Kybernetické pojištění zůstává pro většinu českých e-shopů stále neznámým pojmem — a přitom incident, který nedávno zasáhl zákazníky e-shopu Lidl v Česku, ukazuje přesně to, proč by ho firmy měly mít. Útočníci se prostřednictvím jednoho z externích poskytovatelů IT služeb dostali k oddělené databázi zákazníků a část dat odcizili. Uniklé informace zahrnovaly jména, telefonní čísla, e-mailové adresy, data narození i zákaznická čísla. Hesla ani platební údaje naštěstí dotčeny nebyly.
Lidl zákazníky o incidentu informoval e-mailem a zdůraznil, že v době oznámení neexistovaly konkrétní důkazy o zneužití dat. Přesto firma varovala před možnými pokusy o phishing nebo krádež identity. Poskytovatel IT služeb mezitím přijal bezpečnostní opatření, podal trestní oznámení a zapojil do vyšetřování externí experty. Pro velký řetězec s vlastním právním a krizovým týmem je zvládnutí takové situace náročné — pro menší e-shop by mohlo být existenčně ohrožující.
Co konkrétně kybernetické pojištění kryje
Kybernetické pojištění funguje jako specializovaná ochrana pro firmy, které pracují s digitálními daty zákazníků — tedy prakticky pro každý e-shop. V případě bezpečnostního incidentu může pojistka pokrýt celou řadu nákladů, které jinak padají přímo z firemního rozpočtu. Patří sem náklady na notifikaci zákazníků (povinná ze zákona při úniku osobních dat), výdaje na právní zastoupení, forenzní IT analýzu, obnovu dat a systémů nebo náklady spojené s přerušením provozu e-shopu.
Klíčová je také ochrana před sankcemi ze strany regulátorů. Podle nařízení GDPR může firmě za únik osobních údajů hrozit pokuta až do výše 4 % globálního ročního obratu nebo 20 milionů eur — podle toho, která částka je vyšší. Pro nadnárodní řetězec jako Lidl to představuje astronomické číslo, ale i pro středně velký český e-shop s obratem desítek milionů korun může pokuta v řádu milionů korun znamenat vážný problém.
Co pojistka nekryje — a na co si dát pozor
Kybernetické pojištění ale není všelék. Pojišťovny standardně nekryjí škody způsobené vlastní nedbalostí nebo úmyslným jednáním zaměstnanců, ztrátu reputace a budoucí ušlý zisk, ani incidenty, které firma nahlásí se zbytečným zpožděním. Důležité je také číst podmínky týkající se tzv. sublimitů — tedy maximálních částek, které pojistka vyplatí za konkrétní typ škody. Pojistné plnění za právní zastoupení může mít jiný strop než náhrada za výpadek provozu.
Před sjednáním pojistky by každý e-shop měl projít základní bezpečnostní audit: jak jsou uložena zákaznická data, kdo k nim má přístup, jaké záruky poskytují externí dodavatelé IT služeb. Právě případ Lidlu ukazuje, že bezpečnostní incident nemusí přijít přímo z vaší infrastruktury — útočníci cílili na externího poskytovatele. Pojišťovny přitom při uzavírání smlouvy hodnotí celkovou úroveň kybernetické bezpečnosti firmy, takže firmy s lepším zabezpečením platí nižší pojistné.
Proč většina českých e-shopů kyberpojistku stále nemá
Průzkumy opakovaně ukazují, že kybernetické pojištění využívá jen menšina malých a středních firem v Česku. Důvody jsou různé: někteří podnikatelé si myslí, že jsou příliš malí na to, aby je útočníci zajímali, jiní považují pojistné za zbytečný výdaj nebo prostě o tomto typu pojištění nevědí. Jenže kyberzločinci dnes velmi často cílí právě na menší firmy, protože ty mívají slabší zabezpečení než velké korporace.
Roční náklady na základní kybernetické pojištění se u menšího e-shopu pohybují v řádu tisíců až desítek tisíc korun — zlomek toho, co může stát jediný bezpečnostní incident. Sjednání pojistky přitom neznamená, že firma nemusí investovat do bezpečnosti — obojí se vzájemně doplňuje. Incident u Lidlu je připomínkou, že kybernetická rizika nejsou abstraktní hrozba, ale reálná součást podnikání v digitálním prostředí. A firmy, které to pochopí dříve než po prvním útoku, mají jasnou výhodu.