Większość przedsiębiorców myśli „jesteśmy za mali, nikt nas nie zaatakuje”. To akurat to założenie kosztuje najwięcej. Tłumaczę, jak naprawdę wygląda cyberatak na małą firmę, co pokrywa polisa, a czego nie — i kiedy warto ją mieć.
Pożar widać. Zalanie widać. Cyberatak przychodzi cicho — w nocy albo w weekend, przez jeden kliknięty link — i w poniedziałek rano firma po prostu nie działa. — Robert Dziurski, BRD Ubezpieczenia
Przez 28 lat prowadzenia firm — od spółki cywilnej z branży wentylacyjnej po spółkę z o.o. w budownictwie działającą w całej Polsce — nauczyłem się jednej rzeczy o ryzyku: najgroźniejsze jest to, którego nie widać na pierwszy rzut oka.
Słyszę od przedsiębiorców: „mam antywirusa”, „księgowość jest w chmurze, to nie mój problem”, „kto by się interesował małym zakładem z Częstochowy”. Rozumiem ten sposób myślenia — sam tak myślałem przez lata. Problem w tym, że dla atakującego mała firma to nie cel mniej atrakcyjny. To cel łatwiejszy: słabsze zabezpieczenia, mniej procedur, większa skłonność do zapłacenia, byle tylko wrócić do pracy. Sam padłem kiedyś ofiarą takiego ataku — straciłem dane gromadzone przez ponad pięć lat, bo jeden pracownik otworzył „jakiś” załącznik.
To ogólne wyjaśnienie, jak działa ubezpieczenie cyber i jakie ryzyka pokrywa — nie porada prawna ani audyt bezpieczeństwa IT. Każdą firmę oceniam indywidualnie, bo zakres ochrony dobiera się pod konkretną działalność.
Statystyki z ostatniego roku są jednoznaczne: znacząca część ataków ransomware celuje właśnie w firmy poniżej 250 osób. Nie dlatego, że są cenne — dlatego, że są łatwe. Większy obrót ma korporacja, ale mniejsza firma ma słabszą obronę i szybciej zapłaci, żeby odzyskać dostęp do danych.
Najczęstsza droga wejścia to nie genialny haker łamiący zabezpieczenia. To phishing — fałszywy e-mail albo wiadomość, w którą ktoś z firmy kliknie. Dziś takie wiadomości są pisane poprawną polszczyzną, często podszywają się pod znanego kontrahenta, biuro rachunkowe albo firmę kurierską. Era „złap literówkę w mailu” się skończyła. Wystarczy jedno kliknięcie pracownika i napastnik jest w środku.
Tu popełnia się największy błąd w myśleniu. Przedsiębiorca słyszy „ransomware” i myśli: zażądają okupu, ewentualnie zapłacę i po sprawie. A okup to często mniejsza część rachunku. Realne koszty — orientacyjnie, bo każdy przypadek jest inny — składają się z kilku warstw:
Suma tych warstw bywa wielokrotnie wyższa niż sam okup. To właśnie dlatego cyberatak potrafi wykończyć firmę, która wcześniej radziła sobie dobrze.
Ubezpieczenie cyber dla MŚP w mojej ofercie opiera się na czterech towarzystwach: PZU, Ergo Hestia, Warta i Allianz. Zakres różni się między ofertami — i tu szczerze: warunki bywają różne, zmieniają się z każdą aktualizacją, i właśnie po to jestem, żeby je na bieżąco porównać i dobrać pod Twoją firmę. Ogólnie polisa cyber potrafi objąć:
Czego polisa zwykle nie obejmuje albo obejmuje warunkowo: samego okupu (wiele ofert go wyłącza), kosztów ulepszenia infrastruktury po ataku, a wypłata bywa uzależniona od tego, czy firma miała podstawowe zabezpieczenia — kopie zapasowe, aktualizacje, uwierzytelnianie wieloskładnikowe. Brak tych podstaw to częsta przyczyna odmowy. Dlatego polisa cyber nie zastępuje higieny bezpieczeństwa — ona ją uzupełnia.
Nie podaję tu konkretnych stawek jako obietnicy, bo składkę i sumę dobiera się indywidualnie do profilu firmy. Widełki rynkowe dla małych firm są umiarkowane w stosunku do skali ryzyka — ale konkret zawsze liczę pod daną działalność.
I tu dochodzimy do sedna tego, jak pracuję. Cyber rzadko jest jedynym nieosłoniętym ryzykiem w firmie. Kiedy siadam z przedsiębiorcą do przeglądu bezpieczeństwa firmy, cyber to jedna z pozycji obok majątku firmy, OC działalności, odpowiedzialności zarządu, ciągłości działania po szkodzie czy zabezpieczenia samego właściciela. Bardzo często okazuje się, że firma ma dobrze ułożone jedno, a zupełnie odsłonięte drugie.
Dlatego nie sprzedaję „polisy cyber”. Robię przegląd: gdzie firma jest realnie narażona, co już ma, gdzie są dziury — i dopiero z tego wynika, co warto domknąć. Cyber bywa jednym z pierwszych braków, które wychodzą na takim przeglądzie.
To ogólne wyjaśnienie mechanizmu ubezpieczeniowego, a nie porada prawna ani audyt IT dla konkretnej firmy. Zakres i warunki oceniam indywidualnie.
Sześć pytań, które dostaję najczęściej od przedsiębiorców z Częstochowy i regionu.
Robert Dziurski
Niezależny multiagent ubezpieczeniowy · BRD Ubezpieczenia · Częstochowa
Prowadzę firmy od 1998 roku, w ubezpieczeniach jestem od 2010. Pracuję w imieniu towarzystw, ale doradzam w interesie klienta — przeglądam polisy firm MŚP i mówię wprost, gdzie chronią, a gdzie zostaje luka.
Bezpłatny przegląd ryzyk firmy — nie tylko cyber. Bez presji sprzedażowej.
Pracuję z przedsiębiorcami z Częstochowy stacjonarnie, z klientami z całej Polski zdalnie (e-mail, wideo-konsultacja, podpis elektroniczny).
Powiązane: Ochrona zarządu i firmy · Ubezpieczenia dla firm i MŚP · OC pracodawcy · Więcej artykułów
