Assicurazione cyber: cosa copre e quali requisiti tecnici servono

Sempre più imprenditori valutano una polizza cyber per proteggere l'azienda dalle conseguenze economiche di un attacco informatico. Ma al momento della richiesta molti scoprono che la compagnia fa domande precise sulla sicurezza: autenticazione a più fattori, backup, protezione dei PC. Capire cosa copre una polizza e cosa viene richiesto aiuta a scegliere bene e a non avere sorprese al momento del sinistro.

Cos'è un'assicurazione cyber

L'assicurazione cyber è una polizza che copre i danni economici legati a incidenti informatici: attacchi ransomware, violazioni di dati, frodi via email, interruzioni dell'attività causate da un attacco. Non sostituisce le misure di sicurezza: interviene quando, nonostante le protezioni, qualcosa va storto.

Le condizioni variano molto da una compagnia all'altra e da un contratto all'altro. Quanto segue è una panoramica generale: per le coperture specifiche fa sempre fede il testo della polizza, da esaminare con il proprio broker o consulente assicurativo.

Cosa copre in generale

Le coperture si dividono di solito in due grandi aree.

Danni propri

• costi di gestione dell'incidente, come analisi tecnica e ripristino dei sistemi;
• recupero o ricostruzione dei dati;
• perdita di reddito dovuta al fermo dell'attività;
• costi di notifica e comunicazione, per esempio verso il Garante e gli interessati in caso di violazione di dati personali;
• assistenza legale e di comunicazione.

Responsabilità verso terzi

• richieste di risarcimento da parte di clienti o fornitori danneggiati;
• spese legali per difendersi;
• in alcuni casi, conseguenze di violazioni della privacy.

Alcune voci possono essere escluse o limitate, come i pagamenti di riscatti, le frodi con bonifico su istruzione falsa o i danni derivanti da sistemi non aggiornati. Esclusioni, massimali e franchigie vanno letti con attenzione.

I requisiti tecnici richiesti più spesso

Prima di emettere la polizza, le compagnie chiedono di compilare un questionario sulla sicurezza. Le domande più ricorrenti riguardano:

• autenticazione a più fattori (MFA) per la posta, gli accessi remoti e gli account amministrativi;
• backup regolari, con almeno una copia separata dalla rete aziendale o non modificabile, e test di ripristino;
• protezione degli endpoint con soluzioni di tipo EDR, non solo antivirus tradizionale;
• aggiornamenti di sistemi operativi e software, con un processo di patch management;
• firewall e protezione degli accessi dall'esterno;
• formazione dei collaboratori sul phishing;
• piano di risposta agli incidenti, anche semplice;
• gestione degli account privilegiati e dei permessi.

Le risposte non sono una formalità. Dichiarare misure che in realtà non sono attive, o lo sono solo in parte, può creare problemi seri al momento del sinistro.

Come prepararsi alla sottoscrizione

• fai una fotografia della situazione attuale prima di compilare il questionario;
• colma le lacune principali, a partire da MFA e backup, che sono anche le misure più efficaci;
• documenta le misure adottate: configurazioni, procedure, report del fornitore IT;
• coinvolgi chi gestisce l'IT nella compilazione, per evitare risposte imprecise;
• rivedi la situazione a ogni rinnovo, perché i requisiti tendono a cambiare nel tempo.

Una checklist di sicurezza può aiutarti a verificare rapidamente dove ti trovi.

Errori da evitare

• considerare la polizza un'alternativa alla sicurezza;
• rispondere al questionario in modo approssimativo;
• non leggere esclusioni e franchigie;
• non sapere chi chiamare, e come, quando si verifica un incidente;
• dimenticare gli obblighi di notifica: per esempio, il GDPR prevede la notifica al Garante entro 72 ore dalla conoscenza di una violazione di dati personali, quando ne ricorrono i presupposti.

Checklist prima di chiedere un preventivo

• ☐ MFA attiva su posta, accessi remoti e account amministrativi
• ☐ Backup con copia isolata e test di ripristino documentati
• ☐ Protezione EDR su PC e server
• ☐ Processo di aggiornamento dei sistemi
• ☐ Firewall configurato e gestito
• ☐ Formazione antiphishing per i collaboratori
• ☐ Piano di risposta agli incidenti con contatti utili

Come può aiutarti Area GUI

Area GUI non vende polizze, ma aiuta le aziende a mettere in campo e documentare le misure tecniche richieste più spesso dalle compagnie, dalla MFA ai backup fino all'EDR gestito. Scopri i servizi di Endpoint Security e Data Availability Service, oppure contattaci.