Uw cyberverzekering keert misschien niet uit: zo checkt u het

Steeds meer mkb-bedrijven hebben een cyberverzekering. Logisch: een hack of ransomware-aanval kost al snel tienduizenden euro's, aan herstel, stilstand en soms schadeclaims. De verzekering voelt als een vangnet. Maar dat vangnet werkt alleen als u doet wat u bij de aanvraag heeft beloofd.

Wat u bij de aanvraag heeft verklaard

Wie een cyberverzekering afsluit, vult een vragenlijst in over de IT. Staat tweestapsverificatie aan? Is er een back-up? Worden updates geïnstalleerd? Vaak vinkt iemand die vragen snel af, met het idee dat het wel goed zit.

Na een incident kijkt de verzekeraar wél of het klopt. Blijkt dat de beveiliging niet was zoals verklaard, dan kan de verzekeraar de uitkering verlagen of weigeren. Dat staat in de voorwaarden, en het gebeurt in de praktijk.

Daar komt bij dat de IT verandert. Een nieuwe collega krijgt een account zonder tweestapsverificatie. Een oude server krijgt geen updates meer. De back-up wordt nooit getest. Wat bij de aanvraag klopte, klopt een jaar later misschien niet meer.

De eisen die vrijwel elke verzekeraar stelt

Elke polis is anders, maar de basis is bijna overal hetzelfde:

• Tweestapsverificatie voor alle accounts, ook voor gedeelde en oude accounts.
• Tweestapsverificatie op toegang van buitenaf, zoals een VPN of extern bureaublad. Dit is een van de meest gebruikte ingangen voor ransomware.
• Aparte beheeraccounts: beheerwerk niet met het account waarmee iemand dagelijks mailt.
• Beveiligingssoftware op alle apparaten, die centraal wordt bewaakt, zodat een melding niet gemist wordt.
• Updates binnen een vaste termijn, vaak 14 of 30 dagen, en geen systemen meer zonder updates, zoals Windows 10 zonder verlengde ondersteuning.
• Een back-up die een aanvaller niet kan wissen, bijvoorbeeld offline of onveranderbaar, en die af en toe echt wordt teruggezet om te testen.
• Bewustzijn bij medewerkers: een training of test over nepmails.
• Een plan voor als het misgaat: wie u belt, inclusief het meldnummer van de verzekeraar.

Zo checkt u het in vier stappen

1. Zoek het aanvraagformulier op. Niet alleen de polis, maar de vragenlijst die bij de aanvraag is ingevuld. Daarin staat wat uw bedrijf heeft toegezegd. Kunt u hem niet vinden, vraag hem dan op bij uw tussenpersoon of verzekeraar.

2. Leg elke toezegging naast de praktijk. Vraag uw IT-leverancier per punt hoe het nu zit. Niet "staat de beveiliging goed?", maar concreet: "staat tweestapsverificatie aan voor alle accounts, ook voor de gedeelde?" en "wanneer is de back-up voor het laatst teruggezet?".

3. Regel wat niet klopt. De meeste punten zijn snel op te lossen. Tweestapsverificatie aanzetten of een back-up los van het netwerk zetten is geen groot project. Leg vast wat er is gedaan en wanneer.

4. Herhaal het elk jaar, vóór de verlenging. Bij de verlenging stelt de verzekeraar vaak opnieuw dezelfde vragen. Wie een paar weken eerder controleert, vult ze met een gerust hart in.

Wat als u het niet weet?

Dat is heel gewoon. De directeur heeft de polis afgesloten, de IT-leverancier regelt de techniek, en niemand legt de twee naast elkaar. Juist daar zit het risico.

Begin met de gratis cyberverzekeringscheck: tien vragen, twee minuten, en u ziet direct waar u risico loopt. Download ook de gratis incidentkaart, zodat iedereen weet wie hij moet bellen.

Hulp nodig?

Wij leggen uw polis en het aanvraagformulier naast uw IT, vragen bij uw leverancier na hoe het echt zit en zetten per eis op een rij wat er moet gebeuren. Dat kan los, of als onderdeel van de IT-audit. In de pakketten Plus en Pro controleren wij het elk jaar vóór de verlenging van uw polis.

Of een verzekeraar na een incident uitkeert, bepaalt altijd de verzekeraar. Wij zorgen dat de basis op orde is, zodat u daar niet op hoeft te gokken.