Waarom de vragenlijst ertoe doet
Een cyberverzekering dekt meestal kosten na een aanval of datalek: onderzoek, herstel, juridische hulp en soms bedrijfsschade. De verzekeraar wil vooraf weten hoe groot het risico is. Daarom hoort er bij het afsluiten of verlengen bijna altijd een vragenlijst over uw IT-beveiliging.
In het MKB wordt die lijst vaak snel ingevuld door de directeur of de administratie. Dat is begrijpelijk, want de vragen zijn technisch. Maar de antwoorden zijn geen formaliteit. De verzekeraar baseert er de dekking en de premie op. Blijkt na een aanval dat een maatregel die u heeft aangevinkt er niet was, dan kan dat de afhandeling van de schade lastig maken. Lees daarom ook wat uw polis zegt over de juistheid van de opgegeven informatie.
Wat verzekeraars meestal vragen
De precieze vragen verschillen per verzekeraar, maar de onderwerpen komen telkens terug:
- Meervoudige authenticatie (MFA) op e-mail, op toegang van buitenaf zoals VPN of extern bureaublad, en op beheerdersaccounts. Let op het woord ‘alle’: één oud account zonder MFA maakt het antwoord al onwaar. En verouderde authenticatie kan MFA omzeilen.
- Backups: hoe vaak ze worden gemaakt, of er een kopie is die een aanvaller niet kan wissen of versleutelen, en of herstellen wordt getest. Ook de vraag of u Microsoft 365 zelf back-upt, want cloud is geen backup.
- Updates: binnen hoeveel dagen kritieke beveiligingsupdates worden geïnstalleerd, en of er nog systemen draaien die geen updates meer krijgen. Hoe u dat organiseert, leest u bij patchbeheer.
- Beveiliging op apparaten: een beheerde virusscanner of EDR op laptops en servers, en of medewerkers lokale beheerdersrechten hebben.
- Mensen en processen: security awareness-training, een controle op betaalverzoeken en een plan voor wat u doet bij een incident.
Stap 1: laat elke vraag controleren, niet invullen op gevoel
Leg de vragenlijst voor aan wie uw IT beheert, intern of extern. Vraag per vraag: klopt dit voor alle accounts, alle apparaten en alle locaties? Veel antwoorden zijn na te gaan in Microsoft 365 en in de beheertools. Het MFA-overzicht laat zien welke accounts nog geen tweede stap hebben. De backupsoftware laat zien wanneer de laatste geslaagde backup en de laatste hersteltest waren.
Bewaar het bewijs bij de vragenlijst: een export, een rapport of een schermafbeelding met datum. Dat helpt bij een volgende verlenging, en als er na een schade vragen komen.
Stap 2: regel wat ontbreekt vóór de ingangsdatum
Vaak blijkt bij de controle dat het grootste deel goed zit en een paar dingen niet. Een gedeelde mailbox waarop nog met een wachtwoord wordt ingelogd. Een oud serviceaccount zonder MFA. Een backup die wel draait, maar op dezelfde server staat als de data. Zulke punten zijn meestal binnen een paar weken op te lossen. Plan dat dan vóór de verlenging, of overleg met uw tussenpersoon hoe u een maatregel opgeeft die nog in uitvoering is.
Stap 3: houd het actueel
Een vragenlijst is een momentopname. Een nieuwe medewerker zonder MFA, een laptop die maanden geen updates krijgt of een backup die stilletjes faalt, en het antwoord klopt alweer niet. Spreek daarom af dat de maatregelen uit de vragenlijst regelmatig worden gecontroleerd, bijvoorbeeld elk kwartaal. Veel van dezelfde punten komen terug in de Secure Score van Microsoft 365 en in eisen van klanten in het kader van NIS2.
Weet ook wat u moet doen als het toch misgaat. Veel polissen hebben een meldnummer dat u als eerste belt, voordat u zelf gaat herstellen. Zet dat nummer in uw incidentplan, naast de stappen bij een gehackt account.
Wat Floor ICT doet
Floor ICT loopt de vragenlijst van uw verzekeraar met u door en controleert per vraag hoe het in uw omgeving werkelijk is ingericht. U krijgt een overzicht met het bewijs per maatregel en een lijst van wat nog ontbreekt. Na uw akkoord regelen we die punten, zoals MFA voor de laatste accounts, een backup die los staat van het netwerk of updatebeheer op alle apparaten. Als uw MSP houden we die maatregelen daarna bij, zodat de volgende vragenlijst geen verrassingen geeft. Wij geven geen verzekeringsadvies: welke polis u kiest en wat u ondertekent, bespreekt u met uw tussenpersoon en beslist u zelf.