Oteller için siber sigorta: poliçe neleri kapsar, sigortacı neleri sorar?

Siber sigorta, dijital bir olayın maliyetlerinin bir kısmını karşılayan bir poliçedir: verinin geri getirilmesi, kaybedilen iş, misafirlerden gelen talepler ve müdahale ekibi. Bir güvenlik ürünü değildir; neyin ödeneceğine poliçe metni karar verir. Sigortacılar, iki adımlı doğrulama, yedekleme ve güncellemelerle ilgili bir anketle riski ölçer.

İki teklif önünüze gelir; ikisinin adında da "siber" yazar, ikisinin de ilk sayfasında bir limit görürsünüz ve hiçbiri, rezervasyon sisteminin Ağustos'un bir Cumartesi gecesi şifrelenirse ne olacağını söylemez. Fark, poliçe metninde ve ekindeki ankette gizlidir. Bu yazının sonunda dört güvence grubunu, hasarları belirleyen maddeleri, sigortacıların sorduğu güvenlik sorularını ve iki teklifi tek bir senaryo üzerinden karşılaştırma yöntemini bileceksiniz.

Otelde siber sigorta neleri kapsar?#

Tipik bir siber sigorta poliçesi dört tür maliyeti karşılar: otelin kendi zararları, sistemler çalışmadığı sürece kaybedilen iş, başkalarından gelen talepler ve olayı yönetecek uzmanlar.

İlk grup otelin kendi maliyetlerini kapsar: verinin ve sistemlerin geri getirilmesi ya da yeniden kurulması, yedek ekipman kiralanması ve sistem kullanılamazken resepsiyonun elle, kâğıt üzerinde çalıştırılmasının ek gideri. İkinci grup olan iş kesintisi, sigortalı bir sistem kullanılamazken kaybedilen geliri ve ek gideri kapsar; bu genellikle otelin kendi rakamlarından hesaplanır ve çoğu zaman yalnızca bir bekleme süresinden sonra başlar. Üçüncü grup olan sorumluluk, verisi açığa çıkan misafirlerin, acentelerin veya çalışanların taleplerini, ayrıca bildirim ve hukuki savunma maliyetlerini kapsar; hepsi bir limit içinde ve istisnalara tabidir. Dördüncü grup olan olay müdahalesi, adli bilişim ekibini, avukatı, müzakereciyi ve iletişim danışmanını devreye sokar; bu ekipler çoğu zaman otelin serbestçe seçtiği firmalardan değil, sigortacının anlaşmalı panelinden gelir.

İki güvence daha dikkat ister. Siber şantaj ve fon transferi dolandırıcılığı çoğu zaman ayrı güvenceler ya da ayrı alt limitlerdir; ana limitin içinde olduğunu varsaymayın, nerede durduğunu sorun. Ayrıca poliçe, kendi tanımladığı olaylara yanıt verir; ilk soru "kapsamda mıyız" değil, "hangi sistemlerimiz tanımda adı geçiyor" olmalıdır.

Dört güvence grubu düz bir dille#

Standart bir mal sigortası (yangın ve eşya) neleri dışarıda bırakır?#

Yangın ve eşya poliçeleri fiziksel hasar üzerine kuruludur; dijital bir olay bu poliçelerin çoğu zaman dışında kalır ya da kaybı taşıyamayacak kadar dar bir alt limite düşer.

Aracınızdan, poliçenin siber konulardaki konumunu yazılı olarak göstermesini isteyin: sessiz mi, istisna mı, alt limitli mi ve ne kadar. Bir yangın poliçesi yanan sunucu odasını ödeyebilir ama sunucudaki şifrelenmiş veriyi ödemeyebilir, çünkü verinin kendisi fiziksel bir eşya değildir. Yangın poliçesindeki iş kesintisi güvencesi genellikle fiziksel hasarla tetiklenir; hasar olmadan yaşanan bir sistem arızası bunu hiç tetiklemeyebilir.

Hırsızlık ve sadakat (çalışan sadakatsizliği) sigortası güvenceleri bazı durumlarda hileli bir ödemeye yanıt verir; bu, siber poliçedeki fon transferi dolandırıcılığı güvencesinden farklı bir tetikleyicidir. Otelin hangisini elinde tuttuğunu kontrol edin. Hem siber hem yangın poliçesi varsa hangisi önce ödüyor ve iki limit nasıl etkileşiyor diye sorun; otel iki sigortacı arasında tartışmaya bırakılmasın. Bu, otelin kendi aracısının ve hukuk danışmanının sorusudur: bu yazı ne sorulacağını gösterir, herhangi bir poliçe metninin ne dediğini değil.

Hangi istisna ve şartları önce okumalısınız?#

Bekleme süresini, önceki olay istisnasını, sosyal mühendislik şartını ve yedekleme ile güncellemelere ilişkin bakım koşullarını okuyun; çünkü hasarların çoğuna bu dördü karar verir.

Bekleme süresi şundan önemlidir: iş kesintisi güvencesi genellikle belirtilen saat veya gün sayısından sonra ödemeye başlar; iki günlük bir kesinti oteli zarara uğratır ama hasar ödemeyebilir. Önceden bilinen durumlar şundan önemlidir: poliçenin başlamadan önce otelin zaten bildiği bir olay ya da zafiyet normalde istisnadır; ihlalden sonra güvence almanın nadiren işe yaramasının nedeni budur. Sosyal mühendislik şundan önemlidir: hileli bir ödeme, çoğu zaman yalnızca otel belirtilen bir prosedürü izlediyse karşılanır; örneğin banka hesabı değişikliğini bilinen bir numarayı arayarak doğrulamak gibi. Bakım koşulları şundan önemlidir: birçok poliçe düzenli yedek alma, desteklenen yazılım ve uygulanan güncellemeler ister; bu koşullar yerine getirilmemişse hasar azaltılabilir ya da reddedilebilir.

Üç madde daha okunmayı hak eder. Savaş ve devlet bağlantılı saldırı istisnaları yaygındır ve geniş yazılabilir; yurt dışından faaliyet gösteren bir suç örgütü için sigortacının bunu nasıl okuduğunu sorun. Poliçe, otelin adli bilişim firması tutmasından önce sigortacının onayını isteyebilir; ilk telefonun önemi budur. İdari para cezaları ve sözleşmesel cezalar poliçeden poliçeye farklı ele alınır; varsaymayın, doğrudan sorun ve hukuki konularda danışman alın.

İstisna gibi davranan şartlar#

Bu maddeler yabancı bir dil gibi geliyorsa, poliçe metnine dönmeden önce oltalama, fidye yazılımı ve iki adımlı doğrulama terimlerinin düz açıklamalarına bakın.

Sigortacının anketi ne soruyor?#

Anket, otelin saldırılması zor ve toparlanması hızlı bir yer olduğuna dair kanıt ister: iki adımlı doğrulama, test edilmiş yedekler, güncel yazılım, ayrılmış ağlar ve ilk saat için bir plan.

İki adımlı doğrulama e-postada, otel yönetim sisteminde ve her yönetici hesabında açık olmalıdır; çalıntı bir parola yaygın bir giriş yoludur. Yedekler konusunda sigortacı, yedeklemenin hangi sıklıkla yapıldığını, bir kopyanın çevrimdışı ya da değiştirilemez biçimde tutulup tutulmadığını ve otelin en son ne zaman bir yedekten başarıyla geri dönüş yaptığını merak eder; yedekleme işinin "başarılı" raporlaması yetmez. Güncellemeler konusunda, güvenlik yamalarının sunuculara, resepsiyon bilgisayarlarına ve yönlendiriciye ne kadar hızlı ulaştığı ve kontrolün kimin sorumluluğunda olduğu sorulur. Ağlarda, misafir Wi-Fi'ı, otel yönetim sistemi, ödeme terminalleri ve personel e-postası tek bir düz ağda durmamalıdır; tek bir bulaşmış dizüstü bilgisayar her şeye erişmemelidir.

Anket insanlar hakkında da sorar. Erişim yönetimi, kimlerin yönetici yetkisi tuttuğunun listesi, personel ayrılırken hesapların nasıl kapatıldığı ve uzaktan erişimin iki adımlı doğrulama isteyip istemediğidir. İsimleri belli kişiler, mesai dışı bir telefon numarası ve basılı bir kopya içeren bir müdahale planı önemlidir; plan, tam da gerektiği anda okunamaz olur. Sıra eğitimde ve oltalama tatbikatlarındadır; bir de misafir verisine dokunan tedarikçilerin listesinde, çünkü sigortacı otelin en güçlü halkasını değil, en zayıf halkasını değerlendirir.

Anketi bir çalışma listesi olarak kullanın#

İki en ağır başlığı, işletme sahibi ve genel müdür için otel siber güvenlik kontrol listesi ve otelde veri yedekleme rehberi ayrı yazılarda genişletiliyor.

Olay gerçekleşince önce kimi aramalısınız?#

Ekibiniz yeniden kurmaya başlamadan önce sigortacının olay hattını arayın; çünkü poliçe maliyetlerin onayını isteyebilir ve hasar dosyasında gereken kanıtlar hızlı bir temizlikle yok olur.

Numarayı ağın dışında tutun: resepsiyonda ve genel müdürün cüzdanında basılı bir kart, çünkü e-posta ve intranet tam da erişilemeyen şeyler olabilir. Sigortacının hattı oteli adli bilişim ve hukuk firmalarından oluşan paneline yönlendirir; onaylı olmayan bir firmayla çalışmak maliyeti güvencenin dışına çıkarabilir. Onarmadan önce koruyun: bulaşmış makineleri silmeyin, kayıtları tutun ve neyin ne zaman fark edildiğini zaman çizelgesine yazın.

Bunlarla paralel olarak otelin kendi yükümlülükleri işler. Kişisel verilerin korunması kanununun kendi bildirim yolu vardır; zamanlamayı ve muhatapları olay sırasında tahmin etmek yerine hukuk danışmanıyla netleştirin. Misafirlere ve personele yalnızca bilinen ve doğrulanmış olanı söyleyin; yanlış bir güvence, kısa ve dürüst bir geçici açıklamadan daha çok güven kaybettirir. Sigortacının neyi ne zaman istediğini yazın: hasar dosyası nihai rapordan değil, ilk saatlerden inşa edilir.

Sıranın tamamı için otelde fidye yazılımı saldırısı: ilk 24 saatte adım adım yapılacaklar yazısına bakın.

İki siber sigorta teklifi aynı senaryo üzerinden nasıl karşılaştırılır?#

Tek bir olay senaryosunu bir paragrafla yazın, iki sigortacıya da gönderin ve her birinden neyin ödeneceğini, neyin beklemede kalacağını ve hiç ödenmeyecek olanları yazılı olarak bildirmesini isteyin.

Tesis için gerçekçi bir senaryo kullanın: yüksek sezonda bir Cumartesi gecesi şifrelenen rezervasyon sistemi, kâğıtla yürüyen girişler, açığa çıkmış olabilecek misafir kimlik verisi. Yanıtı bu senaryo üzerinden parayla isteyin: hangi maliyetler limitin içine düşüyor, hangileri alt limite oturuyor, parasal ve süreli muafiyetin nerede devreye girdiğini görün. Müdahale firmasını kimin seçtiğini ve ne kadar hızla yerinde olabileceğini sorun; üç günde yanıt veren bir panel ile üç saatte yanıt veren bir panel farklı ürünlerdir.

Sonra primi değil, koşulları karşılaştırın. Otelin güvencede kalabilmek için ne yapmaya devam etmesi gerektiğini sorun: anket yanıtları koşula dönüşür ve yedek testlerini bırakan bir otel, ödediği güvenceyi kaybedebilir. İki adımlı doğrulama, çevrimdışı bir yedek ve bir güncelleme rutini para ve personel zamanı maliyeti taşır; bunlar fiyatın parçasıdır. Son olarak, muafiyetin altında küçük bir olay olursa yenilemede ne olduğunu sorun; çünkü yanıt, olayların nasıl bildirileceğini etkiler.

Şimdi ne yapmalı#

Poliçe aramaya başlamadan önce anketi dürüstçe yanıtlayın; çünkü o yanıtlar hem fiyat, hem koşul, hem hasardır. Yanıtlayamadıklarınızı düzeltin, Cumartesi gecesi senaryosunu yazın ve bir aracının önüne koyun: iki adımlı doğrulamayı, test edilmiş bir çevrimdışı yedeği ve bir güncelleme rutinini kanıtlayabilen bir otel, daha iyi güvence alır ve ona daha az ihtiyaç duyar.