Подготовка компании к киберстрахованию

Страховщик оценивает киберриски компании по анкете и по документам, которые подтверждают ответы. Мы проводим обследование до подачи анкеты: проверяем, что на самом деле работает в инфраструктуре, закрываем критичные недостатки и готовим документы, на которые можно сослаться в каждом ответе. Расхождение между анкетой и фактическим состоянием лучше найти самим до подписания, а не при урегулировании убытка.

Подготовиться к анкете

Кому нужна подготовка к страхованию киберрисков

Компании, которая впервые оформляет полис от киберрисков и получила анкету страховщика.
Компании, у которой подходит продление полиса, а инфраструктура за год изменилась.
Компании, у которой страховщик или брокер запросил подтверждающие документы или внешнее сканирование периметра.

Что входит в услугу

Обследование и инвентаризация ИТ-инфраструктуры: серверы, рабочие места, внешний периметр, учётные записи с правами администратора, резервное копирование.
Оценка киберрисков: какие инциденты наиболее вероятны в вашей инфраструктуре и какие процессы они остановят.
Заполнение страховой анкеты вместе с вашим ИТ-отделом: ответы по фактическому состоянию, за каждым ответом проверка или документ.
Анализ критичных недостатков и дорожная карта, если они найдены: что закрыть до подачи анкеты, а что запланировать.
Контрольный экспресс-аудит после внедрения исправлений: проверяем, что закрытое действительно работает.

Какие контроли проверяет страховщик

Состав анкеты у каждого страховщика свой. По открытым правилам страхования и выступлениям страховщиков вопросы сводятся к девяти контролям, и по ним мы строим обследование:

многофакторная аутентификация: удалённый доступ, VPN, почта;
резервные копии по схеме 3-2-1 и проверенное восстановление из них;
обновления и сканирование внешнего периметра;
план реагирования на инциденты с назначенными людьми;
сегментация сети: отделены ли критичные системы от общего сегмента;
привилегированный доступ: у кого права администратора, как хранятся и меняются пароли;
обучение сотрудников распознаванию фишинга;
журналирование и мониторинг, в том числе вне рабочего времени;
порядок уведомления страховщика: срок и ответственный.

Что полис от киберрисков обычно покрывает, что исключает и почему эти контроли важны при выплате, разобрано в статье «Что покрывает и не покрывает киберстраховка».

Как проходит работа

Вы присылаете анкету страховщика, если она уже есть. Если анкеты пока нет, работаем по девяти контролям.
Обследование: интервью с ИТ-отделом, проверка настроек, при необходимости внешнее сканирование периметра.
Отчёт с оценкой рисков и перечнем недостатков, критичные отмечены отдельно.
Исправления: часть закрывает ваш ИТ-отдел, часть мы, по договорённости.
Контрольный экспресс-аудит и заполнение анкеты по итоговому состоянию.

Итоговый документ

Отчёт об аудите и пакет документов для оформления полиса по киберстрахованию: подтверждения по ответам анкеты (настройки, регламенты, результаты проверок). Сведения в анкете даёт и подписывает страхователь, поэтому каждый ответ мы привязываем к проверенному факту.

Что остаётся за страховщиком

Мы не продаём полисы и не выбираем страховщика. Решение о договоре и его условиях принимает страховщик. Наша задача, чтобы инфраструктура соответствовала тому, что написано в анкете.

Если периметр нужно проверить глубже, к обследованию добавляется тестирование на проникновение или анализ защищённости. Проверку по всем направлениям ИБ закрывает комплексный аудит информационной безопасности. Порядок действий при инциденте с учётом условий полиса закрепляет регламент взаимодействия со страховщиком.

Часто задаваемые вопросы

Нужна ли подготовка, если страховщик прислал только анкету?

Анкета и есть основной инструмент оценки риска. Подготовка нужна, чтобы ответы в ней совпадали с фактическим состоянием инфраструктуры, а подтверждающие документы были под рукой, если страховщик их запросит.

Вы заполняете анкету страховщика за нас?

Мы заполняем её вместе с вашим ИТ-отделом по результатам обследования. Сведения в анкете даёт и подписывает страхователь, поэтому каждый ответ мы привязываем к проверке или документу.

Гарантирует ли подготовка, что полис оформят?

Нет. Решение о договоре и его условиях принимает страховщик. Подготовка показывает, какие недостатки закрыть до подачи анкеты, и снижает риск расхождения анкеты с фактическим состоянием.

Чем подготовка отличается от комплексного аудита ИБ?

Комплексный аудит проверяет защиту по всем направлениям. Подготовка к киберстрахованию сосредоточена на контролях, о которых спрашивает страховщик, и заканчивается анкетой и пакетом подтверждающих документов. Если аудит уже проводился, используем его результаты.

Что проверить, если полис уже оформлен?

Три места в правилах страхования: перечень исключений, условия по действиям сотрудников и срок уведомления страховщика об инциденте. Порядок действий при инциденте под условия полиса закрепляет регламент взаимодействия со страховщиком, его мы разрабатываем отдельной услугой.

Условия сотрудничества

Закупки по 44-ФЗ и 223-ФЗПоставки и услуги для государственных и корпоративных заказчиков, участие в конкурсных процедурах.

ЭДО и постоплатаЭлектронный документооборот, закрывающие по этапам работ, отсрочка платежа по договору.

SLA с ответственностью исполнителяСроки, параметры сервиса и зоны ответственности закреплены договором, регулярная отчётность.

Лицензии ФСТЭК России и NDAРаботы по защите информации – легально: опыт с КИИ, ГИС и ИСПДн, соглашение о неразглашении.

ООО «КРЕДО-С» · ИНН 7106014366 · КПП 710601001 · ОГРН 1027100747596 · на рынке с 1993 года · 300034, г. Тула, ул. Демонстрации, 27 · офисы: Тула, Москва

Комплексная подготовка компании к киберстрахованию