Assicurazione cyber: cosa copre e cosa chiede in cambio

Negli ultimi anni le polizze contro i rischi informatici sono diventate un prodotto diffuso anche tra piccole e medie imprese. Possono essere uno strumento utile per trasferire una parte del rischio. Ma non sostituiscono la sicurezza, e una polizza firmata senza leggerla può rivelarsi molto diversa da come la si immaginava.

Cosa copre di solito

Le coperture variano molto da un prodotto all'altro, ma si raggruppano in tre aree.

Danni propri. Costi sostenuti dall'organizzazione dopo un incidente: analisi tecnica, ripristino di sistemi e dati, interruzione dell'attività e perdita di fatturato, notifiche alle persone coinvolte, consulenza legale e di comunicazione.

Responsabilità verso terzi. Richieste di risarcimento di clienti, partner o persone i cui dati sono stati compromessi, e i relativi costi di difesa. In alcuni casi, e dove la legge lo consente, anche alcune conseguenze di procedimenti delle autorità.

Servizi di assistenza. Molte polizze includono un numero di emergenza e un gruppo di specialisti: tecnici per la risposta agli incidenti, legali, esperti di comunicazione. Per una piccola impresa senza risorse interne, può essere il valore più importante.

Cosa chiedono le compagnie

Dopo anni di sinistri in crescita, le compagnie sono diventate più selettive. Prima di assicurare, chiedono di solito di compilare un questionario e di dimostrare misure minime come:

• autenticazione a più fattori per posta, accessi remoti e account amministrativi;
• backup regolari con almeno una copia protetta e scollegata;
• aggiornamenti di sicurezza installati con regolarità;
• protezioni sui computer e sulla posta;
• formazione del personale su phishing e frodi;
• procedure di verifica dei pagamenti.

Le risposte al questionario hanno conseguenze. Dichiarare misure che non esistono può compromettere la copertura proprio quando serve.

Cosa leggere con attenzione

• Esclusioni: alcuni eventi possono non essere coperti, ad esempio incidenti causati da sistemi fuori supporto noti, attacchi attribuiti a Stati, frodi sui pagamenti senza procedure di verifica, o guasti non dovuti ad attacchi.
• Franchigie e massimali: quanto resta comunque a carico dell'organizzazione e qual è il limite per ogni tipo di danno.
• Periodi di attesa: per l'interruzione di attività spesso il risarcimento parte solo dopo un certo numero di ore di fermo.
• Obblighi in caso di sinistro: tempi entro cui avvisare la compagnia, obbligo di usare i fornitori indicati, divieto di prendere certe decisioni senza consultarla.
• Riscatti: se e come la polizza tratta la questione, nei limiti di quanto consentito dalla legge.

Integrare la polizza nel piano

Una polizza è utile solo se, durante la crisi, qualcuno sa che esiste e come attivarla. Conviene:

• inserire il numero di emergenza della compagnia nel piano di risposta agli incidenti, anche su carta;
• sapere chi è autorizzato ad aprire il sinistro;
• conoscere i fornitori che la compagnia mette a disposizione e come coordinarli con quelli abituali.

In sintesi

Un'assicurazione cyber può aiutare molto a reggere l'urto di un incidente, soprattutto per chi non ha esperti interni. Ma funziona solo insieme a misure di sicurezza reali, e solo se le sue condizioni sono state lette e capite prima del bisogno.