W skrócie
Ankieta ryzyka przed polisą cyber najczęściej dotyczy czterech obszarów. Zadaj je sobie przed rozmową z brokerem, bo odpowiedzi „nie wiem” kosztują w składce i w limitach.
| Obszar | Typowe pytanie w ankiecie | Co warto mieć w dokumentach |
|---|---|---|
| Dostęp do poczty i systemów | Czy stosujecie uwierzytelnianie dwuskładnikowe | Lista kont objętych MFA, data wdrożenia |
| Kopie zapasowe | Czy kopie są odizolowane i testowane | Harmonogram i protokół ostatniego odtworzenia |
| Przelewy | Czy zmiana rachunku kontrahenta jest weryfikowana drugim kanałem | Pisemna procedura, lista osób zatwierdzających |
| Pracownicy | Czy prowadzicie regularne szkolenia i testy phishingowe | Raport z kampanii, rejestr ukończonych lekcji |
Treść ankiety zależy od ubezpieczyciela i zmienia się, więc pytanie o wymagania zadaj wprost brokerowi albo w ofercie. Nie zakładaj, że ankieta sprzed roku obowiązuje dziś.
Czy szkolenie jest warunkiem polisy?
Rzadko wprost. Częściej jest elementem oceny ryzyka: firma, która wykazuje regularne ćwiczenia, ma mocniejszą pozycję w negocjacjach o składkę i zakres. Zdarza się też, że rozszerzenie na oszustwa płatnicze jest dostępne dopiero po spełnieniu wymogów procesowych, takich jak weryfikacja zmiany rachunku. To, czy tak jest w Twojej ofercie, sprawdzisz tylko w ogólnych warunkach ubezpieczenia.
Dlaczego oszustwa na przelew bywają ubezpieczone słabiej
Polisa cyber chroni głównie koszty reakcji na incydent: informatyków, odzyskiwanie danych, powiadomienia, odpowiedzialność wobec klientów. Strata z przelewu wykonanego przez pracownika na rachunek oszusta, czyli klasyczna socjotechnika, bywa objęta osobnym i niższym limitem albo wymaga dodatkowej klauzuli. Zawsze sprawdź w OWU, czy mowa o „oszustwie z udziałem pracownika”, „fałszywej instrukcji płatniczej” albo „socjotechnice”, bo każde określenie działa inaczej.
Przykład z liczbami
Przykład ilustracyjny, nie oferta żadnego ubezpieczyciela. Firma ma polisę z limitem ogólnym 1 000 000 zł i sublimitem na oszustwa płatnicze 50 000 zł. Księgowa wykonuje przelew 180 000 zł na podstawie fałszywego maila o zmianie rachunku dostawcy. Nawet jeśli ubezpieczyciel uzna szkodę, wypłata zatrzymuje się na sublimicie, czyli 50 000 zł. Różnica 130 000 zł pozostaje po stronie firmy, a to więcej niż dziesięć lat abonamentu na symulacje w planie Firma za 990 zł netto miesięcznie (około 11 880 zł netto rocznie, 5 940 zł przy płatności rocznej z rabatem). Wniosek praktyczny: polisa nie zastępuje zapobiegania. Sublimit i procedury działają razem, a szkolenie obniża szansę, że do przelewu w ogóle dojdzie.
Jakie dokumenty o szkoleniach pomagają
Po incydencie likwidator i audytor pytają o fakty: czy procedura istniała, czy pracownicy ją znali, czy ktoś to sprawdzał. Najlepiej mieć gotowe cztery rzeczy.
- pisemną procedurę zmiany rachunku kontrahenta i zatwierdzania nietypowych przelewów
- rejestr osób przeszkolonych z datami, a nie sam certyfikat z jednej prezentacji
- raporty z kolejnych kampanii symulacyjnych pokazujące trend kliknięć i zgłoszeń
- zapis, że pracownicy mają prosty sposób zgłaszania podejrzanych wiadomości
Jednorazowe szkolenie sprzed dwóch lat to słaby dowód. Cykl miesięczny z raportem pokazuje, że nawyk jest podtrzymywany. W Naiwne raport i rejestr lekcji powstają automatycznie, z podziałem na działy, bez wskazywania osób. Szerzej o tym, skąd wynika obowiązek szkoleń, piszemy we wpisie czy firma musi szkolić z cyberbezpieczeństwa.
Procedura na papierze też się liczy
Zapisane zasady są podstawą ankiety i późniejszej rozmowy o szkodzie. Jeśli układasz je od zera, pomocne bywa zestawienie polityk w jednym miejscu, na przykład w serwisie polityki.pl. Sam dokument nic jednak nie zmieni, dopóki zespół nie ćwiczy jego stosowania na realnych wiadomościach.
Co zrobić przed rozmową z brokerem
Zacznij od odpowiedzi na kilka prostych pytań. Kto w firmie może wykonać przelew powyżej określonej kwoty? Czy ktoś drugi zatwierdza zmianę rachunku? Kiedy ostatnio zespół był ćwiczony na symulacjach, z jakim wynikiem? Odpowiedzi, wraz z raportem z kampanii, wkładasz do materiałów dla brokera. Dla zarządu liczy się też kwota narażona, czyli liczba osób z uprawnieniem do przelewów razy największy pojedynczy przelew. Sposób liczenia opisujemy na stronie dla zarządu.
Jakie symulacje mają największy sens przed polisą
Te, które odpowiadają na pytania z ankiety: zmiana rachunku dostawcy, fałszywa faktura i pilny przelew od „prezesa”. Opisujemy je na stronach fałszywa faktura i we wpisach podmiana rachunku kontrahenta oraz oszustwo na prezesa. Pełny zakres kampanii znajdziesz na stronie testy phishingowe.
Ile to kosztuje
Plan Start dla zespołu do 30 osób to 390 zł netto miesięcznie, plan Firma ze scenariuszami oszustw płatniczych dla 150 osób to 990 zł netto. Zestawienie z podziałem na modele zakupu jest we wpisie symulacje phishingu cena dla firmy i w cenniku.
Gdzie szukać informacji niezależnych
Wzorce incydentów i zalecenia dla firm publikuje zespół CERT Polska, a statystyki zgłoszeń oszustw internetowych są tam regularnie aktualizowane. Warunki konkretnej polisy zawsze weryfikuj w dokumentach ubezpieczyciela.
Czy ubezpieczenie cyber obejmuje przelew na rachunek oszusta?
Zależy od warunków polisy. Często szkoda z fałszywej instrukcji płatniczej jest objęta osobnym, niższym sublimitem albo wymaga dodatkowej klauzuli. Sprawdź w OWU zapisy o socjotechnice i oszustwach z udziałem pracownika oraz wymagane procedury weryfikacji przelewów.
Czy ubezpieczyciel wymaga szkoleń pracowników?
Zwykle pyta o nie w ankiecie ryzyka, choć rzadko stawia je jako formalny warunek zawarcia umowy. Regularne szkolenia z raportem poprawiają ocenę ryzyka i ułatwiają rozmowę po szkodzie, bo pokazują, że firma dbała o proces.
Jakie dowody szkoleń przyjmie ubezpieczyciel?
Najlepiej działają rejestr przeszkolonych osób z datami, raporty z kampanii symulacyjnych pokazujące trend oraz pisemna procedura przelewów. Pojedynczy certyfikat sprzed lat jest słabym dowodem. Zakres akceptowanych dokumentów potwierdź z brokerem.
Czy szkolenie obniża składkę?
Nie ma stałej zniżki za szkolenie, ale mocniejsza ocena ryzyka może poprawić warunki oferty, szczególnie razem z uwierzytelnianiem dwuskładnikowym i zweryfikowanymi kopiami zapasowymi. Kwotę składki ustala ubezpieczyciel indywidualnie.