ما الذي يطلبه مزوّدو التأمين السيبراني؟

يطلب معظم مُؤمّني التأمين ضد الجرائم الإلكترونية معرفة ما إذا كانت شركتك لديها عدد من الضمانات الأساسية في مكانها قبل أن يقدموا تغطية أو يجددوا وثيقة. من أمثلة ذلك الشائع: استخدام المصادقة متعددة العوامل، وغالبًا ما تُسمّى MFA، للبريد الإلكتروني والحسابات المهمة، وبرامج مكافحة الفيروسات أو حلول كشف واستجابة نقاط النهاية، والتي تُسمّى EDR، وتحديثات البرامج بشكل منتظم، والنسخ الاحتياطية، وتدريب الموظفين.

كما يسألون غالبًا عن كيفية التعامل مع الوصول عن بُعد، ومن لديه صلاحيات المسؤول (Admin)، وما إذا كانت النسخ الاحتياطية يتم اختبارها، وما إذا كانت لديكم خطة للتعامل مع حوادث مثل الاحتيال أو الفدية الرقمية (Ransomware) أو الأجهزة المسروقة. قد يطلب بعض مقدمي الخدمة أسئلة تفصيلية عند التقديم. وقد يطلب آخرون إثباتًا لاحقًا.

الشيء الأهم الذي يجب معرفته هو هذا: لا يبحث المُؤمّنون عن الكمال. عادةً ما يريدون أن يروا أن لديكم ضوابط معقولة، وأنكم تعرفون ما الذي تملكونه، وأن شخصًا مسؤولًا عن إبقاء الأساسيات في حالة جيدة.

يمكن أن تساعد التأمينات الإلكترونية في تغطية التكاليف بعد وقوع حوادث معينة، لكن ترتبط التغطية بالإجابات التي تقدمها في طلبك وبنود الوثيقة. إذا قالت شركتك إن أحد الضوابط موجود، لكنه غير موجود فعليًا، فقد يسبب ذلك مشكلات خلال مطالبة التأمين. وهذه إحدى الأسباب التي تجعل أصحاب الأعمال من الحكمة أن يبطئوا الخطوات ويتأكدوا من أن الإجابات دقيقة.

بالنسبة للشركات الصغيرة، ليست المشكلة مجرد التأمين. غالبًا ما تكون العناصر نفسها التي يسأل عنها المُؤمّنون هي أيضًا الأساسيات نفسها التي سيُنصح بها مزود خدمات تقنية مُدارة جيد، والذي يُسمّى أيضًا MSP. هذه خطوات عملية تقلل المشكلات التي يمكن تجنبها وتسهّل التعافي عندما يحدث خطأ.

كما تختلف المتطلبات باختلاف المجال والصلاحيات/الولاية. قد يطرح مكتب طبي أسئلة مرتبطة بـ HIPAA، أي قانون قابلية نقل وتأمين الرعاية الصحية والمساءلة. قد يُسأل نشاط تجاري يتعامل مع بطاقات الدفع عن PCI، معيار أمان بيانات صناعة بطاقات الدفع. قد تسمع شركة تبيع لجهات أكبر أيضًا عن SOC 2، وهو إطار عمل يستخدمه العديد من العملاء لمراجعة ضوابط الأمن.

يُعد أمن البريد الإلكتروني من أول المجالات التي ينظر إليها مُؤمّنو التأمين. غالبًا ما يريدون تفعيل MFA على Microsoft 365 وGoogle Workspace وأي تطبيق سحابي يحتوي على معلومات حساسة. تعني MFA أن المستخدمين يحتاجون إلى خطوة ثانية لتسجيل الدخول، مثل رمز من تطبيق أو مفتاح جهاز، وليس مجرد كلمة مرور.

كما يسألون عن حماية نقاط النهاية. نقطة النهاية هي جهاز مثل جهاز كمبيوتر محمول أو مكتبي أو خادم. إن EDR، أي كشف واستجابة نقاط النهاية، هي أداة أكثر تقدمًا من مكافحة الفيروسات الأساسية. تساعد في كشف الأنشطة المشبوهة على الأجهزة وتمنح مزود تقنيًا طريقة للتحقيق والاستجابة.

موضوع شائع آخر هو التحديثات (patching). تعني التحديثات تثبيت تحديثات الأمان والاستقرار لأنظمة التشغيل والمتصفحات وبرامج الأعمال وجدران الحماية وغيرها من الأدوات. قد يسأل المُؤمّنون عن مدى سرعة تطبيق التحديثات الحرجة وما إذا كانت الأنظمة غير المدعومة ما زالت قيد الاستخدام.

تُعد النسخ الاحتياطية محورًا رئيسيًا أيضًا. غالبًا ما يريد العديد من مقدمي الخدمة نسخًا احتياطية منفصلة عن الأنظمة اليومية، ويتم اختبارها بانتظام. قد تسمع مصطلح نسخة احتياطية 3-2-1. يعني ذلك الاحتفاظ بـ 3 نسخ من البيانات، على نوعين مختلفين من وسائط التخزين، مع الاحتفاظ بنسخة واحدة خارج الموقع أو بشكل منفصل على نحو آخر. لا يَعِد أي مزود صادق بتوقف الخدمة بصورة معدومة، أو بشبكة لا يمكن اختراقها، أو باستعادة مضمونة، لكن مُؤمّني التأمين يريدون أن يروا أن التخطيط للتعافي حقيقي.

كما أن التحكم في الوصول مهم. غالبًا ما يسأل مُؤمّنو التأمين عن من يملك صلاحيات المسؤول، وما إذا كانت تُزال إمكانية الوصول بسرعة عن الموظفين السابقين، وما إذا كان الوصول عن بُعد مقيدًا ومحمياً. وقد يسألون أيضًا عما إذا كان لدى الموردين أو المتعاقدين إمكانية الوصول إلى أنظمتك وكيف تتم إدارة هذا الوصول.