Apdrošinātājs, kas piedāvā kiberdrošības apdrošināšanu, parasti pieprasa dažādu dokumentu kombināciju: pārskatu par to, kādus personas datus jūs apstrādājat un kādam nolūkam, jūsu tehnisko un organizatorisko drošības pasākumu aprakstu, pierādījumus par vienošanās ar piegādātājiem, kas jūsu vārdā apstrādā datus, un protokolu gadījumam, ja kaut kas noiet greizi. Daži apdrošinātāji pieprasa šos dokumentus atsevišķi, citi tos apvieno vienā digitālā jautājumformā.
Kiberdrošības apdrošināšanai nav likumā noteikta dokumentu saraksta. Pati GDPR uzspiež atbildību par skaidrojumu: organizācija ir jāpamato, ka domā par personas datu aizsardzību un to ir kārtībā. To, kā šī pierādāmība izskatās, nosaka pats apdrošinātājs, nevis likums. Tas ir tieši tas detaļa, kuru šajā pirkuma momentā visbiežāk pārskata: uzņēmēji meklē to formu vai sertifikātu, kas pietiek, kamēr apdrošinātāji praktiski galvenokārt vēlas redzēt, ka ir koherents kopums.
Ko apdrošinātājs parasti vēlas redzēt
Lielākās daļas jautājumformu serdes ir datu apstrādes reģistrs: pārskats par to, kādus personas datus apstrādājat, kādam nolūkam, cik ilgi tos glabājat un kam ir piekļuve. Turklāt bieži tiek jautāts par datu apstrādes līgumus ar pušām, kas jūsu vārdā apstrādā datus, piemēram, jūsu grāmatvedības pakete, jūsu personāla vadības sistēma vai mārketinga rīks. Trešais regulāri atgriežošos elements ir datu pārkāpuma protokols: kā jūs atpazīstat incidents, kam jūs to paziņojat savā organizācijā un kā jūs novērtējat, vai ir nepieciešams paziņojums Datu aizsardzības iestādei. Tie, kas šaubās, vai gadījums par to ir, nākos dažus jautājumus var redzēt, kur situācija aptuveni atrodas.
Apdrošinātāji pēc tam bieži skatās plašāk par tikai GDPR. Jautājumi par dublējumkopijām, paroles politiku, divu faktoru autentifikāciju un to, kam uzņēmumā ir piekļuve kādām sistēmām, pieder informācijas drošībai plašākā nozīmē. Tas pārklājas ar privātumu, bet tam nav identisks: uzņēmums var būt ar kārtīgu datu apstrādes reģistru un tajā pašā laikā vāju tehnisko drošību, vai otrādi. Jūsu pieņemto pasākumu pārskats palīdz savienot šos divus aspektus; skatīt arī kā uz to tiek skats, novērtējot datus un privātumu.
Kāpēc pierādāmība nav tas pats, kas akreditācija
Bieži dzirdēts jautājums ir, vai ISO sertifikāts vai cita akreditācija aizstāj pierādījumu, ko meklē apdrošinātājs. Sertifikāts var būt svarīgs, bet reti aizstāj jautājumu par jūsu konkrēto situāciju: kādus datus apstrādā tieši šis uzņēmums, ar kuriem piegādātājiem tas sadarbojās, un kas notiks, ja kaut kas noies greizi. Uzraudzības iestādes un apdrošinātāji šajā punktā skatās uz līdzīgiem aspektiem, bet ar atšķirīgu mērķi: uzraudzības iestāde novērtē likuma ievērošanu, apdrošinātājs novērtē risku pirms polises izdošanas. Šī atšķirība izskaidro, kāpēc divi apdrošinātāji dažreiz pieprasa nedaudz atšķirīgus dokumentus, kamēr pamatā — reģistrs, līgumi, protokols — vienmēr ir tas pats.
Ko jūs varat jau tagad pagatavot
Ir saprātīgi sākt ar to, kas jau ir: kādu programmatūru un piegādātājus jūsu uzņēmums izmanto, un vai tam atbilst datu apstrādes līgums. Tālāk ir jautājums par to, ko pierakstīt, kas notiek faktiski: kuri dati atrodas kur, kam ir piekļuve un cik ilgi tos glabā. Uzņēmumiem, kas to pirmo reizi kartē, strukturēts bieži uzdoto jautājumu pārskats ir labs sākumpunkts; skatīt atbildes uz jautājumiem, kas bieži atgriežas šāda veida pieprasījumos.
Ja vēlaties vispirms saprast, kā šāds dokumentu saraksts ir strukturēts un uz kā informācija ir balstīta, varat to izlasīt zināšanu bankā. Tur katram tēmam ir īss atbildes ar atsauci uz oficiālo tekstu, lai jūs pats varētu pārbaudīt, no kurienes nāk prasība; piemēram, apskatiet zināšanu bāzē ar paskaidrojumiem par katru tēmu pirms sākat sarunu ar apdrošinātāju.
No atsevišķiem dokumentiem uz aktīvu reģistru
Grūtākais šajā pirkšanas brīdī ir ne tikai viena dokumenta sagatavošana, bet tā aktualizēšana. Datu apstrādes reģistrs, kas tika izveidots pirms gada un kopš tā nav atjaunināts, bieži vairs neatbilst rīkiem, kurus uzņēmums jau izmanto. Sistēma, kas ļauj reģistram augt līdzi faktiskajai izmantotajai programmatūrai un kurā tiek uzraudzīts, kuras datu apstrādes līgumus vēl trūkst, palīdz brīdī, kad apdrošinātājs pēkšņi to prasa.
Tas, vai tas jūsu uzņēmumam šobrīd ir aktuāli un kādi dokumenti jums konkrēti ir nepieciešami, vislabāk apspriest ar pašu apdrošinātāju vai ar konsultantu; šis raksts sniedz skaidrojumu, nevis juridisko padomu par jūsu konkrēto polisi.
Vai vēlaties vispirms pats redzēt, kur aptuveni atrodas jūsu uzņēmums? Bezmaksas ātrstarts dod dažu jautājumu laikā norādi, un zināšanu bankā katram tēmam atradīsit īso atbildi ar atsauci. Ja pēc tam vēlaties reģistru un uzraudzību sistemātiski uzturēt, izlasiet cik maksā sistēma apkārt kas pie tā ir iesaistīts.