Sudenkuopat, sopimusriskit ja viralliset lähteet
Kybervakuutus pk-yritykselle: mitä se voi kattaa, mitä ehdot vaativat ja miten se liittyy tietoturvapalveluun
Kybervakuutuksen perusteet pk-yritykselle: mitä se voi kattaa, mitä ehdot edellyttävät ja miten se sovitetaan yhteen MDR-palvelun kanssa.
Kybervakuutus on yritysvakuutus, joka voi korvata tietoturvapoikkeamasta aiheutuvia omia kuluja, kuten tutkintaa, tietojen palauttamista ja toiminnan keskeytystä, sekä joissakin tapauksissa vastuuta kolmansille osapuolille. Se ei korvaa tietoturvapalvelua, vaan rahoittaa osan vahingosta, kun jotain tapahtuu. Vakuutusehdot vaihtelevat yhtiöittäin ja ajan myötä, ja ne edellyttävät usein perussuojauksia, kuten monivaiheista tunnistautumista, varmuuskopiointia ja päivityksiä. Tässä oppaassa kuvataan yleisiä rakenteita, ei minkään vakuutusyhtiön tuotetta; tarkista aina oman vakuutuksesi ehdot ja rajoitukset. Opas kuuluu kokonaisuuteen tietoturvapalvelun hankinnan sudenkuopat.
Mitä kybervakuutus voi kattaa (tyypillisiä osia)
| Osa | Esimerkkejä | Tarkista ehdoista |
|---|---|---|
| Häiriötilanteen hoito | Tutkinta, forensiikka, oikeudellinen neuvonta, viestinnän tuki | Pitääkö käyttää vakuutusyhtiön nimeämää tutkijaa? |
| Tietojen ja järjestelmien palautus | Palautustyö, ohjelmistojen uudelleenasennus | Korvataanko laitteiden uusiminen? |
| Toiminnan keskeytys | Menetetty kate keskeytyksen aikana | Omavastuuaika (esim. tunteja) ja enimmäisaika |
| Vastuuvahingot | Korvausvaatimukset tietovuodosta | Mitä vahinkoja katetaan ja millä edellytyksillä |
| Viranomaismenettelyt | Puolustuskulut | Hallinnollisten sakkojen ja seuraamusmaksujen korvattavuus on usein rajattu tai epäselvä |
| Kiristys | Neuvottelutuki | Lunnaiden korvattavuus vaihtelee ja voi olla rajattu |
Mitä ehdot tavallisesti edellyttävät
Vakuutusyhtiöt kysyvät hakemuksessa usein tietoturvan perustasosta. Tyypillisiä vaatimuksia ovat:
- monivaiheinen tunnistautuminen sähköpostissa, etäyhteyksissä ja ylläpitotunnuksissa
- varmuuskopiot, joista ainakin yksi on erillään tuotantoverkosta, ja palautuksen testaus
- päivitysten hallinta ja tuettujen käyttöjärjestelmien käyttö
- päätelaitesuojaus (EDR) ja usein sen valvonta
- henkilöstön koulutus kalastelun tunnistamiseen
- maksuliikenteen tarkistusmenettely laskutuspetosten varalta
Jos hakemuksessa annettu tieto ei pidä paikkaansa, se voi vaikuttaa korvaukseen. Pidä tiedot ajan tasalla ja dokumentoi suojaukset – MDR-palvelun kuukausiraportti on tähän hyvä apu.
Miten vakuutus ja tietoturvapalvelu sovitetaan yhteen
- Tutkijan valinta: jos vakuutus edellyttää yhtiön hyväksymää tutkijaa, varmista, että oma häiriötilannevalmius-kumppanisi on hyväksyttyjen joukossa, tai sovi, miten toimitaan. Katso häiriötilannevalmius ja retainer.
- Ilmoitusjärjestys: vakuutus voi edellyttää ilmoitusta vakuutusyhtiölle heti. Lisää tämä häiriötilanneohjeeseen viranomaisilmoitusten rinnalle: poikkeamailmoitukset 24 ja 72 tunnissa.
- Palveluntarjoajan vastuunrajoitus: jos palvelusopimuksen vastuu on rajattu muutamaan kuukausimaksuun, vakuutus voi kattaa osan jäljelle jäävästä riskistä. Katso sopimusehdot, vastuu ja irtisanominen.
- Omavastuu ja keskeytysaika: laske, paljonko keskeytys maksaa ennen kuin vakuutus alkaa korvata.
Laskuesimerkki: mitä jää yrityksen maksettavaksi (havainnollinen)
Kuvitellaan kiristyshaittaohjelma, joka pysäyttää 30 hengen yrityksen toiminnan neljäksi päiväksi.
- Tutkinta ja palautus: 18 000 €
- Menetetty kate: 4 päivää × 6 000 € = 24 000 €
- Asiakasviestintä ja oikeudellinen apu: 4 000 €
- Yhteensä 46 000 €
Oletetaan vakuutus, jossa omavastuu on 5 000 €, keskeytyksen omavastuuaika 12 tuntia ja enimmäiskorvaus riittävä. Omavastuuaika vastaa puolta päivää eli 3 000 € katetta. Yritys maksaa itse 5 000 + 3 000 = 8 000 €, ja vakuutus korvaa enintään 38 000 €, jos kaikki erät kuuluvat korvauksen piiriin. Jos vakuutus ei korvaa esimerkiksi oikeudellista apua, yritys maksaa lisäksi 4 000 €.
Luvut ovat esimerkkejä; todelliset ehdot, omavastuut ja korvausrajat ovat vakuutuskohtaisia.
Milloin vakuutus kannattaa harkita
- yrityksellä on paljon henkilötietoja tai asiakkaiden luottamuksellista tietoa
- keskeytys pysäyttäisi myynnin tai tuotannon nopeasti
- asiakas- tai rahoitussopimukset edellyttävät vakuutusta
- yrityksen kassa ei kestäisi kymmenien tuhansien eurojen yllättävää kulua
Vertaile vakuutuksia ehtojen, ei pelkän hinnan perusteella. Vakuutusyhtiöt ja -meklarit voivat neuvoa; yleistä tietoa vakuutuksista antaa Finanssiala ry. Vakuutus- ja rahoitusneuvonta FINE neuvoo maksutta kuluttajia, pienyrittäjiä ja muita niihin verrattavia asiakkaita, ja sen yhteydessä toimiva vakuutuslautakunta antaa suosituksia myös yritysten omaisuus- ja toimintavakuutuksia koskevissa riidoissa; tarkista sen sivuilta, voiko yrityksesi asia tulla käsitellyksi siellä.
Vakuutushakemuksen valmistelu
Hakemus on samalla hyvä tietoturvan katselmus. Kokoa ennen hakemista:
- Luettelo suojauksista: monivaiheinen tunnistautuminen (missä palveluissa), päätelaitesuojaus (montako laitetta), varmuuskopiointi (miten ja missä), päivitysten hallinta.
- Valvonta ja reagointi: onko käytössä MDR- tai SOC-palvelu, onko häiriötilannevalmius sovittu ja kuka tekee mitä häiriötilanteessa.
- Henkilötiedot: kuinka paljon ja millaisia henkilötietoja käsitellään, missä ne sijaitsevat.
- Aiemmat tapaukset: onko yrityksessä ollut tietoturvapoikkeamia ja miten ne hoidettiin.
- Liikevaihto ja keskeytyksen hinta: näillä mitoitetaan vakuutusmäärä ja keskeytysturva.
Vastaa kysymyksiin tarkasti. Jos jokin suojaus on vasta tulossa, kerro se sellaisena. Jos tilanne muuttuu vakuutuskauden aikana – esimerkiksi monivaiheinen tunnistautuminen poistetaan jostakin palvelusta – tarkista, pitääkö muutoksesta ilmoittaa vakuutusyhtiölle.
Havainnollinen hyöty: jos hakemuksen valmistelu paljastaa, että ylläpitotunnuksissa ei ole monivaiheista tunnistautumista, korjaus on usein nopea ja halpa, ja se pienentää todellista riskiä enemmän kuin mikään vakuutusehto. Kybermittari tai ulkoistetun CISO:n arvio auttaa kokoamaan tiedot; katso ulkoistetun CISO:n hinta.
Lue myös: SLA ja palvelutaso ja viralliset lähteet.
Usein kysyttyä
Kattaako tavallinen yritysvakuutus kyberriskit?
Yleensä vain rajallisesti tai ei lainkaan. Tarkista oman vakuutuksesi ehdoista, onko tietoturvapoikkeamat suljettu pois.
Alentaako MDR-palvelu vakuutusmaksua?
Se voi vaikuttaa vakuutettavuuteen ja ehtoihin, mutta vaikutus on vakuutusyhtiökohtainen. Kysy suoraan.
Pitääkö lunnaat maksaa, jos vakuutus korvaa ne?
Lunnaiden maksamiseen liittyy oikeudellisia, eettisiä ja käytännön riskejä, eikä maksu takaa tietojen palautumista. Viranomaiset suosittavat yleisesti olemaan maksamatta. Käänny poliisin ja asiantuntijoiden puoleen.
Mistä kybervakuutuksen hinta muodostuu?
Vakuutusmaksuun vaikuttavat tyypillisesti toimiala, liikevaihto, käsiteltävien henkilötietojen määrä, vakuutusmäärä, omavastuu ja tietoturvan taso. Siksi samankokoisten yritysten maksut voivat erota paljon. Pyydä tarjous useammalla omavastuulla ja vertaa, paljonko korkeampi omavastuu laskee maksua suhteessa siihen, mitä jäisi itse maksettavaksi.
Pitääkö vakuutusyhtiölle kertoa palveluntarjoajan vaihdosta?
Jos hakemuksessa on kerrottu valvontapalvelusta tai häiriötilannevalmiudesta, muutos voi olla olennainen tieto. Tarkista vakuutusehdoista, mistä muutoksista on ilmoitettava.
Lähteet ja lisätietoa
- Finanssiala ry – yleistä tietoa yritysvakuutuksista
- Vakuutus- ja rahoitusneuvonta FINE – neuvonta ja riita-asiat
- Finanssivalvonta – vakuutusyhtiöiden valvonta
- Kyberturvallisuuskeskus – suojautumisohjeet ja kiristyshaittaohjelmat
