Abbiamo dedicato ottobre, il mese europeo della sicurezza informatica, a un percorso in quattro tappe: il rischio, le persone, il piano. Chiudiamo con la verifica esterna, quella di chi non ha nessun interesse a rassicurarci: l'assicuratore che deve decidere se, e a che prezzo, coprire il rischio cyber dell'azienda.
Un check-up che qualcuno ha già scritto per te
I questionari delle polizze cyber si sono allungati molto negli ultimi anni, per una ragione semplice: gli assicuratori hanno pagato molti sinistri e hanno imparato quali misure fanno la differenza. Il modulo che arriva con la proposta è quindi, nei fatti, la lista dei controlli che un terzo considera minimi per un'azienda come la tua. Non è il frutto del timore di un fornitore che vuole venderti qualcosa: è il risultato di quanto è costato, a chi assicura, non averli.
Usato bene, è un esercizio da mezz'ora che vale più di molti audit. La condizione è una sola: rispondere con onestà, e far compilare le risposte tecniche a chi conosce davvero i sistemi, non a chi deve solo firmare.
Le dodici domande
I moduli cambiano da compagnia a compagnia, ma le domande che contano sono quasi sempre queste. Per ognuna, l'onestà sta nella seconda metà della risposta: non «sì» ma «sì, su tutti», non «abbiamo il backup» ma «l'abbiamo provato a marzo».
Accessi e identità
- L'autenticazione a più fattori è attiva sulla posta per tutti gli utenti? Tutti, compresi titolare, caselle condivise usate per accedere e account dei collaboratori esterni. Ne abbiamo parlato nel pezzo sull'MFA.
- È attiva anche su ogni accesso da remoto? VPN, desktop remoto, pannelli dei servizi cloud, accesso del tecnico del gestionale. È la domanda su cui molte aziende scoprono un'eccezione dimenticata.
- Gli account amministrativi sono separati da quelli di uso quotidiano, e quanti sono? Chi legge la posta con un account che può modificare tutto il dominio è un bersaglio di valore enorme.
Dati e ripristino
- Esiste una copia dei backup separata e non modificabile da chi entra nella rete? È il punto che decide l'esito di un ransomware, e il motivo per cui la regola 3-2-1-1-0 chiede una copia immutabile.
- Quando è stato fatto l'ultimo test di ripristino, e quanto ha richiesto? Una data e un numero di ore. Se la risposta è «non ricordo», la risposta vera è «mai».
- I dati più sensibili sono cifrati, anche sui portatili? Un portatile perso con il disco cifrato è un fastidio; senza cifratura può essere una violazione da notificare.
Sistemi
- Entro quanti giorni vengono installati gli aggiornamenti critici? Serve un numero, non «regolarmente»: è la domanda che premia chi ha un ritmo come quello descritto nel pezzo sugli aggiornamenti rimandati.
- Su postazioni e server c'è una protezione che rileva comportamenti anomali e permette di isolare la macchina? Non solo un antivirus tradizionale: gli assicuratori chiedono strumenti come Defender for Business, e sempre più spesso chi li sorveglia anche di notte.
- Ci sono sistemi fuori supporto, ed esposti su internet? Il server che nessuno ha il coraggio di spegnere, il vecchio applicativo, la porta aperta per il desktop remoto: domande su cui le risposte vaghe costano care.
Persone e procedure
- I dipendenti ricevono formazione sulla sicurezza, con simulazioni di phishing? Con quale frequenza, e come lo si documenta.
- Esiste una procedura di verifica per i cambi di coordinate bancarie e i pagamenti urgenti? È la difesa dalla frode del finto fornitore, e molte polizze la pretendono per coprire quel tipo di perdita.
- C'è un piano di risposta agli incidenti scritto e provato? Chi decide, chi si chiama, cosa si può fare subito: la pagina di cui abbiamo parlato martedì scorso.
Come leggere le risposte
Il modo più utile di affrontare il questionario è farlo prima di compilarlo davvero, su un foglio a parte con tre colonne: vero su tutto, vero in parte, no. La colonna centrale è quella che conta di più. Contiene l'MFA attiva su tutti tranne due utenti «che non riuscivano», il backup che c'è ma non è separato, gli aggiornamenti installati sui PC ma non sul firewall. Sono le eccezioni che gli attaccanti cercano, e quelle che una perizia dopo l'incidente trova per prime.
Ogni riga che non è nella prima colonna diventa un'azione, con un nome e una data, da chiudere possibilmente prima del rinnovo. Molte si sistemano in pochi giorni e con strumenti che spesso sono già in casa: in un abbonamento Microsoft 365 Business Premium, per esempio, MFA, protezione delle postazioni e cifratura dei dischi sono già compresi. Altre richiedono un investimento, e il questionario aiuta a dargli una priorità: se un assicuratore lo chiede, è perché senza quella misura i sinistri costano.
Un «sì» scritto con leggerezza oggi può diventare il motivo di un indennizzo negato domani.
Le clausole che si leggono dopo
La seconda parte del lavoro è leggere la polizza con la stessa attenzione, perché alcune clausole si scoprono di solito solo il giorno in cui si apre un sinistro. Non è questa la sede per un parere legale, e per i dettagli vale sempre il confronto con il broker; ma ci sono cinque punti da cercare in ogni contratto.
Le dichiarazioni del questionario. Fanno parte del contratto. Il codice civile prevede che dichiarazioni inesatte o reticenti possano ridurre l'indennizzo o, nei casi più gravi, annullare la copertura. Se l'MFA dichiarata su tutti gli accessi non era attiva proprio sull'account da cui è entrato l'attaccante, la discussione con il perito parte da lì.
Scoperti, franchigie e massimali. Quanto resta comunque a carico dell'azienda, e qual è il tetto per ogni voce. Spesso il massimale complessivo è alto, ma le voci che interessano di più, come il fermo dell'attività o la frode sui bonifici, hanno sottolimiti molto più bassi.
Il fermo dell'attività. Di solito è coperto solo dopo un periodo di attesa, per esempio dodici ore o più, e va dimostrato con dati contabili. Vale la pena sapere prima come si calcola, e chi in azienda prepara quei numeri.
Gli obblighi dopo l'incidente. Entro quanto va avvisata la compagnia, se bisogna usare i suoi tecnici e legali convenzionati, cosa non si deve fare prima di averla sentita. Sono informazioni da riportare sulla pagina del piano di risposta, accanto al numero da chiamare.
Cosa non è coperto. Le esclusioni contano quanto le garanzie: i sistemi dichiarati e poi non aggiornati, i danni da frode quando la procedura di verifica non è stata applicata, il costo di migliorare i sistemi dopo l'incidente, che quasi mai è a carico della polizza. E il pagamento di un riscatto, che molte polizze escludono o limitano, è comunque una scelta che, come abbiamo visto, non chiude la partita.
La polizza presuppone le misure, non le sostituisce
C'è un'idea che il questionario smonta da solo: che l'assicurazione sia un'alternativa alla sicurezza. Non lo è. Un assicuratore copre il rischio residuo di un'azienda che ha già fatto il necessario, e lo verifica proprio con queste domande. L'azienda che non ha MFA, backup separati e un piano di risposta, nella migliore delle ipotesi paga un premio alto, nella peggiore scopre di non essere coperta quando serve.
Visto così, il modulo del rinnovo smette di essere una seccatura amministrativa e diventa una scadenza utile: una volta l'anno qualcuno, da fuori, ci chiede di rispondere per iscritto a dodici domande sulla nostra sicurezza. Vale la pena che le risposte siano vere.
In sintesi
Il questionario della polizza cyber è la lista dei controlli che un assicuratore considera minimi: MFA su posta e accessi remoti, account amministrativi separati, backup immutabile e provato, cifratura, aggiornamenti con tempi certi, protezione delle postazioni, niente sistemi fuori supporto esposti, formazione, procedura sui pagamenti e piano di risposta. Rispondere con onestà, distinguendo ciò che è vero su tutto da ciò che è vero in parte, dice in mezz'ora dove si è scoperti e cosa sistemare prima del rinnovo. Poi si leggono le clausole: dichiarazioni, sottolimiti, periodo di attesa sul fermo, obblighi di avviso ed esclusioni. La polizza non sostituisce le misure: le presuppone.
Con questo articolo si chiude il mese della sicurezza. A novembre restiamo sul terreno delle regole e delle scadenze: la compliance di fine anno, dal GDPR alla NIS2, e le truffe che approfittano del periodo degli acquisti e delle offerte.
Hai una polizza cyber in rinnovo, o stai valutando di stipularla? Contattaci: rileggiamo insieme il questionario, verifichiamo cosa è vero oggi e ti aiutiamo a chiudere le lacune prima di firmare.
Articoli collegati: Il piano di risposta in una pagina · La regola 3-2-1-1-0 del backup · MFA senza far impazzire i dipendenti