Ansöker du om cyberförsäkring, förnyar du en försäkring eller fyller du i avsnittet om IT-säkerhet som ansvarsförsäkringar numera allt oftare innehåller? Frågorna är tekniska: multifaktorautentisering, säkerhetskopior, skydd av slutpunkter, patchning, administratörskonton, e-postsäkerhet och incidenthantering. Cyber Insurance Express hjälper dig att förbereda varje svar utifrån vad som faktiskt är konfigurerat i din Microsoft 365-klientorganisation, och tydliggör vilka frågor Microsoft 365 inte kan besvara.
Säkerhetsfrågeformuläret har blivit en central del av att köpa eller förnya en cyberförsäkring, och det är sällan enkelt att svara korrekt.
Krävs multifaktorautentisering för all fjärråtkomst och för varje administratör? Är säkerhetskopiorna offline eller oföränderliga, och har en återställning testats? Skyddas alla slutpunkter av ett EDR-verktyg (slutpunktsidentifiering och svar)? Är äldre autentisering för e-post avstängd? En verksamhetsansvarig, en ekonomichef eller till och med en pressad IT-generalist har sällan dessa svar till hands, än mindre med bevis.
Frågeformuläret är en del av hur försäkringsbolaget förstår den risk det accepterar. Ett svar som visar sig vara felaktigt kan leda till diskussioner med försäkringsbolaget, särskilt efter en incident. De exakta konsekvenserna beror på ditt avtal och den lag som styr det: kontrollera dem med din försäkringsmäklare eller ditt försäkringsbolag. Det du kan styra är riktigheten i det du deklarerar.
Att kontrollera principer för villkorsstyrd åtkomst, tilldelning av administratörsroller, e-postprotokoll, DNS-poster för e-postautentisering, enhetsefterlevnad och granskningsloggning en och en, fråga för fråga, tar timmar i flera administrationscenter. I ett litet eller medelstort företag tar det arbetet tid från allt annat som IT-teamet ska göra.
Ny ansökan, årlig förnyelse, byte av mäklare eller försäkringsbolag, en stor kund som i en upphandling frågar om ditt skydd: samma frågor återkommer, ofta med annan formulering. Utan en strukturerad bevisfil börjar varje omgång från början och tidigare arbete går förlorat.
Varje försäkringsbolag skriver sitt eget frågeformulär, och formuleringarna ändras från ett formulär och ett år till nästa. Områdena nedan är de som återkommer ofta. De beskrivs här som återkommande områden, inte som ett citat ur något enskilt försäkringsbolags formulär.
För varje område förklarar vi vad frågan oftast syftar till att fastställa, vad din Microsoft 365-klientorganisation kan visa som bevis och vad som ligger utanför Microsoft 365 och måste dokumenteras på annat sätt. Länkarna pekar på Microsofts egen offentliga dokumentation för respektive funktion.
Vad som vanligtvis frågas: krävs MFA för e-post, fjärråtkomst, molnapplikationer och för varje administratörskonto, med eller utan undantag?
Vad Microsoft 365 kan visa: om säkerhetsstandarderna är aktiverade eller vilka principer för villkorsstyrd åtkomst som kräver MFA, vilka de gäller för och vilka som är undantagna; vilka autentiseringsmetoder användarna har registrerat; om äldre autentiseringsprotokoll, som inte stöder MFA, är blockerade.
Utanför M365: en VPN-lösning, en gateway för fjärrskrivbord eller en affärsapplikation som inte loggar in via Microsoft Entra ID måste dokumenteras separat.
Vad som vanligtvis frågas: säkerhetskopieras kritiska system och data, finns minst en kopia isolerad från nätverket eller skyddad mot ändring, hur ofta, och när testades en återställning senast?
Vad Microsoft 365 kan visa: lite som besvarar denna fråga. Inställningar för kvarhållning i Microsoft 365 är inte en säkerhetskopia som är isolerad från dina egna administratörskonton, och vi kommer inte att presentera dem som en sådan.
Utanför M365: din lösning för säkerhetskopiering, isoleringen av dess kopior och dina rapporter från återställningstest. Den guidade workshopen ber dig beskriva dem och bifoga dina egna bevis, och dokumentet märker detta svar som deklarerat, inte mätt.
Vad som vanligtvis frågas: skyddas alla arbetsstationer och servrar av ett EDR-verktyg (slutpunktsidentifiering och svar), övervakas det, och är enheterna krypterade?
Vad Microsoft 365 kan visa: när enheter hanteras med Microsoft Intune och skyddas med Microsoft Defender: enhetsinventariet, resultaten av efterlevnadsprinciper (till exempel kryptering och lägsta operativsystemversion) och de säkerhetsrekommendationer som rapporteras i Microsoft Secure Score.
Utanför M365: en EDR från tredje part, ohanterade enheter och lokala servrar som inte är registrerade i Microsofts verktyg. De flaggas, de gissas inte.
Vad som vanligtvis frågas: hur snabbt säkerhetsuppdateringar tillämpas, används operativsystem som inte längre har stöd, och spåras kritiska sårbarheter i system som är exponerade mot internet?
Vad Microsoft 365 kan visa: för enheter som hanteras med Intune, efterlevnadsregler för lägsta operativsystemversion och vilka enheter som inte uppfyller dem; där licens finns, Defender-rekommendationer.
Utanför M365: nätverksutrustning, brandväggar, verksamhetskritiska servrar och applikationer, samt själva patchningsrutinen. Workshopen hjälper dig att beskriva den med enkla ord.
Vad som vanligtvis frågas: hur många personer har administratörsrättigheter, använder administratörer separata konton för det dagliga arbetet, krävs MFA för dem, och är privilegierad åtkomst tidsbegränsad eller godkänd?
Vad Microsoft 365 kan visa: vem som har vilken Microsoft Entra-administratörsroll, om tilldelningarna är permanenta eller berättigade via Privileged Identity Management (där licens finns), och om MFA gäller för dessa roller.
Utanför M365: lokala administratörskonton på servrar och arbetsstationer, domänadministratörer i en lokal Active Directory och administratörsåtkomst till system från tredje part.
Vad som vanligtvis frågas: finns SPF, DKIM och DMARC på plats, filtreras nätfiske och skadliga bilagor, är äldre protokoll för brevlådor avstängda, och kontrolleras automatisk vidarebefordran till externa adresser?
Vad som kan visas: de publicerade SPF- och DMARC-posterna för dina domäner (offentliga DNS-data), konfigurationen för DKIM-signering, skyddsprinciper i Exchange Online och Microsoft Defender för Office 365 samt de protokoll som tillåts för brevlådor.
Utanför M365: en e-postgateway från tredje part placerad framför Microsoft 365, och utbildning i säkerhetsmedvetenhet för användare, som du dokumenterar själv.
Vad som vanligtvis frågas: finns en skriftlig plan för incidenthantering, vem kontaktas först, har den övats, och sparas säkerhetsloggar tillräckligt länge för att kunna utredas?
Vad Microsoft 365 kan visa: om den enhetliga granskningsloggen är aktiv och sökbar, och vilken kvarhållning som gäller för den. Microsoft dokumenterar att Audit (Standard) är aktiverad som standard för organisationer med lämplig prenumeration och behåller poster i 180 dagar.
Utanför M365: själva planen. Workshopen tar fram ett första utkast till en kort incidentplan, inklusive, för organisationer i Frankrike, kravet på polisanmälan inom 72 timmar (se nedan).
Frågeformulären frågar ofta också om antalet anställda och lagrade uppgifter, tidigare incidenter, användningen av tjänsteleverantörer med åtkomst till dina system, kryptering av data och säkerhetsutbildning. Några av dessa är fakta som bara du kan deklarera. Andra, till exempel inställningar för extern delning eller gästkonton i Microsoft 365, kan mätas.
Microsoft Secure Score anger självt att den inte är ett absolut mått på hur sannolikt det är att du blir utsatt för intrång. Vi använder uppmätta inställningar som bevis för specifika svar, aldrig som en garanti.
Var varje svar kommer ifrån och hur det märks i ditt dokument.
| Område | Var beviset kommer ifrån | Märkning i ditt dokument |
|---|---|---|
| MFA | Microsoft Entra ID: säkerhetsstandarder, principer för villkorsstyrd åtkomst, registrerade autentiseringsmetoder, status för äldre autentisering | Mätt, med undantag listade med namn på princip eller grupp |
| Säkerhetskopior | Ditt verktyg för säkerhetskopiering och rapporter från återställningstest | Deklarerat av dig, med dina bilagor |
| Skydd av slutpunkter | Intune och Defender, när de används; annars din EDR-konsol | Mätt för hanterade enheter; deklarerat för övriga |
| Patchning | Resultat av Intune-efterlevnad; din rutin för servrar och nätverksutrustning | Delvis mätt, delvis deklarerat |
| Privilegierade konton | Tilldelningar av Microsoft Entra-roller, Privileged Identity Management där licens finns | Mätt för Microsoft 365; deklarerat för lokala system |
| E-postsäkerhet | Offentlig DNS (SPF, DMARC), DKIM-konfiguration, principer i Exchange Online och Microsoft Defender för Office 365 | Mätt |
| Incidenthantering och loggar | Status för enhetlig granskningslogg; din skriftliga plan | Loggar mätta; plan utarbetad i workshopen, validerad av dig |
Enkel regel: inget i dokumentet presenteras som mätt om det inte har mätts. En fråga som Microsoft 365 inte kan besvara förblir synligt markerad som sådan, så att du, och inte ett verktyg, avgör vad du deklarerar för ditt försäkringsbolag.
En självbetjäningsväg i fyra steg. Du behåller kontrollen från första frågan till det slutliga dokumentet.
Ett kort test online: ansöker du om cyberskydd, förnyar du det, eller besvarar du avsnittet om IT-säkerhet i en ansvarsförsäkring eller annan försäkring? Ligger ditt företag i Frankrike, där 72-timmarsregeln för polisanmälan gäller? Vilka delar av din IT körs på Microsoft 365? Resultatet visar vilka områden som gäller för dig och vad du behöver samla in.
En online-workshop går igenom varje område med dig. Du svarar fritt, i din egen takt, med förklaringar av vad varje fråga betyder och varför försäkringsbolag ställer den. Där Microsoft 365 kan leverera bevis placeras det mätta resultatet bredvid ditt svar, så att eventuella skillnader mellan vad du tror och vad som är konfigurerat blir synliga innan du deklarerar något.
Du får ett strukturerat dokument i ditt företags namn: svar område för område, beviset kopplat till varje svar, punkter utanför omfattningen markerade och ett första utkast till ett blad för incidenthantering. Det är ett arbetsunderlag som din egen rådgivare, försäkringsmäklare eller jurist ska granska och validera innan det används.
Om du vill ha en extra granskning kan en partnerkonsult gå igenom dokumentet med dig, hjälpa dig att täppa till luckor före förnyelsen eller hjälpa dig att dokumentera de punkter som ligger utanför Microsoft 365. Detta steg är valfritt; de tre första stegen är utformade för att kunna genomföras på egen hand.
Viktigt: dokumentet är ett arbetsunderlag och utgör inte juridisk rådgivning. Det ersätter inte ditt försäkringsbolags frågeformulär, som du fyller i och undertecknar själv, och det förbinder inget försäkringsbolag att täcka dig. Riktigheten i din slutliga deklaration är fortsatt ditt ansvar.
En bevisfil, ärlig om vad som mätts och vad som inte mätts, som du kan återanvända vid varje förnyelse.
Ett tydligt svar för varje återkommande område, redo att föras över till ditt försäkringsbolags eget formulär.
Inställningarna som stöder varje svar, så som de fanns i din klientorganisation vid mättillfället.
Där ditt svar och den mätta konfigurationen inte stämmer överens visas det här först.
Ett kort första utkast att komplettera med dina egna kontakter och validera internt.
Varje juridiskt eller regulatoriskt påstående i dokumentet pekar på sin officiella källa.
Nästa år mäter du på nytt och jämför, i stället för att börja om.
Två minuter för att skilja det som är juridisk regel från god praxis, med den officiella källan varje gång.
Sedan den 24 april 2023 gör artikel L12-10-1 i den franska försäkringslagen (Code des assurances) all försäkringsutbetalning som ersätter förluster och skador orsakade av en attack mot ett automatiserat system för databehandling beroende av att offret gör en polisanmälan hos behöriga myndigheter senast 72 timmar efter att ha fått kännedom om attacken. Tidsfristen börjar löpa när du får kännedom om attacken, inte när den började.
Artikeln infördes genom artikel 5 i lag nr 2023-22 av den 24 januari 2023 (känd som LOPMI). Den åläggar ingen att köpa cyberförsäkring: den anger ett villkor för att bli utbetald när ett avtal redan täcker cyberattacker.
Ett informationsblad från inrikesministeriet, spritt via Cybermalveillance.gouv.fr, den franska statliga plattformen för offer för cyberattacker, påminner yrkesverksamma offer om att lagen från 2023 kräver att de gör en polisanmälan, inom 72 timmar efter att ha fått kännedom om attacken, för att behålla sin rätt till ersättning enligt försäkringsavtalet. Bladet nämner också att få igång ersättningsprocessen hos försäkringsbolaget som ett av skälen att polisanmäla.
Europeiska unionens byrå för cybersäkerhet (ENISA) publicerade "Cyber Insurance - Models and methods and the use of AI" den 21 februari 2024. Dess uttalade syfte är att introducera cyberrisk och cyberförsäkring, ge en översikt över befintliga forskningsansatser och modelleringsmetoder, och identifiera luckor för framtida forskning. Det är användbar bakgrund till varför försäkringsbolag försöker bedöma säkerhetsläget hos de företag de täcker.
För entiteter inom dess tillämpningsområde listar artikel 21 i direktiv (EU) 2022/2555 (NIS2) åtgärder för hantering av cybersäkerhetsrisker, bland annat hantering av incidenter, verksamhetskontinuitet såsom hantering av säkerhetskopior och katastrofåterställning, grundläggande cyberhygien och utbildning, åtkomstkontroll samt användning av multifaktorautentisering. Även utanför NIS2 innebär överlappningen med försäkringsbolagens områden att bevisen du samlar in för det ena även kan användas för det andra.
ANSSI, Frankrikes nationella myndighet för cybersäkerhet, och AMRAE, den franska föreningen för riskchefer och försäkringschefer, publicerade en guide för ledningen, "Controlling the digital risk - the trust advantage", tillgänglig på engelska och franska. Den presenterar hantering av digital risk som ett steg-för-steg-arbetssätt för organisationer i alla storlekar, precis den ram i vilken ett försäkringsbolags frågeformulär bör läsas.
Artikel 32 i GDPR kräver lämpliga tekniska och organisatoriska åtgärder, inklusive, där så är lämpligt, förmågan att i rätt tid återställa tillgängligheten till personuppgifter efter en incident, samt en process för regelbunden testning och utvärdering av åtgärdernas effektivitet. Säkerhetskopior, återställningstester och åtkomstkontroll spelar därför roll långt utöver din försäkringsfil.
Utanför Frankrike: 72-timmarsregeln för polisanmälan ovan är fransk lag. Andra länder har egna regler för försäkring och för anmälan av cyberbrott, och ditt avtal kan ange egna tidsfrister för anmälan. Kontrollera dem med din försäkringsmäklare, ditt försäkringsbolag eller din juridiska rådgivare. Denna sida är information, inte juridisk rådgivning.
Vad vart och ett av alternativen innehåller. Tillgänglighet och villkor publiceras när tjänsten öppnar.
Du ansöker om cyberskydd, eller besvarar för första gången ett avsnitt om IT-säkerhet.
Frågeformuläret kommer tillbaka med din förnyelse, och din IT har förändrats sedan förra året.
Ett nytt formulär, med annan formulering, men som frågar om samma kontroller.
Korta svar, med den officiella källan där en regel är inblandad.
Källorna lästes den 13 oktober 2026. Där en text är på franska är översättningen på denna sida vår egen och inofficiell.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender och Purview är varumärken som tillhör Microsoft. De anges endast för att namnge de funktioner från vilka bevis läses. SYAGA Consulting har ingen koppling till Microsoft, ENISA, ANSSI eller något försäkringsbolag.
Självbetjäningsvägen förbereds. Frågor under tiden: contact@syaga.eu
Ett arbetsunderlag, inte juridisk rådgivning. Den slutliga deklarationen till ditt försäkringsbolag, och dess riktighet, förblir ditt ansvar.