Ubezpieczenie cyber a outsourcing IT — czego wymagają ubezpieczyciele i ile to kosztuje
Wykupienie polisy cyber coraz częściej nie polega już na podpisaniu formularza i przelaniu składki. Ubezpieczyciele, zanim zgodzą się objąć firmę ochroną na wypadek ataku ransomware czy wycieku danych, chcą wiedzieć, jak wygląda jej infrastruktura IT — a to pytanie, na które samodzielnie odpowiedzieć potrafi niewiele małych i średnich firm.
Mapa artykułu
Spis treści
Ubezpieczenie cyber a outsourcing IT są dziś ze sobą ściśle powiązane, bo to dostawca IT w praktyce decyduje, czy polisa w ogóle zostanie wystawiona — i po jakiej cenie. Poniżej wyjaśniamy, czego dokładnie oczekują ubezpieczyciele, ile kosztuje cyberubezpieczenie dla małej firmy i jaką rolę odgrywa w tym stała obsługa informatyczna.
Dlaczego ubezpieczyciele w ogóle pytają o zabezpieczenia IT
Jeszcze kilka lat temu cyberubezpieczenie było w Polsce produktem niszowym, a jego wykupienie sprowadzało się do krótkiej ankiety. Wzrost liczby ataków ransomware na firmy średniej wielkości i coraz wyższe wypłacane odszkodowania sprawiły, że towarzystwa ubezpieczeniowe zaczęły traktować ocenę ryzyka podobnie jak przy ubezpieczeniu majątkowym — zanim ktoś ubezpieczy budynek, sprawdza, czy ma gaśnice i alarm przeciwpożarowy. W przypadku firmy IT tym “alarmem” jest konkretny zestaw zabezpieczeń technicznych i organizacyjnych.
Dla ubezpieczyciela liczy się nie to, czy firma deklaruje, że dba o bezpieczeństwo, ale czy potrafi to udokumentować: jakim systemem loguje się do poczty, gdzie i jak często robi kopie zapasowe, kto ma dostęp do haseł administracyjnych. Brak takiej dokumentacji sam w sobie bywa powodem odmowy lub znacznie wyższej składki.
Co sprawdza ubezpieczyciel przed wydaniem polisy
Zakres pytań różni się między towarzystwami, ale w praktyce powtarza się kilka elementów, które trafiają do kwestionariusza przed podpisaniem umowy:
- Uwierzytelnianie wieloskładnikowe (MFA) — wymagane przez większość ubezpieczycieli przynajmniej dla poczty, VPN-u i dostępu zdalnego do systemów firmowych. Jego brak bywa podstawą do odmowy wypłaty odszkodowania po ataku phishingowym.
- Kopie zapasowe odizolowane od sieci — backup, do którego nie ma dostępu ten sam użytkownik i to samo hasło co do systemu produkcyjnego, tak by ransomware nie zaszyfrował również archiwum.
- Oprogramowanie klasy EDR — monitorujące stacje robocze i serwery w czasie rzeczywistym, coraz częściej wymagane przy większych sumach ubezpieczenia.
- Segmentacja sieci — oddzielenie systemów krytycznych (księgowość, serwery produkcyjne) od reszty infrastruktury biurowej.
- Plan reagowania na incydenty — spisana procedura na wypadek ataku, z określonym czasem przywrócenia działania (RTO) i maksymalną akceptowalną utratą danych (RPO).
- Aktualizacje i wsparcie producenta — systemy operacyjne i oprogramowanie bez wsparcia (np. wygasłe wersje Windows Server) bywają wprost wykluczane z ochrony.
Firma, która nie potrafi jednoznacznie odpowiedzieć na te pytania — bo nikt wewnętrznie nie prowadzi takiej dokumentacji — zwykle trafia do wyższej taryfy albo słyszy odmowę.
Ile kosztuje cyberubezpieczenie dla małej i średniej firmy
Najprostsze warianty dla bardzo małych firm zaczynają się od sumy rzędu kilkuset złotych rocznie, jednak dla typowego MŚP z sensownym zakresem ochrony (obejmującym m.in. koszty przywrócenia danych, przestój operacyjny i obsługę naruszenia RODO) realny koszt to zwykle równowartość jednej do kilku miesięcznych rat leasingu firmowego auta w skali roku. Ostateczna składka zależy w dużej mierze właśnie od tego, jak firma wypada w ocenie zabezpieczeń opisanej wyżej — te same przychody i ta sama branża mogą oznaczać zupełnie inną wycenę w zależności od stanu infrastruktury IT.
Warto pamiętać, że zakres i wycena różnią się znacząco między towarzystwami, dlatego kwestionariusz bezpieczeństwa najlepiej wypełniać wspólnie z osobą, która faktycznie zna infrastrukturę firmy od środka — nie zgadując odpowiedzi.
Co obejmuje typowa polisa cyber
Zakres ochrony różni się w zależności od wariantu, ale standardowa polisa dla firmy zwykle pokrywa:
- koszty odzyskania danych i przywrócenia systemów do stanu sprzed ataku,
- utracony zysk w czasie przestoju spowodowanego incydentem,
- koszty obsługi naruszenia ochrony danych osobowych, w tym obowiązkowych powiadomień UODO i osób poszkodowanych,
- wsparcie zewnętrznych ekspertów w zarządzaniu kryzysowym bezpośrednio po ataku,
- obronę prawną i roszczenia zgłaszane przez kontrahentów lub klientów, których dane wyciekły.
To właśnie ostatnie dwa punkty bywają pomijane przy pierwszym kontakcie z tematem — firma myśli o cyberubezpieczeniu jako o “naprawie po ataku”, a tymczasem realne koszty często generują roszczenia stron trzecich i kary regulacyjne, nie samo odtworzenie danych.
Rola stałego dostawcy IT przy zawieraniu i utrzymaniu polisy
W firmach bez własnego działu IT to zewnętrzny dostawca w praktyce odpowiada za większość elementów z kwestionariusza ubezpieczyciela — bo to on wdraża MFA, konfiguruje backup, dobiera EDR i pilnuje aktualizacji. Stała obsługa informatyczna daje też coś, czego trudno oczekiwać od jednorazowego audytu: bieżącą dokumentację stanu infrastruktury, którą można od razu przedstawić przy odnawianiu polisy, zamiast przygotowywać ją od zera raz w roku pod presją terminu.
W praktyce dobrze poukładana współpraca z dostawcą IT oznacza też krótszy czas reakcji na incydent — co samo w sobie ogranicza straty, zanim jeszcze polisa zacznie działać. Firmy korzystające z outsourcingu IT zwykle mają dużo łatwiej z samym wypełnieniem kwestionariusza, bo odpowiedzi na pytania o backup, EDR czy segmentację sieci są udokumentowane na bieżąco, a nie odtwarzane z pamięci.
Co się dzieje, gdy zabezpieczenia nie są spełnione w momencie szkody
Deklaracje złożone przy zawieraniu polisy nie są formalnością — ubezpieczyciel może je zweryfikować dokładnie w momencie zgłoszenia szkody. Jeśli firma zadeklarowała, że ma MFA na wszystkich kontach, a atak nastąpił przez konto bez włączonego uwierzytelniania dwuskładnikowego, towarzystwo ma podstawy, by ograniczyć wypłatę odszkodowania albo odmówić jej w całości.
To jeden z częściej pomijanych aspektów całego procesu: polisa chroni realnie tylko wtedy, gdy stan faktyczny infrastruktury odpowiada temu, co zostało zadeklarowane przy jej zawieraniu — i pozostaje aktualny przez cały okres ochrony, nie tylko w dniu podpisania umowy.
Jak przygotować firmę do rozmowy z ubezpieczycielem
Zanim firma usiądzie do kwestionariusza bezpieczeństwa, warto mieć przygotowane (najlepiej w formie spisanej, nie tylko “w głowie informatyka”):
- aktualną listę systemów i lokalizacji, w których przechowywane są dane firmowe i dane klientów,
- informację, gdzie i jak często wykonywane są kopie zapasowe oraz czy ktokolwiek testował ich realne odtworzenie,
- listę osób z dostępem administracyjnym do serwera, domeny i skrzynek pocztowych,
- potwierdzenie, czy MFA jest włączone dla wszystkich kont, czy tylko wybranych,
- spisaną (choćby krótką) procedurę postępowania na wypadek incydentu.
Firmy, które przechodziły wcześniej audyt infrastruktury IT, mają zwykle większości tych informacji gotowych od ręki — audyt bezpieczeństwa i kwestionariusz ubezpieczyciela pytają w dużej mierze o te same rzeczy.
Najczęściej zadawane pytania
Czy każda firma musi mieć EDR, żeby dostać polisę cyber?
Nie zawsze — dla bardzo małych firm z podstawowym wariantem ochrony wielu ubezpieczycieli akceptuje standardowy antywirus z aktualną bazą sygnatur. EDR staje się jednak wymogiem praktycznie standardowym przy wyższych sumach ubezpieczenia i w firmach zatrudniających więcej niż kilkanaście-kilkadziesiąt osób.
Czy backup w chmurze wystarczy, czy musi być też offline?
Sama kopia w chmurze nie zawsze wystarcza, jeśli korzysta z tych samych danych logowania co system produkcyjny — w takim scenariuszu ransomware może zaszyfrować też backup. Ubezpieczyciele coraz częściej pytają wprost o izolację kopii zapasowej (osobne konto, wersjonowanie, brak stałego zamontowania jako dysk sieciowy) niezależnie od tego, czy fizycznie znajduje się lokalnie, czy w chmurze.
Kto wypełnia kwestionariusz bezpieczeństwa dla ubezpieczyciela?
Formalnie odpowiedzialność za treść kwestionariusza spoczywa na firmie ubezpieczanej, ale techniczne pytania (o EDR, segmentację, backup) najlepiej wypełniać wspólnie z dostawcą IT, który faktycznie zna infrastrukturę — samodzielne zgadywanie odpowiedzi przez osobę niezwiązaną z IT jest częstą przyczyną rozbieżności ujawniających się dopiero przy likwidacji szkody.
Czy outsourcing IT obniża składkę ubezpieczenia?
Pośrednio tak — nie dlatego, że sam fakt korzystania z zewnętrznej obsługi coś gwarantuje, ale dlatego, że stała opieka IT zwykle oznacza spełnienie większości wymogów technicznych (MFA, backup, aktualizacje, monitoring), które bezpośrednio wpływają na wysokość składki. Firma bez udokumentowanych zabezpieczeń zwykle płaci więcej niezależnie od tego, kto zarządza jej IT.
Co jeśli firma już ma polisę, ale nie spełnia wszystkich wymogów?
Warto to zweryfikować zanim dojdzie do szkody, nie po niej. Najbezpieczniejszym rozwiązaniem jest audyt aktualnego stanu zabezpieczeń i porównanie go z deklaracjami złożonymi przy zawieraniu polisy — rozbieżności lepiej naprawić od razu, niż odkryć je w trakcie likwidacji szkody, gdy jest już za późno na korektę.
Zabezpieczenia IT to dziś część oceny ryzyka ubezpieczeniowego
Cyberubezpieczenie potrafi realnie ochronić firmę przed kosztami ataku, ale tylko wtedy, gdy stan infrastruktury odpowiada temu, co zostało zadeklarowane w kwestionariuszu — a to wymaga bieżącej wiedzy o systemach, backupie i dostępach, której trudno oczekiwać bez stałej opieki informatycznej. Jeśli nie masz pewności, czy Twoja firma spełnia wymogi stawiane przez ubezpieczycieli, skontaktuj się z nami — bezpłatnie sprawdzimy stan zabezpieczeń i pomożemy przygotować dokumentację potrzebną do rozmowy z ubezpieczycielem.
