Cyberforsikringen spørger til sikkerhedstest: hvad skal I svare?

Et spørgeskema fra forsikringsselskabet kan indeholde et kort spørgsmål om sikkerhedstest, som er svært at besvare ærligt med et ja eller nej. Det rigtige svar bygger på to ting: at I forstår præcis, hvad forsikringen spørger om, og at I svarer ud fra den dokumentation, I faktisk har.

Hvad der kræves, og hvilken betydning svaret har for dækningen, afgøres af forsikringen og policen, ikke af en generel regel. Derfor er det første skridt at læse spørgsmålet nøje og spørge forsikringen eller jeres forsikringsmægler, hvis ordene kan forstås på flere måder. Teksten er generel købervejledning og ikke forsikringsrådgivning.

Læs spørgsmålet ordret

Spørgsmål om sikkerhedstest kan være formuleret meget forskelligt. Nogle spørger, om der er gennemført en penetrationstest inden for en bestemt periode. Andre spørger til sårbarhedsscanning, til test af systemer, der er synlige fra internettet, eller til, om fund bliver fulgt op. Hver formulering kræver sit eget svar.

Notér de præcise ord, før I svarer. Står der penetrationstest, sårbarhedsscanning eller sikkerhedstest? Handler det om alle systemer eller kun om dem, der vender ud mod internettet? Spørges der til selve testen, til rettelserne eller til begge dele? En ordret gengivelse gør det lettere at vurdere, om jeres dokumentation svarer til spørgsmålet.

Forskellen mellem en scanning og en penetrationstest er ikke kun et spørgsmål om ord. En scanning finder mulige svagheder automatisk, mens en penetrationstest afprøver, hvad svaghederne betyder i praksis. → Sikkerhedstjek eller penetrationstest

Spørg, hvad ordene dækker over

Hvis spørgsmålet er uklart, så spørg forsikringen. Hvad forstår de ved en penetrationstest? Skal testen være udført af en ekstern part? Er der krav til, hvilke systemer der skal være med? Og ønsker de dokumentation, eller er et svar i spørgeskemaet nok?

Gem svaret skriftligt sammen med spørgeskemaet. Hvis der senere opstår tvivl om, hvad I svarede, og hvorfor, har I grundlaget. Det gælder også, hvis I ikke får et klart svar. Så kan det være bedre at beskrive jeres situation med egne ord i et bemærkningsfelt end at vælge et ja, der måske ikke dækker.

Inddrag gerne den person, der kender jeres systemer og test, når skemaet udfyldes. Det er ofte en anden end den, der har ansvaret for forsikringerne. IT-chefen eller driftsleverandøren kan sige, hvad der faktisk er testet, mens økonomifunktionen kender policen.

Svar præcist, også når svaret er nej

Det kan være fristende at svare ja, fordi der engang er lavet en test, eller fordi driftsleverandøren siger, at systemerne bliver scannet. Men et svar, der ikke passer til spørgsmålet, kan skabe problemer senere. Oplysninger, der gives til et forsikringsselskab, kan have betydning for forsikringsforholdet, og det er policen og forsikringsselskabet, der afgør hvordan.

Svar derfor med det, I kan dokumentere, og notér, hvilket dokument hvert svar bygger på. Hvis der blev lavet en penetrationstest af webshoppen for nogle år siden, men ikke af kontornettet, så skriv det. Hvis driftsleverandøren scanner systemerne løbende, men der ikke er lavet en penetrationstest, så skriv også det.

Et præcist nej sammen med en plan kan være et bedre udgangspunkt end et uklart ja. Hvis I planlægger en test, så nævn tidspunktet og omfanget, hvis skemaet giver plads til det.

Tænk også på næste år. Hvis forsikringen sender et nyt skema ved fornyelsen, kan spørgsmålene være formuleret anderledes end sidst, og et svar, der passede i år, passer måske ikke længere. Gem derfor en kopi af årets skema, jeres svar og den dokumentation, svarene byggede på, ét sted, hvor både økonomi og IT kan finde det. Så skal I ikke starte forfra, og I kan se, om noget i jeres situation har ændret sig siden sidst. Hvis der er lavet en test i mellemtiden, kan svaret opdateres med den nye dato og det nye omfang.

Hvis I ikke har fået lavet en test

Spørgsmålet fra forsikringen kan være anledningen til at overveje en første test. Gør det, fordi det giver mening for virksomheden, og ikke kun for at kunne sætte et kryds. En test, der er bestilt for at besvare et spørgeskema, risikerer at blive for smal til at give reel viden. → Den første penetrationstest

Start med de systemer, hvor en hændelse ville ramme hårdest. Det kan være den løsning, der behandler kunders oplysninger, fjernadgangen eller de systemer, der er synlige fra internettet. Når testen er gennemført, har I både et svar til forsikringen og et grundlag for at prioritere jeres egen indsats.

Husk, at en test ikke er en garanti for, at der ikke sker noget. Den viser, hvad der blev fundet i det, der blev testet. → Testen garanterer ikke, at I er sikre

Når forsikringen beder om dokumentation

Hvis forsikringen ønsker dokumentation, så afklar, hvad de har brug for. En fuld pentestrapport indeholder detaljer om svagheder, som ikke nødvendigvis skal deles uden for virksomheden. En kort erklæring om testens omfang, tidspunkt og udførende part kan måske dække behovet, men det er forsikringen, der afgør, hvad den vil have. → Testerklæring til kunder

Overvej, hvem der skal modtage materialet, og hvordan det opbevares hos modtageren. De samme overvejelser, der gælder, når en kunde beder om rapporten, gælder også her. → Deling af pentestrapporten

Det skal I lade være med

At svare ja ud fra en gammel eller smal test · Svaret skal passe til det, der faktisk spørges om.
At forveksle scanning med penetrationstest · De to aktiviteter giver forskellige svar.
At gætte, når spørgsmålet er uklart · Spørg forsikringen eller mægleren, og gem svaret.
At lade én person udfylde skemaet alene · Inddrag den, der kender systemerne og testene.
At bestille en test kun for at kunne sætte et kryds · Testen skal også give jer brugbar viden.
At sende den fulde rapport uden overvejelse · En erklæring kan være nok.

Hvad kan og ikke kan konkluderes

En penetrationstest kan dokumentere, at bestemte systemer er undersøgt på et bestemt tidspunkt, og hvad der blev fundet. Det kan være relevant for at besvare forsikringens spørgsmål præcist.

Testen kan ikke afgøre, hvad forsikringen kræver, eller hvordan et svar påvirker dækningen. Det afgøres af policen og forsikringsselskabet. Testen siger heller ikke noget om systemer uden for scope, og den bliver ældre for hver ændring, I foretager efter testperioden.