea ce declarați.
Verificarea una câte una a politicilor de acces condiționat, a atribuirilor de roluri de administrator, a protocoalelor casetelor poștale, a înregistrărilor DNS pentru autentificarea e-mailului, a conformității dispozitivelor și a jurnalizării de audit, întrebare cu întrebare, înseamnă ore de lucru în mai multe portaluri de administrare. Într-o firmă mică sau mijlocie, această muncă concurează cu tot restul pe care echipa IT trebuie să-l facă.
Cerere nouă, reînnoire anuală, schimbare de broker sau de asigurător, cerere de ofertă a unui client important care întreabă despre asigurarea dvs.: aceleași întrebări revin, adesea formulate altfel. Fără un dosar structurat de dovezi, fiecare rundă pornește de la zero, iar munca anterioară se pierde.
Fiecare asigurător își redactează propriul chestionar, iar formularea diferă de la un formular la altul și de la un an la altul. Temele de mai jos sunt cele care apar frecvent. Sunt prezentate aici ca teme recurente, nu ca o citare a formularului vreunui asigurător anume.
Pentru fiecare temă, explicăm ce încearcă de obicei să stabilească întrebarea, ce poate arăta tenantul dvs. Microsoft 365 drept dovadă și ce se află în afara Microsoft 365 și trebuie documentat altfel. Linkurile trimit către documentația publică a Microsoft despre funcționalitatea respectivă.
Ce se întreabă de obicei: MFA este obligatorie pentru e-mail, pentru accesul de la distanță, pentru aplicațiile cloud și pentru fiecare cont de administrator, cu sau fără excepții?
Ce poate arăta Microsoft 365: dacă valorile implicite de securitate sunt activate sau care politici de acces condiționat impun MFA, cui se aplică și cine este exclus; metodele de autentificare înregistrate de utilizatori; dacă protocoalele de autentificare moștenită, care nu pot transporta MFA, sunt blocate.
În afara M365: un VPN, un gateway Desktop la distanță sau o aplicație de business care nu se autentifică prin Microsoft Entra ID trebuie documentat separat.
Ce se întreabă de obicei: sistemele și datele critice sunt salvate, cel puțin o copie este izolată de rețea sau protejată împotriva modificării, cât de des, iar când a fost testată ultima oară o restaurare?
Ce poate arăta Microsoft 365: aproape nimic care să răspundă la această întrebare. Setările de retenție din Microsoft 365 nu sunt o copie de rezervă izolată de conturile dvs. de administrator și nu le vom prezenta drept atare.
În afara M365: soluția dvs. de backup, izolarea copiilor sale și rapoartele testelor de restaurare. Atelierul ghidat vă cere să le descrieți și să atașați propriile dovezi, iar documentul etichetează acest răspuns ca declarat, nu măsurat.
Ce se întreabă de obicei: toate stațiile de lucru și serverele sunt protejate de un instrument de detecție și răspuns al endpoint-urilor, este acesta monitorizat și sunt dispozitivele criptate?
Ce poate arăta Microsoft 365: atunci când dispozitivele sunt gestionate cu Microsoft Intune și protejate cu Microsoft Defender: inventarul dispozitivelor, rezultatele politicilor de conformitate (de exemplu criptarea și versiunea minimă a sistemului de operare) și recomandările de securitate raportate în Microsoft Secure Score.
În afara M365: un EDR terț, dispozitivele negestionate și serverele locale neînrolate în instrumentele Microsoft. Sunt semnalate, nu ghicite.
Ce se întreabă de obicei: cât de repede sunt aplicate actualizările de securitate, mai sunt folosite sisteme de operare fără suport și sunt urmărite vulnerabilitățile critice ale sistemelor expuse pe internet?
Ce poate arăta Microsoft 365: pentru dispozitivele gestionate cu Intune, regulile de conformitate privind versiunile minime ale sistemului de operare și dispozitivele care nu le respectă; acolo unde există licență, recomandările Defender.
În afara M365: echipamentele de rețea, firewall-urile, serverele și aplicațiile de business, precum și procedura dvs. de actualizare. Atelierul vă ajută să o descrieți în limbaj simplu.
Ce se întreabă de obicei: câte persoane au drepturi de administrator, folosesc administratorii conturi separate pentru lucrul zilnic, este MFA impusă pentru ei și accesul privilegiat este limitat în timp sau aprobat?
Ce poate arăta Microsoft 365: cine deține ce rol de administrator Microsoft Entra, dacă atribuirile sunt permanente sau eligibile prin Privileged Identity Management (acolo unde există licență) și dacă MFA se aplică acestor roluri.
În afara M365: conturile locale de administrator de pe servere și stații de lucru, administratorii de domeniu dintr-un Active Directory local și accesul administrativ la sistemele terțe.
Ce se întreabă de obicei: sunt configurate SPF, DKIM și DMARC, sunt filtrate mesajele de phishing și atașamentele malițioase, sunt dezactivate protocoalele învechite ale casetelor poștale și este controlată redirecționarea automată către adrese externe?
Ce se poate arăta: înregistrările SPF și DMARC publicate ale domeniilor dvs. (date DNS publice), configurarea semnării DKIM, politicile de protecție Exchange Online și Defender for Office 365 și protocoalele permise pe casetele poștale.
În afara M365: un gateway de e-mail terț plasat în fața Microsoft 365 și formarea de conștientizare a utilizatorilor, pe care o documentați singur.
Ce se întreabă de obicei: există un plan scris de răspuns la incidente, cine este apelat primul, a fost exersat și sunt jurnalele de securitate păstrate suficient de mult pentru a putea investiga?
Ce poate arăta Microsoft 365: dacă jurnalul unificat de audit este activ și căutabil și ce retenție i se aplică. Microsoft documentează că Audit (Standard) este activat implicit pentru organizațiile cu abonamentul potrivit și păstrează înregistrările 180 de zile.
În afara M365: planul în sine. Atelierul produce un prim proiect de plan scurt de răspuns, inclusiv, pentru organizațiile din Franța, reflexul de a depune plângere în termen de 72 de ore (vezi mai jos).
Chestionarele întreabă adesea și despre numărul de angajați și de înregistrări deținute, incidente anterioare, folosirea furnizorilor de servicii cu acces la sistemele dvs., criptarea datelor și formarea în securitate. Unele dintre acestea sunt fapte pe care doar dvs. le puteți declara. Altele, cum ar fi setările de partajare externă sau conturile de oaspeți din Microsoft 365, pot fi măsurate.
Microsoft Secure Score afirmă el însuși că nu este o măsură absolută a probabilității de a fi compromis. Folosim setările măsurate drept dovezi pentru răspunsuri specifice, niciodată drept garanție.
De unde provine fiecare răspuns și cum va fi etichetat în documentul dvs.
| Temă | De unde provin dovezile | Eticheta din documentul dvs. |
|---|---|---|
| MFA | Microsoft Entra ID: valori implicite de securitate, politici de acces condiționat, metode de autentificare înregistrate, starea autentificării moștenite | Măsurată, cu excepțiile listate pe numele politicii sau al grupului |
| Copii de rezervă | Instrumentul dvs. de backup și rapoartele testelor de restaurare | Declarate de dvs., cu atașamentele dvs. |
| Protecția endpoint-urilor | Intune și Defender, dacă sunt utilizate; altfel consola dvs. EDR | Măsurată pentru dispozitivele gestionate; declarată pentru restul |
| Actualizări | Rezultatele conformității Intune; procedura dvs. pentru servere și echipamente de rețea | Parțial măsurată, parțial declarată |
| Conturi privilegiate | Atribuirile de roluri Microsoft Entra, Privileged Identity Management acolo unde există licență | Măsurată pentru Microsoft 365; declarată pentru infrastructura locală |
| Securitatea e-mailului | DNS public (SPF, DMARC), configurarea DKIM, politicile Exchange Online și Defender for Office 365 | Măsurată |
| Răspuns la incidente și jurnale | Starea jurnalului unificat de audit; planul dvs. scris | Jurnale măsurate; plan redactat în atelier, validat de dvs. |
Regula simplă: nimic din document nu este prezentat drept măsurat dacă nu a fost măsurat. O întrebare la care Microsoft 365 nu poate răspunde rămâne vizibil marcată ca atare, pentru ca dumneavoastră, și nu un instrument, să decideți ce declarați asigurătorului.
Un parcurs self-service în patru pași. Rămâneți în control de la prima întrebare până la documentul final.
Un test scurt online: solicitați o asigurare cibernetică, o reînnoiți sau răspundeți la secțiunea de securitate IT a unei polițe de răspundere profesională sau de alt tip? Compania dvs. este stabilită în Franța, unde se aplică regula celor 72 de ore pentru plângere? Ce părți ale IT-ului dvs. rulează pe Microsoft 365? Rezultatul vă arată ce teme vă privesc și ce trebuie să strângeți.
Un atelier online vă parcurge fiecare temă. Răspundeți liber, în ritmul dvs., cu explicații despre ce înseamnă fiecare întrebare și de ce o pun asigurătorii. Acolo unde Microsoft 365 poate furniza dovezi, rezultatul măsurat este așezat lângă răspunsul dvs., astfel încât orice decalaj între ce credeți și ce este configurat devine vizibil înainte de a declara ceva.
Primiți un document structurat în numele companiei dvs.: răspunsuri pe fiecare temă, dovezile atașate fiecăreia, punctele din afara sferei semnalate și un prim proiect de fișă de răspuns la incidente. Este o bază de lucru, care trebuie revizuită și validată de consilierul, brokerul sau avocatul dvs. înainte de utilizare.
Dacă doriți o a doua privire, un consultant partener poate revizui documentul împreună cu dvs., vă poate ajuta să închideți decalajele înainte de reînnoire sau să documentați punctele aflate în afara Microsoft 365. Acest pas este opțional; primii trei pași sunt concepuți pentru a fi parcurși singur.
Important: documentul este o bază de lucru și nu constituie consultanță juridică. Nu înlocuiește chestionarul asigurătorului dvs., pe care îl completați și îl semnați singur, și nu angajează niciun asigurător să vă acopere. Exactitatea declarației finale rămâne responsabilitatea dvs.
Un dosar de dovezi, onest cu privire la ceea ce a fost măsurat și la ceea ce nu, pe care îl puteți reutiliza la fiecare reînnoire.
Un răspuns clar pentru fiecare temă recurentă, gata de transferat în formularul propriu al asigurătorului.
Setările care susțin fiecare răspuns, așa cum au fost găsite în tenantul dvs. la data măsurării.
Acolo unde răspunsul dvs. și configurația măsurată nu coincid, acest lucru apare întâi aici.
Un prim proiect scurt, de completat cu propriile contacte și de validat intern.
Fiecare afirmație juridică sau de reglementare din document trimite către sursa sa oficială.
Anul viitor, măsurați din nou și comparați, în loc să porniți de la zero.
Două minute pentru a separa ce este regulă juridică de ce este bună practică, cu sursa oficială de fiecare dată.
Din 24 aprilie 2023, articolul L12-10-1 din Codul francez al asigurărilor condiționează orice plată de asigurare care compensează pierderile și prejudiciile cauzate de un atac asupra unui sistem automat de prelucrare a datelor de depunerea unei plângeri de către victimă la autoritățile competente, în cel mult 72 de ore de la momentul în care a luat cunoștință de atac. Termenul începe din momentul în care luați cunoștință de atac, nu de la momentul în care a început.
Articolul a fost creat prin articolul 5 din Legea nr. 2023-22 din 24 ianuarie 2023 (cunoscută sub numele de LOPMI). Nu obligă pe nimeni să cumpere asigurare cibernetică: stabilește o condiție pentru a fi despăgubit atunci când un contract acoperă deja atacurile cibernetice.
O fișă a Ministerului de Interne distribuită prin Cybermalveillance.gouv.fr, platforma guvernamentală franceză pentru victimele atacurilor cibernetice, amintește victimelor profesionale că legea din 2023 le obligă să depună plângere pentru a-și păstra dreptul la despăgubire în baza contractului de asigurare, în cel mult 72 de ore de la luarea la cunoștință a atacului. Printre motivele pentru depunerea plângerii, fișa enumeră și activarea procedurii de despăgubire prin asigurare.
Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) a publicat „Cyber Insurance - Models and methods and the use of AI” la 21 februarie 2024. Scopul declarat este de a introduce riscul cibernetic și asigurarea cibernetică, de a oferi o imagine de ansamblu asupra cercetărilor și abordărilor de modelare existente și de a identifica lacunele pentru cercetările viitoare. Este un context util pentru a înțelege de ce asigurătorii încearcă să evalueze postura de securitate a companiilor pe care le acoperă.
Pentru entitățile incluse în domeniul său de aplicare, articolul 21 din Directiva (UE) 2022/2555 (NIS2) enumeră măsurile de gestionare a riscurilor de securitate cibernetică, printre care gestionarea incidentelor, continuitatea activității, inclusiv gestionarea copiilor de rezervă și recuperarea în caz de dezastru, igiena cibernetică de bază și formarea, controlul accesului și utilizarea autentificării multifactor. Chiar și în afara NIS2, suprapunerea cu temele asigurătorilor înseamnă că dovezile pe care le strângeți pentru una servesc și celeilalte.
ANSSI, agenția națională franceză pentru securitate cibernetică, și AMRAE, asociația franceză a managerilor de risc și asigurări, au publicat un ghid pentru conducători, „Controlling the digital risk - the trust advantage”, disponibil în engleză și franceză. Prezintă gestionarea riscului digital ca o abordare pas cu pas pentru organizații de toate dimensiunile, exact cadrul în care ar trebui citit chestionarul unui asigurător.
Articolul 32 din RGPD impune măsuri tehnice și organizatorice adecvate, inclusiv, după caz, capacitatea de a restabili în timp util disponibilitatea datelor cu caracter personal după un incident și un proces de testare și evaluare periodică a eficacității acestor măsuri. Copiile de rezervă, testele de restaurare și controlul accesului contează, așadar, cu mult dincolo de dosarul dvs. de asigurare.
În afara Franței: regula celor 72 de ore de mai sus este drept francez. Alte țări au propriile reguli privind asigurările și raportarea criminalității informatice, iar contractul dvs. poate stabili propriile termene de notificare. Verificați-le cu brokerul, asigurătorul sau consilierul juridic. Această pagină este informativă și nu constituie consultanță juridică.
Ce conține fiecare opțiune. Disponibilitatea și condițiile vor fi publicate la deschiderea serviciului.
Solicitați o asigurare cibernetică sau răspundeți pentru prima dată unei secțiuni de securitate IT.
Chestionarul revine odată cu reînnoirea, iar IT-ul dvs. s-a schimbat de la anul trecut.
Un formular nou, formulat altfel, dar care întreabă despre aceleași măsuri.
Răspunsuri scurte, cu sursa oficială acolo unde este implicată o regulă.
Consultate la 13 octombrie 2026. Acolo unde un text este în franceză, traducerea de pe această pagină este a noastră și neoficială.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender și Purview sunt mărci ale Microsoft. Sunt citate doar pentru a numi funcționalitățile din care se citesc dovezile. SYAGA Consulting nu este afiliată la Microsoft, la ENISA, la ANSSI și nici la un asigurător.
Parcursul self-service este în pregătire. Întrebări între timp: contact@syaga.eu
Bază de lucru, nu consultanță juridică. Declarația finală către asigurătorul dvs. și exactitatea ei rămân responsabilitatea dvs.