Eerste hulp bij hacking

“Een bedrijf dat geen verzekering afsluit tegen hacking neemt een heel groot risico”, zegt product manager Sonja Smits van Federale Verzekering. “De mogelijke impact ervan is enorm geworden. Daarom biedt onze polis F-Cyber Comfort zowel bijstand, als een schadevergoeding bij verliezen.”

Het verhaal Asco in Zaventem opende deze zomer velen de ogen. Een hacking van zijn computersysteem zorgde ervoor dat de bouwer van vliegtuigonderdelen zijn productie wekenlang op een lager pitje moest zetten en zelfs stilleggen. De schade die hiervan het gevolg was, liep in de miljoenen. Maar denk ook aan de gegevens van 10.000 klanten van Albert Heijn die per ongeluk gedeeld werden met derden. Of aan de data van 15.000 klanten van Orange die werden gelekt. Asco, Albert Heijn en Orange zijn geen alleenstaande gevallen. “Een op de vijf bedrijven die een cyberpolis afsluiten, doet een beroep op zijn verzekering”, zegt Raf Duyver van Zurich, de maatschappij die samen met Federale de cyberpolis F-Cyber Comfort aanbiedt. 

“IT’ers vertellen hun bazen snel dat alles in orde is, maar de ervaring leert dat de beveiliging van informaticasystemen best niet alleen aan hen wordt overgelaten”, vult commercieel directeur Marc de Jong Luneau van het IT-beveiligingsbedrijf Northwave aan. Bedrijven die minstens 2.500 euro per jaar betalen voor hun cyberverzekering en daarvoor openstaan, krijgen inbegrepen in hun premie een bureau als Northwave over de vloer. Dat bekijkt de stand van hun beveiliging en geeft hen tips over mogelijke verbeteringen. Het legt hen tevens uit wat ze moeten doen bij calamiteiten.

Welke schadegevallen komen het vaakst voor?

Marc de Jong Luneau : We hebben vooreerst de gevallen waarbij oplichters via e-mailcommunicatie of via het manipuleren van gegevens op facturen gelden proberen af te leiden naar hun rekening. Die schade is vrij makkelijk te omschrijven. Daarnaast hebben we de gevallen waarbij het computersysteem van een bedrijf via digitale weg wordt binnengedrongen. Daarbij wordt eerst drie à vier weken via malware rondgekeken en  vervolgens worden op een goed moment in een weekend cruciale bestanden versleuteld met het oog op het verkrijgen van losgeld. Het gevolg is dat het systeem op maandag niet meer werkt. Dat kan leiden tot het stilvallen van de productie. Ook is de organisatie niet altijd in staat om de data terug te krijgen die nodig zijn om te herstarten. De schade kan hier heel groot zijn.

Wordt dan ingegaan op vragen van losgeld?

Marc de Jong Luneau : Soms zit er niets anders op dan betalen. Zoniet kan het bedrijf weken bezig zijn om weer normaal te kunnen werken. De geëiste sommen lopen op tot bedragen met zes nullen.

Biedt de F-Cyber Comfort bij een schadegeval een financiële vergoeding of wordt bijstand verleend?

Sonja Smits : Beide. Bijstand is een pijler van de polis. Bedrijven die het slachtoffer worden van een cyberaanval, een hacking of een ander digitaal incident willen zo snel mogelijk dat iemand met kennis van zaken hen bijstaat. Daarom bieden we hen de mogelijkheid om 24/7 een alarmcentrale te contacteren. Die stelt meteen een dossierbeheerder aan, die voor de gepaste bijstand zorgt. Dat kan gaan om hulp van gespecialiseerde IT’ers, maar ook van juristen en PR-mensen, experten die hen helpen om de imagoschade te beperken. Dat is van groot belang als gegevens van klanten werden gehackt. Daarnaast krijgt het bedrijf een financiële vergoeding voor de gevolgschade. Bijvoorbeeld als een bedrijf door een netwerkincident zijn productie moet vertragen of ziet stilvallen.

Is er ook tussenkomst voor schade aan derden? Bijvoorbeeld als gegevens van klanten uitlekken of als een virus via het bedrijf wordt verspreid naar een andere onderneming?

Sonja Smits : De aansprakelijkheid voor bedrijven is meeverzekerd, zowel voor netwerkincidenten als voor privacy-aangelegenheden. Sommige bedrijven kregen trouwens al een boete wegens het niet afdoende beschermen van consumentengegevens. 

Raf Duyver : Bij phishing moeten we dan weer een onderscheid maken. Als een particulier een overschrijving doet op basis van een valse e-mail, is het bedrijf van wie de identiteit werd misbruikt hiervoor in principe niet verantwoordelijk en komt de verzekering niet tussenbeide. Toch kan een rechter beslissen dat een onderneming hiervan kennis had, maar te weinig deed om zijn klanten ervan op de hoogte te brengen, waardoor het toch aansprakelijk is. Dat wordt wel gedekt.

Hoe zit het met CEO-fraude? Een bediende van Crelan ontving enkele jaren geleden een mail waarin gevraagd werd om discreet een bedrag over te schrijven. Die mail kwam schijnbaar van de baas.

Raf Duyver : Dat kan worden verzekerd in optie.

Dekt de verzekering ook de gevolgen van het kopiëren van belangrijke bestanden door eigen medewerkers? 

Sonja Smits : Het verspreiden van gegevens, zowel digitaal als op papier, is mee verzekerd. De voorwaarde is wel dat aan de basis daarvan een inbraak in het IT-systeem ligt.

Premies volgen omzet