Hoe een cyberverzekering uw klanten kan beschermen

Klanten krijgen gelukkig steeds meer aandacht voor cyberveiligheid. Vragen als ‘Er kan toch niemand meekijken met mijn camera’s?’ of ‘Is dat wel veilig, mijn gegevens in de cloud?’ zijn vandaag gelukkig niet meer zo zeldzaam. Klanten die nog een stapje verder willen gaan, kunnen een cyberverzekering afsluiten.

1 op de 5 Belgische bedrijven werd het afgelopen jaar van fraude, waaronder we ook cybercriminaliteit kunnen catalogeren. Deze dreigingen en de bijhorende methodes zijn zeer divers: e-mailfraude, ransomware, spionage, afpersing, datadiefstal, phishing, DDoS aanvallen en noem maar op.

In totaal 100 miljoen €, zoveel betaalden onze bedrijven aan losgeld aan criminelen in 2020, vorig jaar liep dat op tot 130 miljoen. Dat is bovendien slechts het topje van de ijsberg, want veel bedrijven vrezen imagoschade als blijkt dat ze getroffen werden en houden dit potje liever gedekt.

Fraude- of cyberverzekering?

Cyberfeiten zijn relatief nieuwe risico’s voor bedrijven. Dat had tot gevolg dat de typische fraudeverzekering die bedrijven afsluiten, niet altijd geschikt is om de gevolgen van een aanval te dekken. Vergelijk het wat met de brandverzekering: bedrijven die getroffen werden door een brand, krijgen wel een som uitgekeerd die de schade aan het gebouw en de inboedel dekt maar stellen weleens vast dat ze vervolgens moeite hebben om de kosten voor de heropstart te betalen. De verzekeraars reageerden daarop door de bedrijfsschadeverzekering aan te bieden, die deze kosten wel op zich nam. Met cyberrisico’s is het net zo.

Oorzaken vaststellen

Om van een cyberrisico te spreken bakent de verzekeringssector de elementen af die dienen om de polis te kunnen inroepen. Deze kunnen we groeperen in drie grote groepen: een fout, kwaadwilligheid of ongeval.

• Bij een fout gaat het bijvoorbeeld om een onbedoelde actie van interne of externe medewerkers.
• Bij kwaadwilligheid gaat het over hackers, virussen en dergelijke die effectief de bedoeling hebben om schade aan te richten.
• Er wordt gesproken over een ongeval als er sprake is van een fysieke verstoring van het bedrijfssysteem, bijvoorbeeld ten gevolge van een blikseminslag of stroomonderbreking.

Ook bij fraude is er sprake van meerdere oorzaken: interne of externe mensen die doelbewust fraude plegen, CEO fraude waarbij iemand zich voordoet als de baas of factuurfraude.

Welke polis dekt welk risico?

Deze risico’s worden gedekt door de combinatie van een cyber- en fraudeverzekering. Enkel een fraudeverzekering volstaat dus niet.

Een cyberpolis bestaat uit een breed gamma ondersteuningsmaatregelen en gaat dus een pak verder dan het recupereren van schade of losgeld. Een kwalitatieve cyberpolis zal bijvoorbeeld een aanzienlijke preventieve dienstverlening verlenen. Denk bijvoorbeeld aan het uitvoeren van een preventieve screening door een gespecialiseerd bedrijf, het begeleiden van opleidingen of het ter beschikking stellen van sensibiliseringsmateriaal voor het personeel. Als het toch tot een calamiteit komt zal de polis de gedupeerden uiteraard ook bijstaan. Dit luik is eveneens zeer breed en dat is ook nodig, want een cyberaanval kan zeer ingrijpende gevolgen hebben.

Op het moment dat de gebruiker het slachtoffer wordt van een aanval, fungeert de verzekeraar als partner die u bijstaat tijdens de detectie, isolatie en verhelpen van het probleem. Ook als er data gestolen worden, zal de verzekeraar u bijstaan om de nodige acties rond GDPR wetgeving te ondernemen. Na het incident kan de polis ook ingezet worden om PR-bureaus in te schakelen om uw imago terug op niveau te krijgen.

Daarnaast wordt ook de zogenaamde ‘eigen schade’ gedekt. Onder meer het inhuren van externe expertise, mogelijk productieverlies, GDPR-boetes en cyberdiefstal vallen hieronder. Ook het betalen van losgeld valt hier in principe onder, voor zover dit niet verboden is door de wetgever. Op dit moment is dit in ons land nog niet van toepassing.

Een belangrijk luik is eveneens de ‘schade aan derden’. Een cyberaanval in een bedrijf kan ook een impact hebben op derden: leveranciers kunnen misschien even niet betaald worden, klanten kunnen niet op tijd beleverd worden en vallen stil, gevoelige en/of privégegevens kunnen op straat liggen, externe partijen krijgen via uw systemen een virus op hun systeem, ... alle kosten die hieraan verbonden zijn worden ook gedekt door de polis.

Fraudepolis

Bij een cyberpolis is er altijd sprake van inbreuk op uw systeem. Bij de fraudepolis gaat het eerder om misbruik van vertrouwen. Dat kan zowel door interne als externe personen zijn, of een combinatie van beide. Ook CEO fraude waarbij iemand zich voordoet als een belangrijke persoon binnen het bedrijf en zo een grote som probeert buit te maken via overschrijving en klassieke factuurfraude worden opgevangen door deze polis.

Samenvattend kunnen we stellen dat enkel de combinatie van beide polissen een brede bescherming biedt.

Een voorbeeld

Een criminele organisatie doet zich voor als een leverancier en stuurt een nagemaakte factuur naar bedrijf X. De boekhouddiensten merken dit niet op en betalen. Er is in dit geval geen sprake van een inbraak in de systemen, dus is hier de fraudepolis van toepassing. Stel nu dat de criminelen zich vooraf toegang hadden verschaft tot de mailbox van een medewerker, bijvoorbeeld om de factuur zo waarheidsgetrouw mogelijk na te maken. In dat geval is er wel sprake van een systeeminbraak en komt de cyberpolis tussen. Let wel dat het enkel de ontvanger is die beschermd is tegen dit soort fraude. Als één van de klanten van bedrijf een nagemaakte factuur van bedrijf X betaalt, dan zal de polis niet tussenkomen voor zover er geen inbraak in het eigen systeem gepleegd werd. De klant van bedrijf X moet hiervoor zijn eigen verzekering aanspreken.