Når I tegner eller fornyer en cyberforsikring, udfylder I et spørgeskema: Har alle totrinslogin? Tages der backup, og er den adskilt fra netværket? Opdateres systemerne? Svarene bliver en del af grundlaget for forsikringen. Hvis skaden sker, kan selskabet spørge, om svarene var rigtige. Derfor skal I ikke bare svare ja. I skal kunne vise det, både på den dag, I svarede, og på den dag, skaden sker.
Hvorfor spørgeskemaet betyder så meget
Et spørgeskema er ikke en formalitet. Selskabet bruger det til at vurdere risikoen og prisen. Har I givet oplysninger, der ikke var rigtige, kan det i værste fald påvirke dækningen. Det gælder også, hvis forholdene har ændret sig siden, og I ikke har givet besked.
Problemet er sjældent, at nogen lyver. Det er, at spørgeskemaet bliver udfyldt af en travl økonomichef eller direktør, der krydser af ud fra, hvad IT-leverandøren har sagt engang. “Ja, vi har MFA” kan betyde, at alle medarbejdere har det, men en gammel servicekonto og direktørens assistent har det ikke. Det er netop de undtagelser, et angreb tit går igennem.
De typiske spørgsmål, og hvad der dokumenterer dem
- Totrinslogin for alle brugere og fjernadgang · Rapport fra administrationsportalen over brugere og metoder
- Backup adskilt fra netværket og testet · Backuprapporter og referat af seneste gendannelsestest
- Opdatering af systemer · Rapport fra opdateringsværktøjet eller leverandøren
- Beskyttelse af computere · Oversigt over enheder med status for beskyttelse
- Logning og overvågning · Indstillinger for logning og opbevaringstid
- Uddannelse af medarbejdere · Deltagerlister og datoer
Tabellen er et eksempel. Brug jeres eget spørgeskema som skabelon, og lav én linje pr. spørgsmål.
Hvad gør I nu, i rækkefølge
- Find det spørgeskema, I sidst har sendt. Det ligger måske hos forsikringsmægleren eller i en mail. Gem en kopi i en fast mappe.
- Gå svarene igennem med IT. Ikke kun “har vi det?”, men “gælder det for alle, og kan vi vise det?”. Notér undtagelser.
- Hent dokumentationen for hvert svar. En rapport, et skærmbillede eller en eksport med dato. Gem den uændret sammen med spørgeskemaet.
- Ret det, der ikke holder. Er der undtagelser, så luk dem, eller giv selskabet besked. Det er bedre at rette nu end at blive spurgt efter en skade.
- Gentag før hver fornyelse. Lav en fast påmindelse, så dokumentationen er frisk, når skemaet skal udfyldes igen.
Hvem gør hvad
- Direktøren eller ejeren skriver under og har ansvaret for, at svarene er rigtige.
- Økonomi har kontakten til mægleren og holder styr på fornyelser og frister.
- IT eller IT-leverandøren leverer dokumentationen og siger klart til, hvis et svar ikke holder.
- Bestyrelsen kan med fordel spørge, om svarene er tjekket. → Bestyrelsens spørgsmål om bevisberedskab
Ligger jeres IT-drift hos en leverandør, så bed skriftligt om dokumentationen. Et “ja, det har I” i telefonen er ikke nok. Det er jer, der har underskrevet skemaet. → Når IT-driften ligger hos en ekstern leverandør
Det skal I lade være med
- Svar ikke ud fra hukommelsen. Tjek, før I krydser af.
- Svar ikke “ja”, hvis svaret er “næsten”. Skriv undtagelsen, eller spørg mægleren, hvordan den skal oplyses.
- Lad være med at lave dokumentationen bagefter. En rapport trukket efter en skade viser forholdene efter skaden, ikke før.
- Lad ikke IT-leverandøren udfylde skemaet for jer uden at gennemgå det. Ansvaret er jeres.
Når noget ændrer sig i løbet af året
Spørgeskemaet beskriver forholdene på én dag. Men IT ændrer sig hele tiden. En ny medarbejder bliver oprettet uden totrinslogin, fordi det haster. Backuppen flyttes til en ny løsning. En gammel server bliver hængende, selv om den skulle have været lukket. Hver af den slags ændringer kan betyde, at et svar i skemaet ikke længere passer.
Lav derfor en enkel rutine:
- IT giver besked til den, der ejer forsikringen, når noget, der står i skemaet, ændres.
- Ændringen skrives ned med dato i den samme mappe som spørgeskemaet.
- Den ansvarlige vurderer sammen med mægleren, om selskabet skal have besked.
Det lyder som bureaukrati, men det er få linjer om året. Og det er netop de linjer, der viser, at I har holdt øje, hvis selskabet efter en skade spørger, hvorfor en konto ikke havde totrinslogin.
Spørg mægleren om de svære spørgsmål
Nogle spørgsmål i skemaet er uklare. Hvad betyder “alle brugere”? Tæller servicekonti og fælles postkasser med? Hvad er “adskilt” backup? Når I er i tvivl, så spørg mægleren eller selskabet skriftligt, og gem svaret. Et skriftligt svar på, hvordan et spørgsmål skal forstås, er en god del af dokumentationen.
Hvorfor det handler om beviser
Efter en skade vil selskabet typisk se på, hvordan forholdene var på tidspunktet for angrebet. Hvis I har en mappe med spørgeskemaet, datoen for svaret og den dokumentation, der lå bag, kan I vise det med det samme. Hvis ikke, skal forholdene rekonstrueres ud fra systemer, der måske er krypteret, geninstalleret eller ændret siden.
Det samme gælder, hvis der senere opstår en tvist med jeres IT-leverandør om, hvem der havde ansvaret for, at backup eller totrinslogin var på plads. Dokumentationen, der viser, hvad der var aftalt og leveret, er den samme.
Sammenhæng med jeres øvrige beredskab
Arbejdet med spørgeskemaet er en god anledning til at se på bevisberedskabet generelt. Mange af de indstillinger, selskabet spørger til, er de samme, som afgør, om I kan dokumentere en hændelse: logning, opbevaringstid og backup. Brug spørgeskemaet som tjekliste én gang om året, og gem resultatet.
→ Bevisberedskab i Microsoft 365
Hvornår skal I have hjælp udefra?
De fleste virksomheder kan klare gennemgangen selv med deres IT. Få hjælp fra en uvildig IT-sagkyndig, hvis I er i tvivl om, hvad et spørgsmål dækker, hvis IT-leverandøren ikke kan eller vil dokumentere svarene, eller hvis en skade allerede er sket, og selskabet stiller spørgsmål til de svar, I har givet. Så er det vigtigt, at forholdene beskrives uvildigt og præcist.
Et eksempel på en svag og en stærk mappe
En svag mappe indeholder spørgeskemaet som PDF og intet andet. En stærk mappe indeholder spørgeskemaet, en kort note om, hvem der udfyldte det og hvornår, en rapport over brugere med totrinslogin trukket samme uge, den seneste backuprapport, referatet fra en gendannelsestest og mailen fra mægleren, der forklarer et uklart spørgsmål. Begge mapper tager kort tid at lave, når man gør det samtidig med skemaet. Kun den ene kan bruges, når der er brug for den.
Kort sagt
Spørgeskemaet er et løfte om, hvordan jeres IT ser ud. Gem svaret, gem beviset, og tjek begge, før I skriver under igen. Det tager et par timer om året og kan gøre forskellen, den dag I har brug for forsikringen.
Læs også: Ransomware: hvad skal forsikringsselskabet have dokumenteret? · Cyberforsikringen afviser kravet
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
