Cyberbezpieczeństwo samorządu – dlaczego ubezpieczenie cyber staje się ważnym elementem ochrony JST?

Cyberatak na urząd, jednostkę organizacyjną czy spółkę komunalną może dziś oznaczać nie tylko problem informatyczny, ale również realne straty finansowe, przerwę w działaniu usług publicznych i konieczność poniesienia wysokich kosztów związanych z przywróceniem prawidłowego funkcjonowania. Dlatego obok rozwiązań technicznych i organizacyjnych coraz większego znaczenia nabiera również odpowiednie zabezpieczenie finansowe – ubezpieczenie ryzyk cybernetycznych.

Jednostki samorządu terytorialnego oraz podległe im jednostki dysponują dużymi zasobami danych i korzystają z rozbudowanych systemów informatycznych. Urzędy, szkoły, ośrodki pomocy społecznej, zakłady komunalne czy jednostki kultury przetwarzają dane mieszkańców, pracowników, kontrahentów i innych osób. Jednocześnie działalność samorządu jest w dużym stopniu uzależniona od dostępności systemów IT. Awaria lub cyberatak mogą zakłócić m.in. obsługę mieszkańców, komunikację, dostęp do dokumentacji, realizację płatności czy funkcjonowanie systemów wykorzystywanych przez jednostki organizacyjne.

Cyberincydent nie musi przy tym oznaczać wyłącznie kradzieży danych. Coraz częściej poważnym problemem jest utrata dostępności systemów, zaszyfrowanie danych przez ransomware, przejęcie poczty elektronicznej czy oszustwo polegające na przekierowaniu płatności.

Wyobraźmy sobie sytuację, w której pracownik urzędu otwiera pozornie wiarygodny załącznik. W wyniku ataku cyberprzestępcy uzyskują dostęp do sieci i szyfrują część danych. Systemy przestają działać, a urząd nie może korzystać z dokumentacji i części aplikacji. Samo usunięcie złośliwego oprogramowania może nie wystarczyć. Konieczne może być zaangażowanie ekspertów IT i informatyki śledczej, odzyskanie danych, analiza zakresu naruszenia, pomoc prawna, komunikacja z osobami, których dane mogły zostać ujawnione, a także działania związane z obowiązkami wynikającymi z przepisów o ochronie danych. W takiej sytuacji koszt cyberataku może powstać na wielu różnych poziomach – i nie ogranicza się do wartości utraconego sprzętu.

Co obejmuje ubezpieczenie cyber?

Zakres ochrony zależy od konkretnej oferty ubezpieczyciela i wynegocjowanych warunków, jednak ubezpieczenie cyber może obejmować zarówno koszty własne ubezpieczonego, jak i odpowiedzialność wobec osób trzecich.

W ramach polisy mogą znaleźć się m.in.:

• koszty specjalistów IT i informatyki śledczej,
• koszty odzyskiwania lub odtworzenia danych,
• koszty przywrócenia prawidłowego działania systemów,
• koszty obsługi prawnej i doradztwa,
• koszty związane z naruszeniem danych osobowych,
• koszty zawiadomienia osób poszkodowanych lub właściwych organów,
• koszty usług PR i zarządzania kryzysowego,
• utracony dochód lub dodatkowe koszty działalności wynikające z przerwy w funkcjonowaniu systemów,
• odpowiedzialność cywilna za szkody wyrządzone osobom trzecim w związku z incydentem cybernetycznym.

Warto podkreślić, że ubezpieczenie cyber nie zastępuje zabezpieczeń informatycznych. Jest ich uzupełnieniem – podobnie jak w innych obszarach zarządzania ryzykiem ubezpieczenie nie eliminuje ryzyka, ale pozwala ograniczyć jego finansowe konsekwencje.

Przygotowanie do cyberataku powinno obejmować przede wszystkim odpowiednie zabezpieczenia techniczne, procedury bezpieczeństwa, kopie zapasowe, kontrolę dostępu, szkolenia pracowników oraz plan reagowania na incydenty. Polisa cyber pełni natomiast funkcję finansowego zabezpieczenia skutków zdarzenia. Dobrze skonstruowany program ubezpieczeniowy powinien być dopasowany do rzeczywistego profilu ryzyka JST – zakresu działalności, liczby użytkowników, wykorzystywanych systemów, ilości przetwarzanych danych oraz organizacji infrastruktury IT.

Nie każda jednostka organizacyjna JST automatycznie otrzyma taką samą ochronę. Ubezpieczyciele przed zawarciem umowy szczegółowo oceniają poziom ryzyka cybernetycznego, a jednym z najważniejszych elementów tej oceny są stosowane zabezpieczenia informatyczne. Znaczenie mają m.in. sposób zarządzania dostępem do systemów, stosowanie uwierzytelniania wieloskładnikowego, wykonywanie i przechowywanie kopii zapasowych, zabezpieczenia poczty elektronicznej, aktualność oprogramowania czy wykorzystywane systemy operacyjne. Jednym z najczęściej identyfikowanych problemów jest korzystanie z niewspieranych systemów operacyjnych lub oprogramowania, dla których producent nie zapewnia już aktualizacji bezpieczeństwa. W takiej sytuacji ryzyko cybernetyczne jest dla ubezpieczyciela istotnie wyższe, a konsekwencją może być ograniczenie zakresu ochrony, zastosowanie dodatkowych warunków lub nawet brak możliwości zaoferowania ubezpieczenia na standardowych zasadach.

W przypadku JST szczególnego znaczenia nabiera również fakt, że ryzyko cybernetyczne nie musi być oceniane wyłącznie na poziomie całego samorządu. Poszczególne jednostki organizacyjne mogą być oceniane oddzielnie, w zależności od ich infrastruktury, stosowanych systemów i poziomu zabezpieczeń. Oznacza to, że urząd miasta czy gminy może posiadać odpowiednie zabezpieczenia, podczas gdy np. szkoła, jednostka kultury, ośrodek pomocy społecznej czy inna jednostka organizacyjna korzysta z rozwiązań, które nie spełniają wymagań konkretnego ubezpieczyciela. Dlatego przygotowując program ubezpieczenia cyber dla JST, warto przeanalizować nie tylko centralne systemy urzędu, ale również poziom zabezpieczeń poszczególnych jednostek organizacyjnych. Im wcześniej zostaną zidentyfikowane braki w zabezpieczeniach, tym większa szansa na ich usunięcie przed rozpoczęciem procesu ubezpieczeniowego i uzyskanie szerszej, bardziej dopasowanej ochrony.

Cyberzagrożenia zmieniają się szybciej niż wiele tradycyjnych ryzyk ubezpieczeniowych. Dlatego również program ubezpieczeniowy JST powinien być okresowo analizowany i aktualizowany. Jeżeli Państwa jednostka nie posiada jeszcze ubezpieczenia cyber lub obecna polisa nie była analizowana od kilku lat, warto sprawdzić, jaki zakres ochrony jest obecnie dostępny i czy odpowiada rzeczywistemu profilowi ryzyka.

Jako broker ubezpieczeniowy możemy pomóc w przeprowadzeniu analizy ryzyka, przygotowaniu odpowiedniego zakresu ochrony oraz porównaniu dostępnych na rynku rozwiązań. Skontaktuj się z nami, aby dowiedzieć się, jak możemy pomóc, bądź umów się na bezpłatny audyt.

Angelika Kuligowska

Broker Ubezpieczeniowy