Esistono requisiti fissi per ogni cyberassicurazione?
No. Assicuratori e prodotti applicano regole di accettazione diverse. Dimensioni dell’impresa, settore, dati, dipendenza dall’IT, copertura desiderata e situazione attuale del mercato influenzano quali domande vengono poste e quali documenti sono richiesti. Singole misure di sicurezza non garantiscono né l’accettazione né uno sconto né la copertura.
Risposte complete e aggiornate restano comunque fondamentali: indicazioni errate o incomplete possono influire sull’offerta, sul contratto e sul successivo esame delle prestazioni.
Le informazioni da preparare
Impresa e protezione desiderata
- attività, sedi, fatturato e numero di collaboratori
- principali gruppi di clienti e attività regolamentate
- moduli di copertura, limiti e franchigie desiderati
- precedenti incidenti cyber, sinistri e circostanze attuali note
Dati e dipendenze digitali
- tipi e quantità approssimative di dati personali e aziendali trattati
- sistemi critici, servizi cloud e fornitori IT esterni
- tempo massimo di interruzione tollerabile dei processi importanti
- dipendenze da singoli fornitori o piattaforme
Identità e accessi
- autenticazione a più fattori per e-mail, accessi remoti e account di amministrazione
- gestione dei diritti privilegiati e delle uscite di personale
- protezione dei servizi raggiungibili pubblicamente e della manutenzione remota
- procedura in caso di account sospetti o credenziali compromesse
Aggiornamenti, protezione e monitoraggio
- responsabilità e termini per gli aggiornamenti rilevanti per la sicurezza
- gestione delle vulnerabilità dei sistemi esposti a Internet
- protezione degli endpoint, registrazione dei log e gestione degli allarmi
- gestione dei software non più supportati
Backup e ripristino
- separazione o immutabilità dei backup
- protezione degli account di amministrazione dei backup
- data ed esito dell’ultimo test di ripristino
- sequenza documentata per il ripristino dei sistemi critici
Emergenza e diritto
- piano d’emergenza interno con ruoli e canali di contatto
- accesso a specialisti di informatica forense, consulenza legale e comunicazione
- processo per valutare le notifiche all’IFPDT, all’UFCS, all’autorità di vigilanza o alle persone interessate
- esercitazioni e insegnamenti tratti da incidenti passati
Quali documenti sono utili?
Non tutti gli assicuratori richiedono gli stessi documenti. In pratica possono essere utili:
- inventario aggiornato dei sistemi e dei fornitori di servizi;
- screenshot o prova di configurazione della MFA per gli accessi critici;
- verbale di un ripristino da backup;
- rapporto su patch o vulnerabilità con stato di elaborazione;
- piano d’emergenza e verbale dell’ultima esercitazione;
- certificati o rapporti di verifica pertinenti, con i punti aperti documentati.
Un certificato non sostituisce una rappresentazione completa dei rischi. D’altra parte, un’impresa dovrebbe trasmettere dettagli tecnici sensibili solo tramite un canale protetto previsto a tale scopo.
Errori frequenti nel questionario cyber
- Le risposte vengono stimate: IT, direzione, protezione dei dati e fornitori esterni dovrebbero chiarire insieme i punti controversi.
- Il «sì» viene interpretato in modo troppo ampio: la MFA per singoli utenti non equivale alla MFA per tutti gli accessi critici e privilegiati.
- Backup e ripristino vengono confusi: l’aspetto decisivo è se il ripristino sia stato effettivamente testato.
- Mancano incidenti noti: anche circostanze non ancora quantificate o esaminate possono essere rilevanti.
- Le risposte diventano obsolete prima dell’inizio del contratto: le modifiche sostanziali tra il questionario e la stipula dovrebbero essere comunicate.
- Le offerte si basano su informazioni diverse: un confronto è affidabile solo se i dati sul rischio e la copertura desiderata sono identici.
Prima dell’invio: breve controllo
- Tutte le risposte sono datate e sotto la responsabilità di una persona interna?
- I termini poco chiari sono stati chiariti con l’assicuratore o l’intermediario?
- Le risposte corrispondono alla documentazione tecnica?
- Eccezioni, sistemi obsoleti e miglioramenti in corso sono descritti apertamente?
- Copertura, sottolimiti, franchigia ed esclusioni sono stati esaminati separatamente?
Il questionario compilato fa parte della base decisionale. Conservate in modo tracciabile la versione inviata e la relativa documentazione.