Žiadate o kybernetické poistenie, obnovujete poistnú zmluvu alebo vypĺňate časť o IT bezpečnosti, ktorú poisťovatelia zodpovednosti čoraz častejšie zaraďujú? Otázky sú technické: viacfaktorové overenie, zálohy, ochrana koncových zariadení, aktualizácie, účty správcov, bezpečnosť e-mailu, reakcia na incidenty. Cyber Insurance Express vám pomôže pripraviť každú odpoveď na základe toho, čo je skutočne nastavené vo vašom tenante Microsoft 365, a jasne vám povie, na ktoré otázky Microsoft 365 nedokáže odpovedať.
Bezpečnostný dotazník sa stal ústrednou súčasťou nákupu alebo obnovy kybernetického krytia a len zriedka sa dá správne zodpovedať.
Je viacfaktorové overenie vynútené pri každom vzdialenom prístupe a pre každého správcu? Sú zálohy uchovávané offline alebo nemenné a bolo overené ich obnovenie? Využíva každý koncový bod nástroj na detekciu a reakciu? Je vypnuté staršie overovanie v e-maile? Majiteľ firmy, finančný riaditeľ či aj zaneprázdnený IT generalista len zriedka majú tieto odpovede po ruke a s dôkazom.
Dotazník je súčasťou toho, ako poisťovateľ chápe riziko, ktoré prijíma. Odpoveď, ktorá sa ukáže ako nepresná, sa môže stať predmetom sporu s poisťovateľom, najmä po incidente. Presné dôsledky závisia od vašej zmluvy a od práva, ktorým sa riadi: overte si ich u svojho makléra alebo poisťovateľa. Vy kontrolujete presnosť toho, čo vyhlasujete.
Kontrola politík podmieneného prístupu, priradenia rolí správcov, protokolov poštových schránok, záznamov DNS pre overenie e-mailu, súladu zariadení a auditovania, otázku po otázke, znamená hodiny práce vo viacerých administračných portáloch. V malej alebo strednej firme sa táto práca musí zmestiť medzi všetko ostatné, čo IT tím zvláda.
Nová žiadosť, ročná obnova, zmena makléra alebo poisťovateľa, výberové konanie veľkého zákazníka, ktorý sa pýta na vaše krytie: tie isté otázky sa vracajú, často inak sformulované. Bez štruktúrovaného súboru dôkazov každé kolo začína od nuly a predchádzajúca práca sa stráca.
Každý poisťovateľ si píše vlastný dotazník a znenie sa mení z jedného formulára a z jedného roka na druhý. Témy nižšie sú tie, ktoré sa objavujú najčastejšie. Sú tu opísané ako opakujúce sa témy, nie ako citácia formulára žiadneho konkrétneho poisťovateľa.
Pri každej téme vysvetlíme, čo sa otázka zvyčajne snaží zistiť, čo môže váš tenant Microsoft 365 ukázať ako dôkaz a čo leží mimo Microsoft 365 a musí sa zdokumentovať iným spôsobom. Odkazy smerujú na verejnú dokumentáciu spoločnosti Microsoft k danej funkcii.
Čo sa zvyčajne pýta: je MFA vyžadované pre e-mail, vzdialený prístup, cloudové aplikácie a každý účet správcu, s výnimkami alebo bez nich?
Čo vie ukázať Microsoft 365: či sú zapnuté predvolené nastavenia zabezpečenia, alebo ktoré politiky podmieneného prístupu vyžadujú MFA, na koho sa vzťahujú a kto je vylúčený; metódy overenia, ktoré si používatelia zaregistrovali; či sú blokované staršie protokoly overovania, ktoré nepodporujú MFA.
Mimo M365: VPN, brána vzdialenej plochy alebo podnikové aplikácie, ktoré sa neprihlasujú cez Microsoft Entra ID, musia byť zdokumentované osobitne.
Čo sa zvyčajne pýta: sú zálohované kritické systémy a dáta, je aspoň jedna kópia izolovaná od siete alebo chránená proti zmene, ako často a kedy bolo naposledy testované obnovenie?
Čo vie ukázať Microsoft 365: na túto otázku takmer nič. Nastavenia uchovávania v Microsoft 365 nie sú zálohou izolovanou od vašich vlastných účtov správcov a nebudeme ich ako takú prezentovať.
Mimo M365: vaše riešenie na zálohovanie, izolácia jeho kópií a vaše správy o testoch obnovy. Sprievodný workshop vás vyzve, aby ste ich opísali a pripojili vlastné dôkazy, a dokument túto odpoveď označí ako deklarovanú, nie meranú.
Čo sa zvyčajne pýta: sú všetky pracovné stanice a servery chránené nástrojom na detekciu a reakciu na koncových zariadeniach, je tento nástroj monitorovaný a sú zariadenia šifrované?
Čo vie ukázať Microsoft 365: ak sú zariadenia spravované cez Microsoft Intune a chránené cez Microsoft Defender, inventár zariadení, výsledky politík súladu (napríklad šifrovanie a minimálna verzia OS) a bezpečnostné odporúčania uvedené v Microsoft Secure Score.
Mimo M365: EDR od tretej strany, nespravované zariadenia a lokálne servery, ktoré nie sú zaregistrované v nástrojoch Microsoft. Sú označené, nie odhadované.
Čo sa zvyčajne pýta: ako rýchlo sa inštalujú bezpečnostné aktualizácie, či sa stále používajú operačné systémy bez podpory a či sa sledujú kritické zraniteľnosti na systémoch dostupných z internetu?
Čo vie ukázať Microsoft 365: pri zariadeniach spravovaných cez Intune pravidlá súladu pre minimálne verzie operačného systému a ktoré zariadenia ich nesplnia; tam, kde je licencia, odporúčania Defenderu.
Mimo M365: sieťové zariadenia, firewally, podnikové servery a aplikácie a samotný postup aktualizácií. Workshop vám pomôže opísať ho zrozumiteľným jazykom.
Čo sa zvyčajne pýta: koľko ľudí má práva správcu, používajú správcovia samostatné účty na každodennú prácu, je pre nich vyžadované MFA a je privilegovaný prístup časovo obmedzený alebo schvaľovaný?
Čo vie ukázať Microsoft 365: kto má akú rolu správcu v Microsoft Entra, či sú priradenia trvalé alebo oprávnené cez Privileged Identity Management (tam, kde je licencia), a či sa MFA vzťahuje na tieto roly.
Mimo M365: lokálne účty správcov na serveroch a pracovných staniciach, doménoví správcovia v lokálnom Active Directory a správcovský prístup k systémom tretích strán.
Čo sa zvyčajne pýta: sú nastavené SPF, DKIM a DMARC, filtrujú sa phishingové a škodlivé prílohy, sú vypnuté staré protokoly poštových schránok a je kontrolované automatické presmerovanie na externé adresy?
Čo sa dá ukázať: zverejnené záznamy SPF a DMARC vašich domén (verejné údaje DNS), konfigurácia podpisovania DKIM, politiky ochrany Exchange Online a Defender for Office 365 a protokoly povolené na poštových schránkach.
Mimo M365: e-mailová brána tretej strany umiestnená pred Microsoft 365 a školenie povedomia používateľov, ktoré si dokumentujete sami.
Čo sa zvyčajne pýta: existuje písomný plán reakcie na incidenty, koho sa volá ako prvého, bol otestovaný v praxi a uchovávajú sa bezpečnostné záznamy (logy) dostatočne dlho na vyšetrovanie?
Čo vie ukázať Microsoft 365: či je jednotný protokol auditu aktívny a prehľadávateľný, a aká doba uchovávania sa na neho vzťahuje. Microsoft dokumentuje, že Audit (Standard) je pre organizácie s príslušným predplatným predvolene zapnutý a uchováva záznamy 180 dní.
Mimo M365: samotný plán. Workshop vytvorí prvý návrh stručného plánu reakcie vrátane pripomienky, že organizácie vo Francúzsku musia podať trestné oznámenie do 72 hodín (pozri nižšie).
Dotazníky sa tiež často pýtajú na počet zamestnancov a evidovaných záznamov, predchádzajúce incidenty, využívanie poskytovateľov služieb s prístupom k vašim systémom, šifrovanie dát a bezpečnostné školenia. Niektoré z toho sú skutočnosti, ktoré môžete vyhlásiť iba vy. Iné, ako sú nastavenia externého zdieľania alebo hosťovské účty v Microsoft 365, sa dajú merať.
Samotný Microsoft Secure Score uvádza, že nie je absolútnou mierou toho, aká je pravdepodobnosť, že budete napadnutí. Namerané nastavenia používame ako dôkaz pre konkrétne odpovede, nikdy ako záruku.
Odkiaľ pochádza každá odpoveď a ako bude označená vo vašom dokumente.
| Téma | Odkiaľ pochádza dôkaz | Označenie vo vašom dokumente |
|---|---|---|
| MFA | Microsoft Entra ID: predvolené nastavenia zabezpečenia, politiky podmieneného prístupu, zaregistrované metódy overenia, stav staršieho overovania | Merané, s výnimkami uvedenými podľa názvu politiky alebo skupiny |
| Zálohy | Váš nástroj na zálohovanie a správy o testoch obnovy | Deklarované vami, s vašimi prílohami |
| Ochrana koncových zariadení | Intune a Defender, ak sa používajú; inak konzola vášho EDR | Merané pre spravované zariadenia; deklarované pre ostatné |
| Aktualizácie | Výsledky súladu v Intune; váš postup pre servery a sieťové zariadenia | Čiastočne merané, čiastočne deklarované |
| Privilegované účty | Priradenia rolí v Microsoft Entra, Privileged Identity Management tam, kde je licencia | Merané pre Microsoft 365; deklarované pre lokálne prostredie |
| Bezpečnosť e-mailu | Verejný DNS (SPF, DMARC), konfigurácia DKIM, politiky Exchange Online a Defender for Office 365 | Merané |
| Reakcia na incidenty a záznamy udalostí | Stav jednotného protokolu auditu; váš písomný plán | Záznamy merané; plán pripravený vo workshope, overený vami |
Jednoduché pravidlo: nič v dokumente sa neprezentuje ako merané, pokiaľ to naozaj nebolo namerané. Otázka, na ktorú Microsoft 365 nedokáže odpovedať, zostane viditeľne označená ako taká, aby o tom, čo vyhlásite svojmu poisťovateľovi, rozhodli vy, a nie nástroj.
Samoobslužný postup v štyroch krokoch. Od prvej otázky až po záverečný dokument máte všetko vo svojich rukách.
Krátky online test: žiadate o kybernetické krytie, obnovujete ho, alebo vypĺňate časť o IT bezpečnosti v poistení zodpovednosti za škodu alebo inej poistnej zmluve? Sídli vaša firma vo Francúzsku, kde platí pravidlo 72 hodín na podanie trestného oznámenia? Ktoré časti vášho IT bežia na Microsoft 365? Výsledok vám povie, ktoré témy sa na vás vzťahujú a čo budete potrebovať zhromaždiť.
Online workshop vás prevedie každou témou. Odpovedáte voľne, vlastným tempom, s vysvetleniami, čo každá otázka znamená a prečo ju poisťovatelia kladú. Tam, kde môže Microsoft 365 poskytnúť dôkaz, je nameraný výsledok umiestnený vedľa vašej odpovede, takže akýkoľvek rozdiel medzi tým, čo si myslíte, a tým, čo je nastavené, sa stane viditeľným ešte pred akýmkoľvek vyhlásením.
Dostanete štruktúrovaný dokument v mene vašej firmy: odpovede podľa tém, dôkazy pripojené ku každej z nich, označené body mimo rozsahu a prvý návrh hárku na reakciu na incidenty. Je to pracovný podklad, ktorý má pred použitím preskúmať a overiť váš vlastný poradca, maklér alebo právnik.
Ak chcete druhý pohľad, partnerský konzultant môže dokument preskúmať spolu s vami, pomôcť uzavrieť medzery pred obnovou alebo pomôcť zdokumentovať body, ktoré ležia mimo Microsoft 365. Tento krok je voliteľný; prvé tri kroky sú navrhnuté tak, aby ste ich zvládli sami.
Dôležité: dokument je pracovný podklad a nepredstavuje právne poradenstvo. Nenahrádza dotazník vášho poisťovateľa, ktorý vyplňujete a podpisujete sami, a nezaväzuje žiadneho poisťovateľa, aby vás kryl. Presnosť vášho záverečného vyhlásenia zostáva vašou zodpovednosťou.
Jeden súbor dôkazov, úprimný o tom, čo bolo namerané a čo nie, ktorý môžete znovu použiť pri každej obnove.
Jasná odpoveď na každú opakujúcu sa tému, pripravená na prenesenie do formulára vášho poisťovateľa.
Nastavenia, ktoré podporujú každú odpoveď, tak, ako boli zistené vo vašom tenante ku dňu merania.
Ak sa vaša odpoveď a namerané nastavenie nezhodujú, zobrazí sa to tu ako prvé.
Krátky prvý návrh, ktorý doplníte vlastnými kontaktmi a interne overíte.
Každé právne alebo regulačné tvrdenie v dokumente odkazuje na svoj oficiálny zdroj.
Budúci rok merajte znova a porovnávajte, namiesto toho aby ste začínali od začiatku.
Dve minúty na oddelenie právnej povinnosti od dobrej praxe, vždy s oficiálnym zdrojom.
Od 24. apríla 2023 článok L12-10-1 francúzskeho Code des assurances podmieňuje každú poistnú výplatu, ktorá nahrádza straty a škody spôsobené útokom na automatizovaný systém spracovania údajov, tým, že obeť podá trestné oznámenie u príslušných orgánov najneskôr 72 hodín po tom, ako sa o útoku dozvedela. Lehota začína plynúť, keď sa o útoku dozviete, nie odkedy sa začal.
Článok zaviedol článok 5 zákona č. 2023-22 z 24. januára 2023 (známeho ako LOPMI). Nikoho nezaväzuje kúpiť kybernetické poistenie: stanovuje podmienku pre vyplatenie plnenia vtedy, keď zmluva už kryje kybernetické útoky.
Informačný list ministerstva vnútra, šírený prostredníctvom Cybermalveillance.gouv.fr, francúzskej vládnej platformy pre obete kybernetických útokov, pripomína profesionálnym obetiam, že zákon z roku 2023 ich zaväzuje podať trestné oznámenie, aby si zachovali právo na náhradu podľa svojej poistnej zmluvy, do 72 hodín po tom, ako sa o útoku dozvedeli. Medzi dôvody na podanie trestného oznámenia uvádza aj aktiváciu procesu poistného plnenia.
Agentúra Európskej únie pre kybernetickú bezpečnosť (ENISA) zverejnila 21. februára 2024 publikáciu „Cyber Insurance - Models and methods and the use of AI“. Jej uvádzaným cieľom je predstaviť kybernetické riziko a kybernetické poistenie, poskytnúť prehľad existujúcich výskumných a modelovacích prístupov a identifikovať medzery pre budúci výskum. Je to užitočné pozadie k tomu, prečo poisťovatelia posudzujú bezpečnostný stav firiem, ktoré poistia.
Pre subjekty v jej pôsobnosti článok 21 smernice (EÚ) 2022/2555 (NIS2) uvádza opatrenia na riadenie kybernetického rizika, ktoré zahŕňajú riešenie incidentov, kontinuitu činností, napríklad správu záloh a obnovu po havárii, základnú kybernetickú hygienu a školenia, kontrolu prístupu a používanie viacfaktorového overenia. Aj mimo NIS2 prekrývanie s témami poisťovateľov znamená, že dôkazy, ktoré zhromaždíte pre jedno, slúžia aj pre druhé.
Agentúra ANSSI, francúzska národná agentúra pre kybernetickú bezpečnosť, a AMRAE, francúzske združenie manažérov rizík a poistenia, zverejnili príručku pre vedúcich pracovníkov „Controlling the digital risk - the trust advantage“, dostupnú v angličtine a francúzštine. Predstavuje riadenie digitálneho rizika ako postup krok za krokom pre organizácie všetkých veľkostí, čo je presne rámec, v ktorom treba čítať dotazník poisťovateľa.
Článok 32 GDPR vyžaduje primerané technické a organizačné opatrenia vrátane, podľa potreby, schopnosti včas obnoviť dostupnosť osobných údajov po incidente a postupu na pravidelné testovanie a hodnotenie účinnosti týchto opatrení. Zálohy, testy obnovy a kontrola prístupu preto majú význam ďaleko presahujúci váš poistný spis.
Mimo Francúzska: pravidlo 72 hodín na podanie trestného oznámenia uvedené vyššie je francúzske právo. Iné krajiny majú vlastné pravidlá pre poistenie a hlásenie kyberkriminality a vaša zmluva môže stanoviť vlastné lehoty na oznámenie. Overte si ich u svojho makléra, poisťovateľa alebo právneho poradcu. Táto stránka je informácia, nie právne poradenstvo.
Čo obsahuje každá možnosť. Dostupnosť a podmienky budú zverejnené pri spustení služby.
Žiadate o kybernetické krytie alebo prvýkrát odpovedáte na časť o IT bezpečnosti.
Dotazník sa vracia pri obnove a vaše IT sa od minulého roka zmenilo.
Nový formulár, inak sformulovaný, ale pýtajúci sa na tie isté kontroly.
Krátke odpovede s oficiálnym zdrojom, kde ide o pravidlo.
Konzultované 13. októbra 2026. Ak je text vo francúzštine, preklad na tejto stránke je náš a neoficiálny.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender a Purview sú ochranné známky spoločnosti Microsoft. Uvádzajú sa iba na pomenovanie funkcií, z ktorých sa číta dôkaz. SYAGA Consulting nie je prepojená so spoločnosťou Microsoft, s agentúrou ENISA, s agentúrou ANSSI ani so žiadnym poisťovateľom.
Samoobslužný postup sa pripravuje. Medzitým otázky na: contact@syaga.eu
Pracovný podklad, nie právne poradenstvo. Záverečné vyhlásenie voči vášmu poisťovateľovi a jeho presnosť zostávajú vašou zodpovednosťou.