A céges biztosítások térképén a „működés” égtáj sokáig a tűzről, a géptörésről és az üzemszünetről szólt. Ma a kisvállalkozások működését legalább ennyire fenyegeti egy megnyitott csatolmány, egy jelszó-lopó adathalász levél vagy egy átírt bankszámlaszámú számla. A Nemzeti Kiberbiztonsági Intézet rendszeresen ad ki figyelmeztetést magyar nyelvű adathalász és csaló levelekről, az üzleti levelezés eltérítésére épülő (BEC) csalásokról – és ezek nem a nagyvállalatokat célozzák, hanem azt, ahol a könyvelő, az ügyvezető és a bank között egyetlen e-mail dönt. Alkuszként azt látom, hogy a kkv-k többsége ezt a kockázatot még nem sorolta be sehová: a vagyonbiztosítás nem erről szól, a felelősségbiztosítás jellemzően kizárja az adatvédelmi károkat, az üzemszünet-fedezet pedig dologi kárhoz kötött. Ez a cikk a kiberbiztosítás áttekintője: mi ez, mit fedez, mit nem, és kinek érdemes egyáltalán ajánlatot kérnie.
- A kiberbiztosítás két irányba dolgozik: a cég saját kárára (incidenskezelés, adat- és rendszer-helyreállítás, üzemszünet, zsarolás) és a harmadik feleknek okozott kárra (adatvédelmi felelősség, hatósági eljárás költségei).
- A kkv-knál az egyik leggyakoribb kárforrás – az átutalásos, számlacserés csalás – a legkényesebb pont: a hazai feltételek egy része kizárja, más része külön modulban, alacsonyabb limittel vállalja, ezért ezt a sort érdemes külön megnézni.
- A biztosító a kötés előtt IT-biztonsági kérdőívet kér, és a feltételek jellemzően kikötnek alapvető intézkedéseket (mentés, frissítés, hozzáférés-kezelés); ha ezek hiányoznak, a térítés kérdésessé válhat.
Mi ellen véd a kiberbiztosítás?
A hazai termékek – a MABISZ Biztosítás és Kockázat című lapjában megjelent tanulmány és a biztosítói termékleírások alapján – két nagy fedezeti körből építkeznek. Az első a cég saját kára: az incidens utáni első szakértői segítség (IT-forenzika, jogász, kommunikáció), a megsemmisült vagy titkosított adatok és rendszerek helyreállításának költsége, a leállás miatti bevételkiesés és többletköltség (kiber-üzemszünet), valamint a zsarolóvírus-támadással összefüggő költségek. A második a harmadik feleknek okozott kár: ha ügyfelek, partnerek személyes adatai szivárognak ki, a velük szembeni kártérítés és sérelemdíj, az érintettek értesítésének költsége, a hatósági eljárásban felmerülő jogi költségek – és a feltételek egy részénél a kiszabott bírság is, ahol annak biztosítását a jog engedi. Ez a kettős szerkezet fontos: a legtöbb kkv csak az elsőre gondol, pedig egy webshop vagy egy könyvelőiroda esetében a második a nagyobb tétel.
A közös nevező itt is ugyanaz, mint minden biztosításnál: a biztosító csak arra fizet, ami a szerződésében biztosítási esemény. A kiberbiztosítás feltételei biztosítónként lényegesen eltérnek – ugyanaz a szó („üzemszünet”, „adatvesztés”) más tartalmat takarhat, más önrésszel, más limittel és más várakozási idővel. A kkv-biztosítás térképén a kiberfedezet a működés égtájának egy külön sora, nem a meglévő kötvények bővítménye.
Átutalásos csalás: a kényes pont
A kkv-k egyik leggyakoribb tényleges vesztesége nem a feltört szerver, hanem az elutalt pénz: a szállító nevében érkező, módosított bankszámlaszámú számla, az ügyvezetőt utánzó „sürgős utalás” kérés, az eltérített levelezés. Ez jogi értelemben nem betörés a rendszerbe, hanem megtévesztés – a cég munkatársa maga indítja az utalást. Éppen ezért a kiberbiztosítások egy része ezt a kárt kizárja vagy csak külön záradékban, a főlimitnél jóval alacsonyabb sublimittel vállalja (a feltételekben „social engineering”, „átutalási csalás” vagy „cyber crime” néven keresse). Ha a cége rendszeresen utal szállítóknak, ez az egyetlen sor többet ér a döntésnél, mint a fedezeti táblázat többi része együtt – és ha hiányzik, azt tudni kell, mielőtt kötvényt ír alá. A bank felé is érdemes tisztázni a folyamatot, mert az ügyfél által jóváhagyott utalást a bank jellemzően nem téríti vissza.
Mit kér számon a biztosító?
A kiberkockázat elbírálása kérdőívvel indul: van-e rendszeres, a hálózattól elkülönített biztonsági mentés, többfaktoros azonosítás a levelezésen és a távoli elérésen, frissítettek-e a rendszerek, ki fér hozzá az utalási jogokhoz, kaptak-e a munkatársak oktatást. A MABISZ lapjában 2019-ben megjelent tanulmány egy hazai biztosító termékén mutatja be, hogy a szerződésbe olyan feltételeket iktatnak, mint a jelszókezelés és a hozzáférések szabályozása, a tűzfalak szakszerű beállítása, a vírusirtók és az operációs rendszerek folyamatos frissítése – és hogy a saját fejlesztésű vagy nem jogtiszta szoftver használata kizáró ok lehet. A gyakorlati következmény kétirányú. Egyrészt a kérdőívre adott válasz közlési kötelezettség alá esik: ami nem igaz a kötéskor, az kárnál visszaüthet. Másrészt a feltételekben kikötött intézkedés elmaradása – biztosítónként eltérő szerkezetben – kizáráshoz vagy a biztosító mentesüléséhez vezethet; utóbbinál a bizonyítás a biztosítóé, de a vita elkerülésének egyszerűbb útja az, ha a kötéskor vállalt minimumot a cég tényleg működteti. Sok kkv-nál a kérdőív végigjárása önmagában hasznosabb, mint a kötvény: kiderül, mi hiányzik.
Kinek való – és mit nem helyettesít?
Nem minden kkv-nak ez az első biztosítási teendője. Erősen indokolt ott, ahol a működés az adaton és az elérhetőségen múlik: webshop és online szolgáltató, könyvelő- és ügyvédi iroda, tervezőiroda, orvosi rendelő, szoftverfejlesztő, minden olyan cég, amely partnerek személyes vagy üzleti adatait kezeli, és minden gyártó vagy logisztikai cég, ahol egy leállt rendszer napokra megállítja a kiszállítást. Egy egyszemélyes, papíralapon dolgozó vállalkozásnál ugyanez a fedezet felesleges lehet – erről a hiány-vadászat logikájával érdemes dönteni, nem félelemből. Két dolgot a kiberbiztosítás nem helyettesít: a valódi IT-biztonságot (mentés, frissítés, oktatás – ezek nélkül a kötvény sem sokat ér) és a jogszabályi megfelelést. Az adatvédelmi szabályok (GDPR) minden cégre vonatkoznak, a NIS2-irányelvet átültető hazai kiberbiztonsági szabályozás (a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény) pedig – tevékenységtől és mérettől függően – egyes közepes és nagyobb cégeknek ír elő kötelező védelmi intézkedéseket; hogy az Ön cége ez alá tartozik-e, azt jogásszal vagy IT-szakértővel érdemes tisztázni, nem a biztosítási ajánlatból kiolvasni.
Hogyan illeszkedik a portfólióba?
Három meglévő kötvényt érdemes a kiberajánlat mellé tenni. A telephelyi vagyonbiztosítás a hazai feltételek szerint jellemzően csak a fizikai károsodást téríti, az elektronikus adat elvesztését nem, vagy csak szűk kiegészítő fedezetként. Az általános és szakmai felelősségbiztosítás az adatvédelmi és hálózati károkat gyakran kizárja – de nem mindig, ezért itt átfedés is előfordulhat. Az üzemszünet-fedezet pedig dologi kár (tűz, géptörés) után indul, kibertámadás után nem. A webshopok biztosítási kérdéseiről szóló cikkben ezt a három határt konkrét példákon mutattam meg. A kiberbiztosítás akkor jó döntés, ha ezekre a valós résekre válaszol – és nem duplázza meg azt, ami már van.
Mit tegyen most?
Írja össze, milyen adaton és rendszeren múlik a cége működése, és hány napig bírná ki nélküle. Nézze meg a meglévő kötvényeiben, hogy az elektronikus adat, az adatvédelmi kár és a hálózati leállás kizárás-e. Kérje ki az IT-üzemeltetőjétől, hogy a mentés, a frissítés és a többfaktoros azonosítás ma hogyan áll – ezt a kérdőív úgyis megkérdezi. Ha ajánlatot kér, az átutalásos csalás sorát, a limiteket, az önrészt és a várakozási időt vesse össze a többi ajánlattal, ne csak a díjat. Ha ezzel a listával megkeres, az ajánlatok összevetését elkészítem, és a feltételek lényegét közérthetően összefoglalom – a döntés, ahogy mindig, az Öné.
Kérdés a saját cége adataira és folyamataira szabva? Foglaljon 20 perces díjmentes konzultációt →
Források
- Nemzeti Kiberbiztonsági Intézet – csalás, adathalászat figyelmeztetések
- Nemzeti Kiberbiztonsági Intézet – BEC-támadások (üzleti levelezés eltérítése)
- MABISZ – Biztosítás és Kockázat VI. évf. 3. szám: A kiberkockázat biztosíthatósága vállalati szinten (2019)
- Colonnade Biztosító – Mi az a cyber biztosítás? Fedezetek és kockázatok (biztosítói termékleírás)
- 2024. évi LXIX. törvény Magyarország kiberbiztonságáról – a NIS2-irányelv hazai átültetése (2025. január 1-jétől)
