Cyber polica ne zamjenjuje ulaganje u sigurnost, već ga nadopunjuje

Kibernetički napadi danas ne pogađaju samo velike sustave, sve češće na udaru su mali i srednji poduzetnici, čija je digitalna zaštita u pravilu osjetno slabija. O tome kako se zaštititi, što točno pokrivaju police cyber osiguranja i koje pogreške mogu skupo stajati, ističe za ICTbusiness.info Filip Šutić iz Croatia osiguranja.

Prema njegovim riječima ključno je da tvrtke temeljito razumiju strukturu police, njezina ograničenja i obveze koje proizlaze iz uvjeta osiguravatelja, ali i jednako važno je i da pravovremeno usklađuju vlastite interne procedure s uvjetima police, kako bi zaštita bila učinkovita u praksi.

On napominje kako se preporučuje savjetovanje sa stručnjacima i redovita revizija police, posebno u kontekstu razvoja poslovanja i promjena u rizicima kojima je tvrtka izložena.

Koje su ključne razlike između tradicionalnih polica osiguranja poslovanja i posebnih polica za kibernetičke rizike, te što sve te police mogu pokriti u slučaju štete uzrokovane kibernetičkim napadom?

Tradicionalno osiguranje štiti prije svega materijalnu imovinu i klasične rizike (požar, krađa, fizička šteta) i pokriva standardne oblike štete, dok cyber osiguranje pruža konkretnu stručnu pomoć u slučaju incidenta, a pokriva i troškove i financijske gubitke tvrtke koji mogu nastati uslijed kibernetičkog napada, te naknadu troškova trećim stranama za nanesene štete. Danas je zbog sve više digitalnih procesa i regulative (npr. GDPR) potreba za ovakvom vrstom zaštite sve izraženija, pogotovo za male i srednje tvrtke koje sve češće postaju metom napada.

Primjeri iz prakse uključuju blokade čitavih sustava s višemilijunskim posljedicama (npr. INA, A1), iznude putem ransomwarea, krađu stotina tisuća korisničkih podataka ili gubitak dobiti od prekida rada. U ekstremnim slučajevima, posljedice mogu biti toliko ozbiljne da tvrtka prestane poslovati unutar šest mjeseci nakon incidenta.

Svaka pojedina stavka CYBER police ima svoje pravilo za određivanja odgovornosti i visine odštete, a ukupno se nikad ne može isplatiti više od stvarne štete, niti iznad limita ugovorenih u polici. Argumentacija i podloga za isplatu štete moraju biti jasno dokumentirane.

Na što bi tvrtke trebale posebno obratiti pozornost prilikom ugovaranja osiguranja od kibernetičkih rizika, kako bi zaista imale pokrivene ključne poslovne rizike?

Samo postojanje police osiguranja od kibernetičkih rizika nije dovoljno. Ključno je da tvrtke temeljito razumiju strukturu police, njezina ograničenja i obveze koje proizlaze iz uvjeta osiguravatelja. Jednako važno je i da pravovremeno usklađuju vlastite interne procedure s uvjetima police, kako bi zaštita bila učinkovita u praksi. Preporučuje se savjetovanje sa stručnjacima i redovita revizija police, posebno u kontekstu razvoja poslovanja i promjena u rizicima kojima je tvrtka izložena.

Često se pogrešno pretpostavlja da ovakva polica automatski pokriva sve vrste kibernetičkih incidenata i svih pripadajućih troškova. U stvarnosti, svaki ugovor ima jasno definirane limite, izuzeća i uvjete kojih se treba pridržavati stoga nije svaki incident automatski pokriven. Još jedna česta zabluda je da je polica dovoljna sama po sebi, bez paralelnog ulaganja u sigurnosne mjere, poput višefaktorske autentifikacije, redovitog backupiranja i edukacije zaposlenika. U slučaju da sigurnosni standardi nisu ispunjeni, osiguravatelj može smanjiti naknadu štete ili čak odbiti isplatu.

Dodatno, važno je imati na umu da određeni rizici u pravilu ostaju izvan pokrića, primjerice fizička šteta, poznate ranjivosti koje nisu bile otklonjene prije ugovaranja police, regulatorne kazne, namjerne radnje te budući gubici. Sve su to elementi koje je potrebno zasebno planirati i njima aktivno upravljati.

Kako učinkovito upravljati rizicima u poslovanju uz policu osiguranja, osobito kada su u pitanju digitalni i kibernetički rizici?

Polica cyber osiguranja važan je financijski mehanizam zaštite, no svoju punu funkciju ostvaruje tek u kombinaciji s odgovarajućim sigurnosnim mjerama, edukacijom zaposlenika i operativnom spremnošću na incidente. Takav cjelovit pristup omogućuje tvrtkama ne samo smanjenje rizika od štetnih događaja, već i brži oporavak u slučaju incidenta, čime se štiti kontinuitet poslovanja i povjerenje klijenata.

Dobro postavljen sustav upravljanja digitalnim rizicima temelji se na jasnoj podjeli uloga. Osiguranje ne zamjenjuje tehničke i organizacijske mjere, već ih nadopunjuje. Prevencija, pravovremena reakcija i financijska zaštita moraju funkcionirati zajedno kako bi se šteta svela na minimum i omogućio što brži povratak u normalno poslovanje.

Sam proces obrade štete također zahtijeva temeljitost i kvalitetnu komunikaciju. To uključuje pravodobnu prijavu incidenta, potpunu dokumentaciju te transparentnu suradnju između tvrtke i osiguravatelja. Aktivacija police može biti uspješna samo ako su svi preduvjeti jasno ispunjeni i ako postoji razumijevanje uloge obje strane u rješavanju incidenta.

U konačnici, kontinuirana suradnja s osiguravateljem postaje važan dio strategije upravljanja kibernetičkim rizicima. Time se ne osigurava samo financijska zaštita, već i snažniji sustav prevencije, brža reakcija na prijetnje te učinkovitija obnova poslovanja. U digitalnom okruženju koje se neprestano mijenja, upravo je ta otpornost ključna za dugoročnu održivost svake organizacije.