Kiberbiztosítás
a digitális kockázatokra.

A modern vállalati kiberbiztosítás két nagy pilléren áll: saját kár (first party) és felelősségi (third party) fedezet. A saját kár része a rendszer-helyreállítási költség, a forensic vizsgálat díja, a jogi és PR tanácsadás, a kieső árbevétel (üzemszünet), a váltságdíj (ahol biztosítható), az érintettek értesítésének költsége és a hitelmonitoring-szolgáltatás.

A felelősségi rész az ügyfél- vagy partneradatok kiszivárgásából eredő kárigények kezelését, az érintettek felé fennálló polgári jogi kártérítést és — a jogszabályi keretek között — a NAIH hatósági bírságát fedezi. Egy jól strukturált kötvényben mindkét pillér egyensúlyban van, és a limitek arányosan tükrözik a cég adatállományának és bevételének nagyságrendjét.

A limit-kalibráció nem árbevétel-arányos szám, hanem szcenárió-alapú. Egy tipikus közepes vállalatnál (100–300 fő, 2–10 Mrd Ft árbevétel) 100–500 M Ft közötti limit a piaci gyakorlat, de az iparág jelentősen módosítja ezt: egészségügyi szolgáltatónál, e-kereskedőnél vagy pénzügyi cégnél az adatállomány érzékenysége miatt magasabb limit indokolt.

A helyes megközelítés: felmérni a legrosszabb realista forgatókönyvet (pl. 30 000 ügyfélrekord kiszivárgása, 5 nap üzemszünet, forensic + jogi + PR költség) és arra kalibrálni a főlimitet. A szubdimenzió-limiteket (BEC, ransomware váltságdíj, contingent business interruption) külön kell méretezni — sok kötvény ezeket alacsony felső korláttal fedi, ami kritikus rés lehet.

A biztosítók az elmúlt években szigorították a felvételi feltételeket. A minimum-elvárások jellemzően: kétfaktoros hitelesítés (MFA) minden külső hozzáférésre, rendszeres és izolált (offline vagy immutable) biztonsági mentés, EDR-szintű végpontvédelem, dokumentált incidens-kezelési terv (IRP), és rendszeres sebezhetőség-menedzsment.

Nagyobb kötvényeknél (200 M Ft felett) a biztosítók kockázati kérdőívet és néha külső biztonsági scan-t is kérnek. Ha ezek az alap-kontrollok hiányoznak, az ajánlat vagy jelentősen drágább, vagy kritikus kizárásokkal érkezik. Az audit során ezeket előre felmérjük és előkészítjük a portfóliót az ajánlatkérésre.

Az első 24 óra kritikus. Egy jó kötvény azonnali (24/7) incidens-hotline-t biztosít, amelyen keresztül a biztosító mozgósítja a szerződött forensic, jogi és PR partnereket — a költségeket közvetlenül a szolgáltatóknak fizeti, nem a cégen keresztül. Ez azért fontos, mert a helyreállítási partnerek napi több millió forintos díjjal dolgoznak, és a cash-flow-t nem terheli meg.

A kárrendezés jellemzően 30–90 nap alatt zárul, komplexitás függvényében. A kifizetést gyorsítja, ha a cég a szerződéses kockázati kérdőívnek megfelelően működtette a rendszereket — ellenkező esetben a biztosító hivatkozhat a szerződési feltételek megsértésére. Ezért fontos, hogy az audit során ne csak a kötvényt, hanem a nyilatkozott kontrollok tényleges meglétét is ellenőrizzük.