PMI, requisiti minimi di sicurezza per la polizza cyber

Le compagnie che offrono polizze cyber richiedono tipicamente, tramite un questionario in fase di sottoscrizione, l'adozione di alcune misure minime: autenticazione a più fattori sugli accessi critici, backup regolari e testati (idealmente con una copia offline non raggiungibile da un attacco alla rete principale), aggiornamenti software regolari, e una formazione di base dei dipendenti sul rischio di phishing.

Perché il questionario iniziale è più importante che in altre polizze

Le risposte fornite in fase di sottoscrizione non sono solo la base per calcolare il premio: diventano una dichiarazione contrattuale su cui la compagnia può fare affidamento in caso di sinistro. Se al momento dell'attacco risulta che una misura dichiarata come attiva non lo era in realtà, la compagnia può rifiutare o ridurre l'indennizzo — un motivo in più per rispondere con precisione, verificando lo stato reale dei sistemi prima di compilare il questionario, non basandosi su supposizioni.

Le misure più richieste, nel dettaglio

• Autenticazione a più fattori (MFA): soprattutto per l'accesso a email aziendali, sistemi gestionali e accessi da remoto, è una delle misure più richieste perché riduce drasticamente l'efficacia delle credenziali rubate tramite phishing.
• Backup regolari e testati: non basta che il backup esista, va verificato periodicamente che sia effettivamente ripristinabile. Un backup collegato permanentemente alla rete principale può essere cifrato dallo stesso ransomware che colpisce i sistemi primari: una copia offline o isolata riduce questo rischio.
• Aggiornamenti e patch di sicurezza: mantenere sistemi operativi e software aggiornati riduce l'esposizione a vulnerabilità note, spesso il punto di ingresso più comune per un attacco.
• Formazione dei dipendenti: il fattore umano resta uno dei vettori di attacco più frequenti (vedi anche 20 modi in cui un dipendente causa un attacco); una formazione periodica, anche di base, sul riconoscimento del phishing riduce concretamente il rischio.
• Gestione degli accessi: limitare i permessi di ciascun utente a quanto effettivamente necessario per il proprio ruolo, evitando account con privilegi amministrativi diffusi senza necessità.

Cosa fare se non si possiedono ancora tutte queste misure

Non è necessario avere tutto in regola per ottenere un preventivo, ma dichiarare correttamente la situazione reale: alcune compagnie offrono comunque una copertura, con condizioni proporzionate al livello di sicurezza attuale, e alcune propongono un percorso di miglioramento nel tempo che può portare a condizioni più favorevoli ai rinnovi successivi.

Perché queste misure convengono indipendentemente dall'assicurazione

Le stesse misure richieste dalle compagnie sono, prima di tutto, le basi di una gestione prudente della sicurezza informatica: investire in queste misure riduce la probabilità stessa di subire un attacco, non solo il costo della polizza che lo copre. È lo stesso principio descritto in Quanto costa una polizza cyber per una piccola impresa: la prevenzione e l'assicurazione si rafforzano a vicenda, non si sostituiscono.

Serve un consulente esterno per valutare se l'impresa soddisfa questi requisiti?

Non è strettamente necessario per le misure più basilari, ma per una valutazione più completa (soprattutto per imprese con sistemi complessi o molti dipendenti) un consulente di sicurezza informatica può aiutare a identificare lacune che altrimenti emergerebbero solo al momento di un sinistro.

Le misure richieste sono uguali per tutte le compagnie?

No, variano da una compagnia all'altra e in base al profilo di rischio specifico dell'impresa: alcune richiedono requisiti più stringenti per settori a rischio più elevato o per imprese con volumi di dati personali maggiori.