Wat eisen voor cyberverzekeringen echt betekenen voor uw IT

Jarenlang controleerde niemand of kleinere bedrijven beveiliging serieus namen. Toezichthouders richtten zich op grote organisaties, klanten vroegen er zelden naar, en het enige echte gevolg van zwakke controles was het incident zelf.

Dat veranderde stilletjes, en de auditor bleek uw verzekeraar te zijn. Eisen voor cyberverzekeringen zijn de meest effectieve beveiligingsstandaard in het middensegment geworden, niet omdat iemand dit wettelijk heeft vastgelegd, maar omdat dekking er nu van afhangt.

Waarom verzekeraars strenger zijn geworden

Vroege cyberpolissen werden geprijsd met zeer weinig data. Toen ransomware uitgroeide tot een industrie en claims in grote getale binnenkwamen, ontdekten verzekeraars dat ze een risico dekten dat ze niet begrepen.

De reactie was voorspelbaar: premies stegen, de dekking werd beperkter en het aanvraagformulier groeide van een halve pagina naar iets dat lijkt op een audit. Tegenwoordig vindt het echte werk plaats bij de beveiligingsvragenlijst, omdat uw antwoorden zowel de prijs bepalen als de vraag of u überhaupt een dekking krijgt aangeboden.

De eisen voor cyberverzekeringen die elke keer terugkomen

De formulering varieert per verzekeraar, maar de inhoud is opmerkelijk consistent.

Multi-factor authenticatie, overal

Dit is de factor die aanvragen beslist. Verzekeraars willen het op e-mail, op toegang op afstand, op beheerdersaccounts en op alles wat vanaf internet bereikbaar is. “De meeste gebruikers hebben het” wordt meestal gelezen als nee, omdat aanvallers alleen de uitzondering nodig hebben.

Geteste, gescheiden back-ups

Niet alleen dat er back-ups bestaan. Maar dat ze getest zijn, dat ten minste één kopie niet bereikbaar of versleutelbaar is vanuit uw productienetwerk, en dat u weet hoe lang een herstel duurt. Verwacht een vraag over wanneer u voor het laatst daadwerkelijk iets heeft hersteld.

Endpoint detection in plaats van antivirus

Traditionele antivirus herkent bekende dreigingen. Verzekeraars vragen steeds vaker om endpoint detection en response-tools die verdacht gedrag signaleren, en sommigen willen weten of iemand de meldingen buiten kantooruren monitort.

Patching met een tijdpad

De vraag is zelden “of u patcht”. Het gaat erom hoe snel kritieke updates worden toegepast, en of dat ook geldt voor firewalls, VPN-apparatuur en al het andere dat aan internet is blootgesteld.

Toegangsbeheer en offboarding

Wie beheerdersrechten heeft, of admin-accounts worden gebruikt voor dagelijks werk, en hoe snel toegang wordt ingetrokken wanneer iemand uit dienst treedt.

Training en een incidentplan

Of medewerkers training krijgen in beveiligingsbewustzijn, en of u een schriftelijke procedure voor incident response heeft. Sommige verzekeraars vragen nu of u deze ooit heeft geoefend.

Waarom eerlijk antwoorden de enige optie is

Het is verleidelijk om het antwoord te geven waarmee de polis wordt afgegeven. Doe dat niet.

Een verzekeringsaanvraag is een verklaring. Als u stelt dat multi-factor authenticatie overal is ingeschakeld en een claim later onthult dat het gecompromitteerde account dit niet had, geeft u de verzekeraar een reden om de uitbetaling te verlagen of te weigeren. U heeft dan jarenlang premies betaald voor een dekking die op het slechtst mogelijke moment verdampt.

Een voorwaardelijk antwoord is veel beter dan een optimistisch antwoord. Uitleggen dat MFA alle medewerkers dekt behalve drie service-accounts, met compenserende maatregelen, is een gesprek. Een valse ‘ja’ is een dekkingsprobleem dat vroeg of laat ontstaat.

Beschouw de vragenlijst als gratis advies

Hier is een nuttige nieuwe kijk op de zaak. Wat u ook van verzekeraars vindt, de eisen voor cyberverzekeringen vormen een degelijke beveiligingsbasis, gedestilleerd uit miljoenen euro’s aan claimdata. Ze vragen niet naar exotische dreigingen. Ze vragen naar de handvol maatregelen die daadwerkelijk echte incidenten stoppen.

Werk de lijst dus door, zelfs als u geen polis afsluit. Elke vraag die u niet vol vertrouwen kunt beantwoorden, is een gat dat u moet kennen, en elk gat dat u dicht verbetert uw positie, of u nu ooit een claim indient of niet.

Hetzelfde document duikt vaak ook elders op. Grotere klanten sturen steeds vaker beveiligingsvragenlijsten die grotendeels hetzelfde terrein bestrijken, en organisaties die onder de NIS2 vallen, moeten hun leveranciers beoordelen. Door één keer aan de eisen voor cyberverzekeringen te voldoen, bent u op alles voorbereid.

Hoe een goede voorbereiding eruitziet

Voordat u iets invult, verzamel bewijs in plaats van indrukken. Een lijst van wie beheerdersrechten heeft. De datum van uw laatste hersteltest. Uw patchschema. Welke tools daadwerkelijk zijn uitgerold, op hoeveel apparaten, vergeleken met hoeveel licenties u heeft gekocht.

Dat laatste onderscheid is waar het vaak misgaat. Het bezitten van een licentie voor endpoint detection is niet hetzelfde als het geïnstalleerd hebben en laten rapporteren op elke machine, en een verzekeraar die na een claim onderzoek doet, wil dat laatste zien.

Laat ons u voorbereiden voordat u de aanvraag doet

De meeste bedrijven vullen de vragenlijst alleen in, gokken bij de technische vragen en hopen dat de antwoorden standhouden. Dat is een slechte positie, zowel bij verlenging als bij een claim.

Bij EvolvingDesk nemen we de eisen voor cyberverzekeringen met u door voordat u iets indient. We controleren wat er daadwerkelijk aanwezig is, dichten de gaten die anders tot een lastig antwoord zouden dwingen, en geven u het bewijs achter elk antwoord, zodat u de verklaring kunt ondertekenen in de wetenschap dat deze accuraat is. Waar iets niet snel kan worden opgelost, helpen we u dit eerlijk te omschrijven, samen met de maatregelen die dit compenseren.

Betere antwoorden betekenen meestal betere voorwaarden. Belangrijker nog: ze betekenen een dekking die nog steeds werkt op de dag dat u deze nodig heeft.

Verlenging in aantocht? Plan een gesprek en stuur ons de vragenlijst. Wij vertellen u welke antwoorden momenteel een probleem vormen.

Lees meer

• De 3-2-1 back-upregel uitgelegd
• Wat gebeurt er met uw data wanneer een werknemer uit dienst treedt
• Managed IT-services bij EvolvingDesk

Verder lezen: de NCSC-richtlijnen over cyberverzekeringen en de CISA cybersecurity performance goals.