Un attacco, tre richieste
Lo stesso evento può bussare a tre porte diverse
Un sistema che si ferma non produce un danno solo. Ne produce tre, e ciascuno ha una risposta contrattuale sua.
Il danno che subite voi
Dati da ricostituire, sistemi da ripristinare, giorni di fermo, la notifica al Garante.
Risponde la copertura sul rischio informatico
Il danno del vostro cliente
Il servizio che gli avete promesso si è fermato, e lui chiede conto a voi della prestazione.
Risponde la responsabilità professionale
La contestazione a chi amministra
Soci o creditori sostengono che chi guida la società non aveva predisposto assetti adeguati.
Risponde la copertura degli amministratori
Il punto che costa di più: la sezione di responsabilità civile di una copertura informatica esclude espressamente sia la prestazione professionale verso terzi, sia le responsabilità degli amministratori. Non è una dimenticanza: è scritto nelle condizioni.
Le aree del rischio
Che cosa guarda un assicuratore, e che cosa può sistemare da solo
Le aree su cui si decide chi paga, quando qualcosa va storto. Per ognuna trova la conseguenza concreta e il primo passo che può fare senza di noi, oggi stesso.
Igiene informatica
Antivirus e firewall attivi in modo permanente sono la prima cosa che viene verificata dopo un attacco. Se non lo erano, il danno rischia di restare a carico vostro anche con un contratto in corso.
Fate l’inventario dei dispositivi, non degli uffici
Elencate ogni dispositivo che accede ai dati aziendali — portatili di casa, tablet, telefoni con la posta — e verificate su ognuno che la protezione sia attiva e aggiornata, non solo installata. Le condizioni chiedono che lo sia in modo permanente: un portatile spento per tre mesi e riacceso senza aggiornamenti è il buco tipico.
Date una data a ogni sistema fuori supporto
Fate l’elenco di ciò che non riceve più aggiornamenti e accanto a ognuno scrivete quando verrà sostituito o isolato. Un sistema fuori supporto non riceve più correzioni: la falla non si chiude da sola, resta aperta finché quel sistema esiste.
Una segnalazione ferma è peggio di una non ricevuta
Perché è documentata: esiste una mail, una data, un mittente. Riprendete la segnalazione, scrivete una data di chiusura e chi se ne occupa. Le condizioni assicurative danno tipicamente un termine per attuare le misure indicate: superato quel termine, la posizione cambia.
Capacità di ripristino
Un backup mai riprovato è una promessa, non una garanzia: quanto tempo serve davvero a ripartire lo si scopre il giorno stesso.
Mettete a calendario due prove di ripristino l’anno
Si prende un file e una cartella a caso, si ripristina e si cronometra. Quel numero è il vostro tempo di fermo reale, e serve in ogni conversazione successiva. Tenete inoltre almeno una copia scollegata dalla rete: il ransomware cifra anche i backup che riesce a raggiungere.
Tenuta economica del fermo
Il costo vero di un attacco raramente è il dato perso: è il margine che non producete mentre siete fermi, e le spese che continuano a correre.
Mettete un numero sulla giornata di fermo
Margine giornaliero mancato più i costi che continuano a correre comunque: stipendi, affitti, canoni, rate. Quel numero moltiplicato per i giorni di ripristino è l’ordine di grandezza del danno vero, ed è l’unica base seria per decidere quanto di quel rischio ha senso continuare a sostenere da soli.
Prontezza nella prima ora
Nella prima ora si decide se l’incidente resta un problema tecnico o diventa un problema legale e reputazionale.
Una pagina stampata, non un file sul server
Scrivete su un foglio: chi si chiama e in che ordine, chi ha l’autorità di staccare i sistemi, chi avvisa i clienti e con quale frase, dove sono le credenziali di emergenza. Stampatelo e tenetene una copia fuori dai sistemi: se la rete è bloccata, un documento salvato sul server non si apre.
72 ore, e decorrono prima di quanto sembra
Il termine parte da quando venite a conoscenza della violazione, non da quando avete finito le verifiche tecniche. Decidete oggi chi, in azienda, prepara e firma la notifica, e tenete pronto l’elenco delle categorie di dati trattati: è la prima cosa che vi verrà chiesta.
Catena dei fornitori
Dei dati che avete affidato ad altri rispondete comunque voi davanti ai vostri clienti e all’Autorità.
Dieci righe bastano
Una tabella con: fornitore, che cosa tocca, dove stanno i sistemi, chi si chiama in caso di incidente, e se esiste un contratto che lo dice. Serve a voi in emergenza e serve in istruttoria, perché la copertura può dipendere da dove i dati si trovano fisicamente.
Visione d’insieme
Un attacco che blocca un servizio al cliente può generare richieste di natura diversa, e non tutte trovano risposta nello stesso contratto.
Prima di aggiungere, mettete in fila quello che avete
Radunate i contratti in corso e guardate che cosa risponde a che cosa. Capita spesso di essere coperti due volte sulla stessa cosa e per niente su un’altra: un attacco che blocca un servizio al cliente può generare contemporaneamente un danno vostro, una richiesta del cliente e una contestazione a chi amministra, e sono tre risposte contrattuali diverse.
In questa pagina
- Il riscatto del ransomware non è coperto
- Le esclusioni che sono in realtà obblighi di igiene
- Che cos’è la responsabilità civile dentro una polizza cyber
- Le prime 72 ore: che cosa devi fare, e in che ordine
- Retroattività e postuma: la trappola del cambio compagnia
- Nove verifiche sulla polizza cyber che hai già
La prima cosa da sapere
Il riscatto del ransomware, in genere, non è coperto
È l’equivoco più diffuso e il più costoso. Quando si parla di polizza cyber quasi tutti pensano al riscatto: i sistemi sono cifrati, arriva la richiesta in criptovaluta, e si dà per scontato che l’assicurazione paghi. Nelle condizioni dei prodotti cyber di fascia PMI la cyber estorsione è espressamente esclusa: la garanzia non opera per il pagamento del riscatto in nessuna forma — denaro, criptovalute — né per i costi di negoziazione e di gestione del riscatto stesso.
Questo non rende la polizza inutile: sposta il suo valore. Quello che viene coperto è tutto il resto, che nella maggior parte degli attacchi costa molto più del riscatto: gli esperti informatici che intervengono, la ricostituzione dei dati, il ripristino dei sistemi e del sito, la perdita di margine nei giorni di fermo, i costi di notifica al Garante e alle persone coinvolte, la gestione della crisi e della reputazione. Il riscatto è la voce più visibile, quasi mai la più pesante.
Le coperture per l’estorsione esistono, ma appartengono a contratti di fascia diversa e vanno chieste esplicitamente. Se qualcuno ti vende una cyber lasciandoti credere che il riscatto sia dentro, quel malinteso si scopre nel giorno peggiore.
Le condizioni nascoste
Le esclusioni che sono, in realtà, obblighi di igiene informatica
Una polizza cyber non sostituisce la sicurezza: la presuppone. Alcune esclusioni, lette bene, sono impegni che ti assumi firmando — e sono le stesse cose che ti chiede il questionario assuntivo.
Tradotto in pratica. Il blackout del tuo provider non è un sinistro cyber. Il gestionale bloccato perché non hai mai aggiornato l’antivirus non è un sinistro cyber. E la vulnerabilità segnalata mesi prima dal tuo consulente e mai chiusa non è un sinistro cyber. Il questionario assuntivo non è burocrazia: è il perimetro della copertura. Compilarlo con attenzione, e sistemare prima quello che non torna, vale più di qualunque sconto sul premio.
Il confine con le altre coperture
La responsabilità civile dentro una polizza cyber: che cos’è e che cosa non è
La sezione di responsabilità civile di una polizza cyber copre i danni che una violazione dei tuoi sistemi provoca a terzi: i clienti i cui dati sono usciti, i partner coinvolti, chi subisce le conseguenze della violazione. È una copertura di responsabilità, e per questo somiglia alla responsabilità civile professionale. Ma sono due cose diverse, e le condizioni lo dicono in modo esplicito.
È la prova, nero su bianco, di una cosa che diciamo spesso. Chi sviluppa software o gestisce sistemi per conto di altri ha bisogno di due contratti distinti: la responsabilità civile professionale per il proprio errore, e la cyber per l’evento informatico. Sembrano sovrapporsi perché entrambe rispondono verso terzi, ma cambia ciò che fa scattare la garanzia, e ciascuna esclude il territorio dell’altra. Due facce della stessa medaglia, non due nomi della stessa cosa. Lo stesso vale per la responsabilità degli amministratori, che è un terzo contratto ancora. Il quadro completo delle coperture di un’azienda IT.
Nota sulle sanzioni: le sanzioni amministrative del Garante non sono assicurabili in Italia. Quello che si assicura sono i risarcimenti verso i terzi, le spese di difesa e i costi dell’istruttoria — e questi ultimi sono spesso la voce che pesa di più nel primo anno.
Quando succede
Le prime 72 ore: che cosa devi fare, e in che ordine
In un attacco informatico l’ordine delle azioni conta quanto le azioni stesse. Sbagliare la sequenza fa perdere sia la copertura sia le prove.
Perché la sequenza conta. Chi spegne e riavvia i server per “sistemare in fretta” distrugge le tracce che servono a capire l’origine e l’estensione della violazione: senza quelle non si ricostruisce che cosa è uscito, e senza sapere che cosa è uscito non si può fare una notifica corretta né dimostrare nulla. Le spese degli esperti che identificano origine, modalità ed estensione della divulgazione sono coperte proprio perché sono il presupposto di tutto il resto.
Le spese di notifica al Garante e alle persone coinvolte rientrano nella copertura. Sembra una voce minore finché non si contano gli interessati: per un albergo, un e-commerce o uno studio con qualche migliaio di anagrafiche, notificare è un progetto, non una email.
La trappola tecnica
Retroattività e postuma: che cosa succede se cambi compagnia
La sezione di responsabilità civile di una polizza cyber opera in regime claims made: conta il momento in cui ti arriva la richiesta di risarcimento, non il momento in cui è accaduto il fatto. Da qui discendono due numeri che vanno letti insieme.
E qui sta la trappola, ed è controintuitiva. L’ultrattività non opera se sostituisci la polizza con un’altra che copra gli stessi rischi, anche parzialmente, anche con un altro assicuratore. Cioè: la postuma ti protegge se smetti di assicurarti, non se cambi compagnia. Quando cambi, la protezione sul pregresso deve venire dalla retroattività della polizza nuova, e se quella è più corta dell’anzianità dei tuoi rischi si apre un buco che nessuno ti segnala.
Prima di firmare un contratto cyber diverso da quello che hai, la domanda giusta non è quanto costa: è da quando copre. Ed è una verifica che si fa in dieci minuti, sulle due polizze aperte una accanto all’altra.
Attenzione anche alla forma del contratto: molti prodotti cyber sono stipulati senza tacito rinnovo. Cessano da soli alla scadenza, senza che nessuno mandi una disdetta e senza che nessuno ti avvisi. È comodo finché non ti dimentichi la data.
Prima di rinnovare
Nove verifiche sulla polizza cyber che hai già
Non serve un preventivo per farle. Serve il contratto e un quarto d’ora.
- La cyber estorsione è coperta o esclusa? E se è coperta, con quale limite e con quali condizioni di attivazione?
- Qual è la retroattività, e da quando sei realmente esposto sui rischi che hai in casa?
- Qual è l’ultrattività, e sai che decade se sostituisci il contratto?
- C’è il tacito rinnovo, o la polizza si spegne da sola a scadenza?
- La perdita di margine per il fermo è compresa, per quanti giorni e con quale franchigia temporale?
- Le spese di notifica al Garante e agli interessati sono comprese, e con quale limite in rapporto al numero di anagrafiche che tratti?
- La sezione di responsabilità civile c’è, o hai comprato solo il ripristino dei tuoi sistemi?
- Le tue dichiarazioni nel questionario assuntivo sono ancora vere: antivirus e firewall attivi e aggiornati, backup verificati, nessuna falla nota e non sanata?
- Chi risponde al numero della centrale operativa, e le persone che lavorano di notte e nel fine settimana sanno che devono chiamare quello e non il tecnico di fiducia?
Fai controllare la tua posizione
Come lavoriamo. Leggiamo la polizza che hai e ti diciamo dove si ferma: quasi sempre il problema non è il massimale, sono la retroattività, il questionario e le voci che pensavi ci fossero. Se quello che hai va bene, te lo diciamo.
Assicurazione cyber risk per PMI e studi professionali: che cosa copre e che cosa resta fuori
La linea del tempo
Che cosa succede, e in quale ordine
Le scadenze non sono negoziabili e non aspettano che abbiate finito le verifiche tecniche.
Ora zero
Qualcuno se ne accorge
Un file non si apre, una mail parte da sola, un gestionale rallenta. Da qui in avanti ogni minuto conta.
Prima ora
Si decide chi comanda
Chi isola i sistemi, chi ha l’autorità di spegnere, chi parla con i clienti. Se lo si improvvisa adesso, si perde tempo prezioso.
Entro 72 ore
La notifica al Garante
Il termine decorre da quando si viene a conoscenza della violazione, non da quando si è capito tutto.
I giorni dopo
Il conto vero
Non è il dato perso: è il margine che non producete mentre siete fermi, con i costi fissi che continuano a correre.
Dove finisce questa copertura
Un attacco che blocca un servizio può generare, nello stesso momento, tre richieste di natura diversa. Non trovano risposta nello stesso contratto, e la sezione di responsabilità civile di una copertura sul rischio informatico lo dice espressamente.
La polizza copre le perdite finanziarie e le spese sostenute a causa di:
- violazioni del sistema informatico e accesso ai dati aziendali
- furto di dati personali
- cyber spionaggio informatico, economico o industriale
- attacco alla reputazione on line
- crisi o blocco dei sistemi informativi
- danni economici collaterali all’attacco informatico (per esempio nel caso di indennizzi dovuti)
- appropriazione indebita
- deviazione delle linee telefoniche.
Questa garanzia copre le spese a copertura della responsabilità civile per i danni accidentali a terzi, causati da:
- perdita di dati per attacco informatico o errore umano o guasto elettrico
- furto di dati personali
- pubblicazione di dati riservati
- danni alla reputazione o diffamazione di terzi on line
- violazione della privacy o di segreti industriali
La copertura assicurativa si attiva in caso di richiesta di risarcimento da parte del danneggiato all’azienda assicurata.
La garanzia “TUTELA LEGALE” copre le spese legali per controversie in sede civile e/o penale a seguito di:
- lesione della reputazione online
- furto dell’identità digitale
- furto di dati personali dei clienti
- cyber-spionaggio
- acquisti/vendite on line di prodotti o servizi (escluse le controversie con i vettori, ovvero corrieri e simili ecc.).
QUALI SPESE SONO COPERTE DALLA POLIZZA?
Con la garanzia “cyber risk” nel caso di attacchi informatici esterni sono coperte, per esempio, le seguenti spese:
- le spese di esperti informatici e per assistenza informatica
- le spese di ricostituzione dei dati
- le spese di ripristino del sistema informatico
- le spese per scoperti bancari che l’Assicurato ha dovuto sostenere in caso di riduzione di fatturato, direttamente conseguente ad un evento indennizzabile
- le spese di ripristino del sito Web conseguenti ad attacco informatico.
Domande frequenti
Cosa copre una polizza cyber security?
Attacchi informatici, perdita di dati, interruzione dell’attività e responsabilità verso terzi, con assistenza nella gestione dell’incidente. Le garanzie dipendono dalla polizza.
Serve anche alle piccole aziende?
Sì: le PMI sono bersagli frequenti e spesso meno protette. Valutiamo i rischi specifici della tua attività.
Come si parte?
Con un’analisi dei rischi digitali, in agenzia o in video, e una proposta su misura.
Se non ho antivirus e firewall aggiornati la polizza paga lo stesso?
No. Gli eventi provocati dall’assenza di un sistema di protezione antivirus e firewall regolarmente aggiornato e attivo in modo permanente sono esclusi, così come gli eventi che derivano da una falla che l’assicurato conosceva già e non ha sanato. La polizza non sostituisce la sicurezza: la presuppone.
Il blocco di internet o della corrente è un sinistro cyber?
No. I guasti e le interruzioni delle reti esterne — alimentazione, telecomunicazioni, internet — situate a più di 150 metri dai locali che contengono le apparecchiature sono esclusi. Il disservizio del provider non è un attacco informatico.
La polizza cyber copre anche i miei errori professionali verso i clienti?
No, ed è una distinzione fondamentale. La sezione di responsabilità civile della cyber esclude espressamente le richieste che nascono da errori, omissioni o negligenza nella prestazione intellettuale di servizi professionali resi a terzi: quello è il territorio della responsabilità civile professionale, che è un contratto diverso. Esclude anche la responsabilità degli amministratori dell’art. 2476 del codice civile, che è un terzo contratto ancora.
Che cosa devo fare nelle prime ore di un attacco?
Chiamare immediatamente la centrale operativa di assistenza informatica indicata in polizza, prima di intervenire sui sistemi: è un obbligo contrattuale. Poi informare l’intermediario e la compagnia; in caso di violazione, furto di dati o altro reato doloso presentare denuncia alle Autorità entro tre giorni. Se sono coinvolti dati personali, la notifica al Garante va fatta entro 72 ore dalla conoscenza della violazione.
Che cosa sono retroattività e ultrattività in una polizza cyber?
La sezione di responsabilità civile opera in regime claims made: conta quando ti arriva la richiesta, non quando è accaduto il fatto. La retroattività (tipicamente 36 mesi) copre eventi anteriori alla decorrenza; l’ultrattività (tipicamente 24 mesi) copre le richieste che arrivano dopo la cessazione. Attenzione: l’ultrattività in genere decade se la polizza viene sostituita con un’altra che copre gli stessi rischi, anche con un altro assicuratore.
Le sanzioni del Garante privacy sono assicurabili?
No: in Italia le sanzioni amministrative non sono assicurabili. Quello che si assicura sono i risarcimenti verso i terzi, le spese di difesa e i costi dei procedimenti istruttori, che nel primo anno sono spesso la voce più pesante.
Per maggiori informazioni sull’assicurazione per proteggere i sistemi informatici dai cyber attacchi esterni contatta il nostro staff con la modalità che preferisci: saremo lieti di trovare la soluzione più adatta a te.
Chiedi sempre la documentazione precontrattuale ai consulenti Assi.ge.co.
L’innovazione digitale e l’infrastruttura informatica sono fattori chiave per la competitività aziendale e possono essere oggetto di attacchi esterni (virus, malware, furto di dati, accesso alle informazioni…) con danni incalcolabili.
L’assicurazione cyber security protegge l’azienda e il suo asset IT coprendo le perdite finanziarie e i costi di ripristino in caso di danni.
Oltre alle garanzie specifiche, è possibile inserire nella polizza anche la tutela legale e la responsabilità civile per danni contro terzi causati dal cyber attacco.
La polizza è rivolta a qualsiasi azienda, con sede legale e almeno parte dei sistemi informativi in Italia, che sia potenzialmente soggetta ad attacchi informatici (virus, malware, ecc.), violazioni dei sistemi informativi aziendali, furti di dati ed altro ancora.
Contattaci per maggiori informazioni, chiamaci al 011 5807384 o invia una mail a info@quotapolizza.it
Parliamone, come preferisci tu
Non ti vendiamo una polizza: progettiamo insieme la tua protezione su misura.
Chiama 011 5807384 · Prenota un colloquio · WhatsApp
Vieni a trovarci in agenzia: Corso Duca degli Abruzzi 62, Torino.
Non ti vendiamo una polizza. Prima capiamo dove sei esposto.
Un confronto riservato di 30 minuti, senza impegno: guardiamo insieme le coperture che hai già e ti diciamo in chiaro dove ci sono punti scoperti.
Prenota un confronto riservato
DAL 1980 · INTERMEDIARIO ISCRITTO AL RUI (SEZ. A, A000118114) · NESSUNA PROPOSTA COMMERCIALE IN QUESTA FASE
