Kybernetické pojištění přestává být výsadou velkých korporací — jak ukázal srpnový útok hackerské skupiny DataBastard na české zdravotnické zařízení, terčem se může stát prakticky kdokoliv. Útočníci odcizili rozsáhlou databázi pacientských i personálních dat a nabídli ji k prodeji na darknetu. Bezpečnostní firma ComSource označila incident za nejzávažnější kyberútok na tuzemské zdravotnictví za poslední měsíce.
Případ otevírá zásadní otázku, kterou si dosud mnoho českých firem a organizací neklade: kdo zaplatí škody, když k podobnému průlomu dojde? A jak vysoké ty škody vlastně jsou?
Škody po úniku dat nejsou jen o opravě serverů
Většina firem si pod pojmem „škoda po kyberútoku“ představí náklady na obnovu IT systémů. Realita je ale mnohem složitější. Přímé náklady tvoří jen zlomek celkové ztráty — k nim se přidávají výdaje na právní zastoupení, povinné notifikace postižených osob, komunikaci s regulátory a v neposlední řadě pokuty za porušení GDPR. V případě zdravotnických dat, která patří mezi tzv. zvláštní kategorie osobních údajů, může regulátor uložit sankci až do výše 20 milionů eur nebo čtyř procent celosvětového ročního obratu.
Samostatnou kapitolou jsou nároky třetích stran. Pacienti, jejichž citlivá data skončila na darknetu, mají právo domáhat se náhrady újmy. Právě zde vstupuje do hry pojištění odpovědnosti za škodu způsobenou únikem dat, které bývá součástí komplexních kybernetických pojistek.
Co kybernetické pojištění standardně kryje
Kvalitní kybernetická polisa zpravidla zahrnuje několik klíčových oblastí. První je vlastní škoda pojištěného — tedy náklady na forenzní vyšetření útoku, obnovu dat a systémů, provoz krizového managementu a ušlý zisk v době výpadku. Druhá oblast pokrývá odpovědnost vůči třetím osobám, tedy náhradu škody poškozeným klientům nebo pacientům a náklady na jejich právní zastoupení. Součástí bývá také krytí nákladů na povinné oznámení incidentu dozorovému úřadu a postiženým osobám, což samo o sobě může u větší organizace přijít na statisíce korun.
Naopak většina pojistek nekryje škody vzniklé válečnými kyberoperacemi státních aktérů, úmyslné jednání vlastních zaměstnanců nebo situace, kdy firma prokazatelně zanedbala základní bezpečnostní opatření — například neaktualizovala systémy nebo neměla zavedenu vícefaktorovou autentizaci.
Třetina zaměstnanců klikne na podvržený e-mail
Případ Revolutu, který naletěl na falešnou žádost státního úřadu odeslanou z legitimní e-mailové domény a vydal citlivá klientská data, ilustruje, že ani zavedené finanční instituce nejsou imunní vůči tzv. sociálnímu inženýrství. Útočníci dnes nepotřebují prolomit šifrování — stačí přesvědčit jednoho zaměstnance.
A ten zaměstnanec se najde snadno. Přibližně třetina českých zaměstnanců klikne na podvržený e-mail, přestože firmy o hrozbě vědí. Zároveň platí, že díky nástrojům umělé inteligence se příprava sofistikovaného phishingového útoku zkrátila z dnů na minuty — útočníci jsou tedy rychlejší, než stihnou reagovat bezpečnostní týmy.
Jak správně nastavit kybernetické pojištění pro firmu nebo organizaci
Při sjednávání kybernetické pojistky je klíčové nepodcenit výši pojistné částky. Pojišťovny před uzavřením smlouvy zpravidla vyžadují bezpečnostní dotazník — čím lépe jsou interní procesy nastaveny, tím nižší bývá pojistné. Pro menší firmy a živnostníky existují zjednodušené produkty, které pokrývají základní rizika za přijatelnou cenu. Důležité je ale číst výluky: pojistka, která nekryje výpadek způsobený zastaralým softwarem, může být v praxi téměř bezcenná. Před podpisem smlouvy se vyplatí konzultace s nezávislým pojišťovacím poradcem, který dokáže porovnat podmínky různých pojistitelů a upozornit na skryté mezery v krytí.