KKV kiberbiztosítás — miért nem elég a vagyonbiztosítás?

Röviden: jellemzően nem. A vállalati vagyonbiztosítás fizikai károkra épül — tűz, víz, vihar, betöréses lopás, tehát olyan események, amelyek megfoghatóan megrongálják vagy elveszejtik a biztosított vagyontárgyat.

A kiberincidens ezzel szemben jellemzően nem okoz fizikai rongálódást: a szerver működik, a laptop ép, csak az adat titkosított vagy elveszett, a rendszer nem elérhető, a működés áll. Ez a károsodási forma a klasszikus vagyonfedezet logikáján kívül esik, sőt a feltételek gyakran kifejezett kizárást is tartalmaznak az adatállományra és a nem fizikai jellegű üzemszünetre.

Fontos árnyalat: az elektronikus berendezésekre köthető all-risk fedezet magát a hardvert védi (pl. túlfeszültség, kezelési hiba), de nem a kibertámadás következményeit. A kettő nem helyettesíti egymást — erről bővebben a KKV vagyonbiztosítás fedezeti elemeinél írunk.

Első feles károk — ami a cégnél keletkezik

• Helyreállítás. Az adatok és rendszerek visszaállításának költsége, az incidens okának feltárása, informatikai szakértő bevonása.
• Üzemszünet. A leállás miatt kieső eredmény és a tovább futó fix költségek egy meghatározott időszakra — ez jellemzően a legnagyobb tétel.
• Zsarolási helyzet kezelése. Tárgyalási és szakértői támogatás zsarolóvírus esetén; a váltságdíj kezelése szerződésenként eltérően, korlátokkal és feltételekkel jelenik meg.
• Válságkommunikáció. Az érintettek és a partnerek tájékoztatásának, illetve a reputációkezelésnek a költsége.

Harmadik feles károk — ami mások felé keletkezik

• Adatvédelmi igények. Ügyfelek, partnerek vagy munkavállalók kártérítési igénye a kezelt adataik sérülése miatt, ideértve a jogi védekezés költségét is.
• Értesítési kötelezettség költsége. Incidens esetén az érintettek tájékoztatásának adminisztratív és kommunikációs költsége.
• Hatósági eljárás kísérése. Az eljárásban felmerülő jogi képviselet — a szankció biztosíthatósága ugyanakkor korlátozott és szerződésfüggő.

Adatvédelmi incidens esetén az adatkezelőt a GDPR alapján bejelentési kötelezettség terheli a felügyeleti hatóság felé, és — ha az incidens az érintettek jogaira nézve valószínűsíthetően magas kockázattal jár — az érintettek értesítése is kötelező lehet.

Ez a kötelezettség méretfüggetlen: egy néhány fős céget is elér, ha ügyféladatot kezel. A gyakorlati teher kettős — egyrészt a szoros határidőn belüli, dokumentált incidenskezelés, másrészt az értesítés és a jogi kísérés költsége. Ehhez jön a hatósági eljárás kockázata, amelynek kimenetele előre nem kalkulálható.

• Van-e mentés, és milyen gyakran? Hol tárolják, le van-e választva a hálózatról, és tesztelték-e valaha a visszaállítást. Ez a legerősebb kármérséklő tényező.
• Kétfaktoros hitelesítés. Levelezés, távoli hozzáférés és adminisztrátori fiókok esetén külön is nézze meg, hol van bekapcsolva.
• Mekkora a napi kiesés üzemszünetnél? Ez a szám adja meg, mekkora üzemszünet-fedezetnek van értelme — becsléshez érdemes napi árbevétel és fix költség szinten gondolkodni.
• Alvállalkozói és beszállítói hozzáférések. Kinek van külső hozzáférése a rendszerekhez, és mi történik, ha az incidens náluk keletkezik.
• Milyen adatot kezelnek valójában? Ügyféladat, egészségügyi adat, bankkártyaadat — az adat jellege határozza meg a harmadik feles kitettséget.

A kiberbiztosítás nem informatikai védelmet ad, hanem anyagi következménykezelést. A biztosítók jellemzően elvárnak alapvető védelmi intézkedéseket — például működő mentést, frissített rendszereket és többfaktoros hitelesítést. Ezek hiánya a gyakorlatban kizárást, magasabb önrészt vagy díjnövekedést eredményezhet, illetve kárrendezéskor vitát generálhat.