Skytjenester og cyberforsikring
Slik kan bedriften avklare ansvar og dekning når data og drift ligger hos eksterne skyleverandører før den ber en registrert forsikringspartner om råd eller tilbud.
At bedriften bruker en skytjeneste, betyr ikke at leverandøren overtar all risiko. Ved et avbrudd må dere skille mellom leverandørens kontraktsansvar, egne sikkerhetsoppgaver og forsikringsdekningen. De tre kan ha svært forskjellige grenser.
Tre avtaler som må leses sammen
| Dokument | Spørsmålet det skal avklare |
|---|---|
| Tjenesteavtale og driftsvilkår | Hva lover leverandøren, og er kompensasjonen begrenset til prisavslag? |
| Databehandleravtale | Hvem varsler om personvernbrudd, hvilke underleverandører brukes, og hvordan hentes data ut? |
| Forsikringsvilkår | Hvilke hendelser, leverandører, tap og gjenopprettingskostnader kan omfattes? |
En oppetidsgaranti er ikke det samme som erstatning for alle tapte salgsinntekter. Forsikringens eventuelle dekning for avbrudd hos en leverandør kan ha egen ventetid, egenandel, sumgrense eller krav til hvilken leverandør som rammes.
Test et konkret avbrudd
Anta at nettbutikken fungerer, men lager- og ordresystemet er utilgjengelig i to døgn. Beskriv hvilke bestillinger dere kan motta, hvilke dere kan levere, og hvilke manuelle kostnader som oppstår. Be en registrert forsikringsaktør vurdere scenarioet mot den konkrete avtalen.
Still presise spørsmål:
- Må avbruddet skyldes et dataangrep, eller kan en teknisk driftsfeil omfattes?
- Omfattes den aktuelle skytjenesten og dens underleverandører?
- Når starter dekningen, og hvilken dokumentasjon kreves for tapet?
- Må kostnader til ekstern hendelseshjelp godkjennes på forhånd?
- Hvordan påvirker erstatning eller prisavslag fra leverandøren oppgjøret?
Svarene skal finnes i vilkårene eller bekreftes skriftlig. Et generelt produktnavn gir ikke svaret.
Dokumentasjon som bør være tilgjengelig uten skytjenesten
Oppbevar en oppdatert system- og kontaktoversikt, avtaler, varslingsrutine og nødvendige gjenopprettingsinstrukser slik at de kan brukes også under et avbrudd. Kontroller at en sikkerhetskopi faktisk kan gjenopprettes, og at leverandørens vanlige lagring ikke feilaktig behandles som en uavhengig sikkerhetskopi.
Bruk NSMs grunnprinsipper som ramme for forebygging. De avgjør ikke hva forsikringen dekker.
Når hendelsen oppstår
Følg beredskapsplanen, varsle avtalte kontaktpunkter og bevar logger og tidslinje. Noter når driften stoppet, hvilke tiltak som ble gjort, og når ulike deler var i gang igjen. Personvernvarsling og forsikringsmelding er forskjellige prosesser med forskjellige mottakere.
Les beredskapsplan for cyberhendelser og driftstap etter cyberangrep før dere sammenligner dekning. Matn kan hjelpe med en overordnet forsikringssjekk. Konkrete anbefalinger, tilbud og avtaler håndteres av en aktør med riktig registrering.
Når flere avdelinger bruker samme system
To butikker kan ha hver sin varelager- og eiendomsrisiko, men være avhengige av samme bestillingssystem. Lag derfor én tidslinje for systemhendelsen og en oversikt over konsekvensen per avdeling. Hvis butikk A kan selge manuelt mens butikk B må stenge, er ikke tapet nødvendigvis likt fordelt.
Registrer hvilke ordre som ble utsatt og senere levert, hvilke som faktisk gikk tapt, og hvilke ekstra kostnader som oppsto. Ikke tell en utsatt ordre som både tapt omsetning og senere ordinært salg uten forklaring. Beregningen er et dokumentasjonsgrunnlag; forsikringsaktøren må vurdere hvilke tap avtalen eventuelt omfatter.
Ved en fysisk utvidelse bør dere også kontrollere forsikringsgrunnlaget for hver lokasjon.