Prijavljate se za kibernetsko zavarovanje, obnavljate polico ali izpolnjujete del o informacijski varnosti, ki ga zavarovalnice za poklicno odgovornost vse pogosteje vključujejo? Vprašanja so tehnična: večfaktorsko preverjanje pristnosti, varnostne kopije, zaščita končnih točk, posodabljanje, skrbniški računi, varnost e-pošte, odziv na incidente. Cyber Insurance Express vam pomaga pripraviti vsak odgovor na podlagi tega, kar je dejansko nastavljeno v vašem najemniku Microsoft 365, in jasno pove, na katera vprašanja Microsoft 365 ne more odgovoriti.
Vprašalnik o varnosti je postal osrednji del nakupa ali obnove kibernetskega zavarovanja, na vprašanja pa je redko lahko odgovoriti natančno.
Ali je večfaktorsko preverjanje pristnosti uveljavljeno za vsak oddaljeni dostop in vsakega skrbnika? Ali so varnostne kopije shranjene brez povezave ali nespremenljive in ali je bila obnovitev preizkušena? Ali na vseh končnih točkah deluje orodje za zaznavanje in odziv? Ali je zastarelo preverjanje pristnosti za e-pošto izklopljeno? Lastnik podjetja, finančni direktor ali celo zaposleni IT-generalist teh odgovorov redko ima pri roki, podprtih z dokazi.
Vprašalnik je del tega, kako zavarovalnica razume tveganje, ki ga sprejema. Odgovor, ki se izkaže za netočen, lahko postane predmet spora z zavarovalnico, zlasti po incidentu. Natančne posledice so odvisne od vaše pogodbe in zakona, ki jo ureja: preverite jih pri svojem posredniku ali zavarovalnici. Nadzirate lahko točnost tistega, kar izjavite.
Preverjanje pravil pogojnega dostopa, dodelitev skrbniških vlog, protokolov poštnih predalov, zapisov DNS za preverjanje pristnosti e-pošte, skladnosti naprav in revizijskega dnevnika, enega za drugim, vprašanje za vprašanjem, pomeni ure dela v več skrbniških portalih. V majhnem ali srednje velikem podjetju to delo tekmuje z vsem drugim, kar mora IT ekipa opraviti.
Nova prijava, letna obnova, zamenjava posrednika ali zavarovalnice, razpis velikega kupca, ki sprašuje o vašem zavarovanju: enaka vprašanja se vrnejo, pogosto z drugačno formulacijo. Brez strukturirane dokazne mape se vsak krog začne od začetka, prejšnje delo pa se izgubi.
Vsaka zavarovalnica pripravi svoj vprašalnik, formulacije pa se spreminjajo od obrazca do obrazca in iz leta v leto. Spodnje teme se pogosto pojavljajo. Tu so opisane kot ponavljajoče se teme, ne kot citat obrazca katere koli zavarovalnice.
Pri vsaki temi pojasnjujemo, kaj vprašanje običajno želi ugotoviti, kaj lahko vaš najemnik Microsoft 365 pokaže kot dokaz in kaj je zunaj Microsoft 365 ter mora biti dokumentirano drugače. Povezave vodijo na javno dokumentacijo Microsofta o zadevni funkciji.
Kaj se običajno sprašuje: ali je MFA zahtevana za e-pošto, oddaljeni dostop, aplikacije v oblaku in za vsak skrbniški račun, z izjemami ali brez?
Kaj lahko pokaže Microsoft 365: ali so omogočene privzete varnostne nastavitve ali katera pravila pogojnega dostopa zahtevajo MFA, za koga veljajo in kdo je izvzet; metode preverjanja pristnosti, ki so jih uporabniki registrirali; ali so zastareli protokoli preverjanja pristnosti, ki ne podpirajo MFA, blokirani.
Zunaj M365: VPN, prehod za oddaljeno namizje ali poslovna aplikacija, ki se ne prijavlja prek Microsoft Entra ID, mora biti dokumentirana ločeno.
Kaj se običajno sprašuje: ali so kritični sistemi in podatki varnostno kopirani, ali je vsaj ena kopija izolirana od omrežja ali zaščitena pred spreminjanjem, kako pogosto in kdaj je bila obnovitev nazadnje preizkušena?
Kaj lahko pokaže Microsoft 365: malo, kar bi odgovorilo na to vprašanje. Nastavitve hrambe v Microsoft 365 niso varnostna kopija, izolirana od vaših lastnih skrbniških računov, in tega tudi ne bomo predstavljali kot tako.
Zunaj M365: vaša rešitev za varnostno kopiranje, izolacija njenih kopij in poročila o preizkusih obnovitve. Vodena delavnica vas prosi, da jih opišete in priložite lastne dokaze, dokument pa ta odgovor označi kot izjavljen, ne izmerjen.
Kaj se običajno sprašuje: ali so vse delovne postaje in strežniki zaščiteni z orodjem za zaznavanje in odziv na končnih točkah, ali je to nadzorovano in ali so naprave šifrirane?
Kaj lahko pokaže Microsoft 365: kadar so naprave upravljane z Microsoft Intune in zaščitene z orodjem Microsoft Defender, popis naprav, rezultate pravilnikov o skladnosti (na primer šifriranje in najnižjo različico OS) ter varnostna priporočila, navedena v Microsoft Secure Score.
Zunaj M365: EDR drugega proizvajalca, neupravljane naprave in lokalni strežniki, ki niso vključeni v Microsoftova orodja. Označeni so, ne ugibani.
Kaj se običajno sprašuje: kako hitro se nameščajo varnostne posodobitve, ali se še uporabljajo operacijski sistemi brez podpore in ali se spremljajo kritične ranljivosti sistemov, dostopnih z interneta?
Kaj lahko pokaže Microsoft 365: za naprave, upravljane z Intune, pravilnike o skladnosti za najnižje različice operacijskega sistema in katere naprave jih ne izpolnjujejo; kjer je licencirano, priporočila orodja Defender.
Zunaj M365: omrežna oprema, požarni zidovi, strežniki in aplikacije za poslovne procese ter sam postopek posodabljanja. Delavnica vam pomaga, da ga opišete v preprostem jeziku.
Kaj se običajno sprašuje: koliko oseb ima skrbniške pravice, ali skrbniki za vsakodnevno delo uporabljajo ločene račune, ali je zanje zahtevana MFA in ali je privilegiran dostop časovno omejen ali odobren?
Kaj lahko pokaže Microsoft 365: kdo ima katero skrbniško vlogo Microsoft Entra, ali so dodelitve trajne ali upravičene prek Privileged Identity Management (kjer je licencirano) in ali MFA velja za te vloge.
Zunaj M365: lokalni skrbniški računi na strežnikih in delovnih postajah, domenski skrbniki v lokalnem Active Directory ter skrbniški dostop do sistemov drugih ponudnikov.
Kaj se običajno sprašuje: ali so uveljavljeni SPF, DKIM in DMARC, ali se filtrirajo sporočila z lažnim predstavljanjem (phishing) in zlonamerne priloge, ali so zastareli protokoli poštnih predalov onemogočeni in ali je nadzorovano samodejno posredovanje sporočil na zunanje naslove?
Kaj je mogoče pokazati: objavljene zapise SPF in DMARC za vaše domene (javni podatki DNS), konfiguracijo podpisovanja DKIM, pravila zaščite Exchange Online in Microsoft Defender za Office 365 ter protokole, dovoljene na poštnih predalih.
Zunaj M365: prehod za e-pošto drugega proizvajalca, nameščen pred Microsoft 365, ter usposabljanje uporabnikov za ozaveščanje o varnosti, ki ga dokumentirate sami.
Kaj se običajno sprašuje: ali obstaja pisni načrt odziva na incidente, koga se pokliče najprej, ali je bil preizkušen in ali se varnostni dnevniki hranijo dovolj dolgo za preiskavo?
Kaj lahko pokaže Microsoft 365: ali je enotni revizijski dnevnik vklopljen in ga je mogoče iskati ter kakšno obdobje hrambe zanj velja. Microsoft navaja, da je Audit (Standard) privzeto omogočen za organizacije z ustrezno naročnino in hrani zapise 180 dni.
Zunaj M365: sam načrt. Delavnica pripravi prvi osnutek kratkega načrta odziva, vključno z obveznostjo, da se za organizacije v Franciji prijava vloži v 72 urah (glej spodaj).
Vprašalniki pogosto sprašujejo tudi o številu zaposlenih in količini hranjenih evidenc, preteklih incidentih, uporabi ponudnikov storitev z dostopom do vaših sistemov, šifriranju podatkov in usposabljanju za varnost. Nekatera dejstva lahko izjavite samo vi. Druga, na primer nastavitve zunanjega deljenja ali gostujoči računi v Microsoft 365, je mogoče izmeriti.
Sam Microsoft Secure Score navaja, da ni absolutno merilo verjetnosti, da bo prišlo do vdora v vaše okolje. Izmerjene nastavitve uporabljamo kot dokaz za posamezne odgovore, nikoli kot jamstvo.
Od kod prihaja vsak odgovor in kako bo označen v vašem dokumentu.
| Tema | Od kod prihajajo dokazi | Oznaka v vašem dokumentu |
|---|---|---|
| MFA | Microsoft Entra ID: privzete varnostne nastavitve, pravila pogojnega dostopa, registrirane metode preverjanja pristnosti, stanje zastarelega preverjanja pristnosti | Izmerjeno, z izjemami, navedenimi po imenu pravila ali skupine |
| Varnostne kopije | Vaše orodje za varnostno kopiranje in poročila o preizkusih obnovitve | Izjavite vi, s svojimi prilogami |
| Zaščita končnih točk | Intune in Defender, kadar se uporabljata; sicer vaša konzola EDR | Izmerjeno za upravljane naprave; izjavljeno za ostale |
| Posodabljanje | Rezultati skladnosti Intune; vaš postopek za strežnike in omrežno opremo | Delno izmerjeno, delno izjavljeno |
| Privilegirani računi | Dodelitve vlog Microsoft Entra, Privileged Identity Management, kjer je licencirano | Izmerjeno za Microsoft 365; izjavljeno za lokalne sisteme |
| Varnost e-pošte | Javni DNS (SPF, DMARC), konfiguracija DKIM, pravila Exchange Online in Microsoft Defender za Office 365 | Izmerjeno |
| Odziv na incidente in dnevniki | Stanje enotnega revizijskega dnevnika; vaš pisni načrt | Dnevniki izmerjeni; načrt pripravljen na delavnici, potrdite ga vi |
Preprosto pravilo: noben del dokumenta ni predstavljen kot izmerjen, če ni bil izmerjen. Vprašanje, na katero Microsoft 365 ne more odgovoriti, ostane jasno označeno, tako da o tem, kaj boste izjavili zavarovalnici, odločate vi in ne orodje.
Samopostrežna pot v štirih korakih. Od prvega vprašanja do končnega dokumenta imate nadzor vi.
Kratek spletni test: ali se prijavljate za kibernetsko zavarovanje, ga obnavljate ali izpolnjujete del o informacijski varnosti v polici za poklicno odgovornost ali drugi polici? Ali je vaše podjetje v Franciji, kjer velja pravilo 72 ur za prijavo? Kateri deli vašega IT-okolja se izvajajo v Microsoft 365? Rezultat vam pove, katere teme veljajo za vas in kaj boste morali zbrati.
Spletna delavnica vas vodi skozi vsako temo. Odgovarjate prosto, v svojem tempu, z razlagami, kaj pomeni vsako vprašanje in zakaj ga zavarovalnice postavljajo. Kjer Microsoft 365 lahko zagotovi dokaze, je izmerjeni rezultat postavljen ob vaš odgovor, tako da je vsako neskladje med tem, kar verjamete, in tem, kar je dejansko nastavljeno, vidno, preden kaj izjavite.
Prejmete strukturiran dokument z imenom vašega podjetja: odgovore po temah, dokaze, priložene k vsakemu, označene točke zunaj obsega ter prvi osnutek navodil za odziv na incidente. Gre za delovno podlago, ki jo mora pred uporabo pregledati in potrditi vaš svetovalec, posrednik ali pravni zastopnik.
Če želite drugo mnenje, lahko partnerski svetovalec z vami pregleda dokument, pomaga zapreti vrzeli pred obnovo ali pomaga dokumentirati točke, ki so zunaj Microsoft 365. Ta korak je neobvezen; prve tri korake je mogoče opraviti samostojno.
Pomembno: dokument je delovna podlaga in ne pomeni pravnega nasveta. Ne nadomešča vprašalnika vaše zavarovalnice, ki ga izpolnite in podpišete sami, in nobene zavarovalnice ne zavezuje, da vas zavaruje. Točnost vaše končne izjave ostaja vaša odgovornost.
Ena dokazna mapa, ki iskreno pove, kaj je bilo izmerjeno in kaj ne, in jo lahko ponovno uporabite ob vsaki obnovi.
Jasen odgovor za vsako ponavljajočo se temo, pripravljen za prenos v obrazec vaše zavarovalnice.
Nastavitve, ki podpirajo vsak odgovor, kakor so bile ugotovljene v vašem najemniku na datum meritve.
Kjer se vaš odgovor in izmerjena konfiguracija ne ujemata, se to prikaže najprej tukaj.
Kratek prvi osnutek, ki ga dopolnite s svojimi stiki in interno potrdite.
Vsaka pravna ali regulativna trditev v dokumentu kaže na svoj uradni vir.
Naslednje leto spet izmerite in primerjajte, namesto da začnete od začetka.
Dve minuti, da ločite pravno pravilo od dobre prakse, vsakokrat z uradnim virom.
Od 24. aprila 2023 člen L12-10-1 francoskega Zavarovalnega zakonika pogojuje vsako zavarovalniško izplačilo, ki krije izgube in škodo zaradi napada na sistem avtomatizirane obdelave podatkov, s tem, da žrtev vloži prijavo pri pristojnih organih najpozneje 72 ur po tem, ko izve za napad. Rok začne teči, ko izveste za napad, ne pa, ko se je ta začel.
Člen je uvedel 5. člen zakona št. 2023-22 z dne 24. januarja 2023 (znan kot LOPMI). Nikogar ne zavezuje k nakupu kibernetskega zavarovanja: določa pogoj za izplačilo, kadar pogodba že krije kibernetske napade.
Informativni list francoskega ministrstva za notranje zadeve, ki ga distribuira Cybermalveillance.gouv.fr, francoska vladna platforma za žrtve kibernetskih napadov, opominja poklicne žrtve, da jih zakon iz leta 2023 zavezuje k vložitvi prijave, če želijo ohraniti pravico do odškodnine po svoji zavarovalni pogodbi, v 72 urah po tem, ko izvejo za napad. Med razlogi za vložitev prijave navaja tudi sprožitev postopka zavarovalniške odškodnine.
Agencija Evropske unije za kibernetsko varnost (ENISA) je 21. februarja 2024 objavila »Cyber Insurance - Models and methods and the use of AI«. Njen navedeni namen je predstaviti kibernetsko tveganje in kibernetsko zavarovanje, podati pregled obstoječih raziskav in modelnih pristopov ter opredeliti vrzeli za prihodnje raziskave. Je uporabno ozadje o tem, zakaj zavarovalnice poskušajo oceniti varnostno stanje zavarovanih podjetij.
Za subjekte, ki jih direktiva zajema, 21. člen Direktive (EU) 2022/2555 (NIS2) navaja ukrepe za obvladovanje kibernetskih tveganj, ki vključujejo obravnavo incidentov, neprekinjeno poslovanje, kot sta upravljanje varnostnih kopij in obnova po nesreči, osnovno kibernetsko higieno in usposabljanje, nadzor dostopa ter uporabo večfaktorskega preverjanja pristnosti. Tudi zunaj NIS2 se ukrepi prekrivajo s temami zavarovalnic, zato dokazi, ki jih zberete za eno, služijo tudi drugemu.
ANSSI, francoska nacionalna agencija za kibernetsko varnost, in AMRAE, francosko združenje upraviteljev tveganj in zavarovanj, sta objavila vodnik za člane vodstva »Controlling the digital risk - the trust advantage«, na voljo v angleščini in francoščini. Obvladovanje digitalnega tveganja predstavlja kot postopen pristop za organizacije vseh velikosti, in prav v tem okviru je treba brati vprašalnik zavarovalnice.
32. člen GDPR zahteva ustrezne tehnične in organizacijske ukrepe, vključno, kadar je ustrezno, z zmožnostjo pravočasne obnovitve razpoložljivosti osebnih podatkov po incidentu ter postopkom rednega preizkušanja in ocenjevanja učinkovitosti teh ukrepov. Varnostne kopije, preizkusi obnovitve in nadzor dostopa so zato pomembni veliko širše kot le za vašo zavarovalno dokumentacijo.
Zunaj Francije: zgornje pravilo 72 ur za prijavo je francosko pravilo. Druge države imajo svoja pravila o zavarovanju in o prijavljanju kibernetskih kaznivih dejanj, vaša pogodba pa lahko določi lastne roke za obveščanje. Preverite jih pri svojem posredniku, zavarovalnici ali pravnem svetovalcu. Ta stran je informativna in ni pravni nasvet.
Kaj vsaka možnost vsebuje. Razpoložljivost in pogoji bodo objavljeni, ko se storitev odpre.
Prijavljate se za kibernetsko zavarovanje ali prvič izpolnjujete del o informacijski varnosti.
Vprašalnik se ob obnovi vrne, vaša informatika pa se je od lani spremenila.
Nov obrazec, drugače formuliran, vendar sprašuje o istih varnostnih področjih.
Kratki odgovori, z uradnim virom, kadar gre za pravilo.
Pregledano 13. oktobra 2026. Kjer je izvirno besedilo v francoščini, je prevod na tej strani naš in neuraden.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender in Purview so blagovne znamke družbe Microsoft. Navedene so samo zato, da poimenujejo funkcije, iz katerih se berejo dokazi. SYAGA Consulting ni povezana z Microsoftom, z ENISA, z ANSSI ali s katero koli zavarovalnico.
Samopostrežna pot se pripravlja. Vprašanja medtem: contact@syaga.eu
Delovna podlaga, ni pravni nasvet. Končna izjava zavarovalnici in njena točnost ostajata vaša odgovornost.