Wat je cyberverzekeraar wil zien voor hij uitkeert

Een cyberverzekering afsluiten is niet zo moeilijk. Uitgekeerd krijgen is het echte werk. Verzekeraars zijn de afgelopen jaren flink strenger geworden: waar een virusscanner ooit volstond, verwachten ze nu een volwassen beveiligingsbasis, en ze controleren die op het moment dat het je het slechtst uitkomt.

De vragenlijst is het contract

Bij de aanvraag vul je een vragenlijst in: welke maatregelen draai je, hoe zijn backups geregeld, wie heeft toegang tot wat. De uitkomst bepaalt je premie en je dekking. Die antwoorden zijn geen formaliteit. Bij schade stuurt de verzekeraar een expert, en die vraagt bewijs op van precies wat je hebt ingevuld. Een MFA-beleid op papier terwijl de helft van de accounts zonder meervoudige authenticatie draait is dan geen slordigheid maar een dekkingsprobleem.

Wat vrijwel elke verzekeraar wil zien

1. Meervoudige authenticatie op de accounts die ertoe doen. Bij de meeste verzekeraars inmiddels een harde eis.

2. Backups die aantoonbaar getest zijn. Niet het vinkje in je backupsoftware, maar een logregel van een geslaagde restoretest.

3. Een patchproces dat bijhoudt wat wanneer is bijgewerkt, zodat een bekende kwetsbaarheid niet maanden open blijft staan.

4. Een incidentplan waarin staat wie wat doet in de eerste uren, inclusief wie de verzekeraar belt.

De dekking zelf valt doorgaans uiteen in eigen schade, aansprakelijkheid richting derden, bedrijfsstilstand en crisismanagement. Lees vooral wat er uitgesloten is: precies daar zitten de discussies bij een claim.

Behandel de vragenlijst als een audit, niet als een invuloefening. Onze gratis Cyber-insurance-readiness-check loopt twaalf controls langs die verzekeraars toetsen en geeft per control aan waar je gat zit. En of je de eerste uren van een incident aankunt, toets je met de incident-readiness scan.

Bron: reset.nl, kremer.nl, securiguide.nl.