Kybernetické pojištění dnes patří mezi nejpodceňovanější nástroje ochrany firem — přestože průměrné náklady na jediný kyberincident u středně velké společnosti přesahují miliony korun. A co je překvapivé: útok přitom vůbec nemusí začít u počítače. Odborníci na kyberbezpečnost popisují případy, kdy se útočník fyzicky dostal do firmy tím, že se převlékl za bezdomovce, prohledával firemní odpad a sbíral informace o dodavatelích a interních procesech. Voňavka záměrně zapáchala, aby se k němu nikdo nepřibližoval.
Tento příklad pochází z takzvané „red team“ operace — simulovaného útoku, při němž bezpečnostní experti testují, jak daleko se do firmy dostanou stejnými metodami jako skuteční hackeři. Výsledky bývají alarmující. Největší slabinou totiž nejsou technologie, ale lidé. Phishingový e-mail, telefonát od falešného IT technika nebo člověk na chodbě, který tam nemá co dělat — to jsou reálné vstupní body, které útočníci využívají každý den.
Firewall nestačí: útočníci čekají v systému týdny
Mnoho firem investuje do firewallů, antivirů a detekčních systémů, ale zapomíná na jejich správné nastavení a průběžnou údržbu. Výsledkem je buď záplava falešných upozornění, nebo opačný extrém — skutečný útok zůstane zcela bez povšimnutí. Experti upozorňují, že reální útočníci mohou v kompromitovaném systému zůstat nepozorovaně celé týdny a volně přistupovat k citlivým datům. Situaci navíc komplikuje umělá inteligence, kterou dnes využívají jak obránci, tak útočníci — například k vytváření přesvědčivějších podvodných zpráv.
Závěr bezpečnostních expertů je jednoznačný: není otázkou zda se firma stane terčem útoku, ale kdy. A právě v tu chvíli rozhoduje, zda má firma sjednané pojištění kybernetických rizik.
Co kybernetické pojištění skutečně kryje
Produkt označovaný jako cyber liability nebo pojištění kybernetických rizik kryje celou řadu nákladů, které při kyberincidentu vznikají a které firmy často vůbec nepředpokládají. Patří sem zejména:
Obnova dat a systémů — zašifrovaná nebo smazaná data je třeba obnovit, což může trvat dny i týdny a stát statisíce až miliony korun. Výpadek provozu — pojištění přerušení provozu nahrazuje ušlý zisk za dobu, kdy firma nemůže fungovat. Právní náklady a notifikace — po úniku osobních údajů má firma ze zákona povinnost informovat dotčené zákazníky a případně spolupracovat s Úřadem pro ochranu osobních údajů. Právní poradenství a notifikační proces jsou samostatnou nákladovou položkou. Některé produkty kryjí také náklady na krizovou komunikaci nebo platby externím forenzním specialistům, kteří zjišťují, co přesně se stalo.
Kolik pojištění kybernetických rizik stojí a pro koho je určeno
Kybernetické pojištění není výsadou velkých korporací. Nabízejí ho i pro malé a střední firmy, přičemž cena pojistného závisí na velikosti firmy, odvětví, objemu zpracovávaných dat a úrovni stávajícího zabezpečení. Pojišťovny před uzavřením smlouvy zpravidla požadují vyplnění bezpečnostního dotazníku — a právě zde se mnohé firmy poprvé dozví, jaké mezery v ochraně mají. Roční pojistné pro menší firmu se může pohybovat v řádu desítek tisíc korun, zatímco potenciální škoda při útoku je násobně vyšší.
V Česku je tato oblast stále výrazně podpojištěná. Firmy často spoléhají na to, že jejich IT oddělení situaci zvládne, nebo se domnívají, že jsou pro útočníky příliš malé a nezajímavé. Opak je pravdou — menší firmy mívají slabší zabezpečení a jsou tak pro hackery snadnějším cílem. Kybernetické pojištění přitom nenahrazuje investice do bezpečnosti, ale doplňuje je: funguje jako záchranná síť pro případ, kdy technická i lidská ochrana selže.