Las organizaciones pequeñas y sin fines de lucro poseen datos que realmente vale la pena robar: nombres de donantes vinculados al historial y detalles de pago, registros de clientes y pacientes, archivos de empleados con números de Seguro Social e información de depósito directo, y la cuenta de correo electrónico de quien aprueba los pagos. Los atacantes no eligen objetivos por prestigio. Eligen según la oportunidad, y una organización ágil con una contraseña compartida, un servidor sin parches y sin personal de TI dedicado es un objetivo más fácil que un banco.
El ciberseguro es la cobertura que responde cuando algo sale mal. También es la cobertura en la que la aplicación en sí se ha convertido en parte del producto, porque las aseguradoras ahora respaldan los controles de seguridad que usted implementa antes de ofrecer condiciones. Este artículo cubre lo que hace la cobertura, en qué se diferencian las dos mitades, el escenario de fraude que detecta a la mayoría de las organizaciones y lo que suscriptores espera ver. Encaja en el programa más amplio descrito en nuestro centro de seguros sin fines de lucro.
Las exposiciones que realmente aparecen
Cuatro patrones explican la mayor parte de lo que experimentan las pequeñas organizaciones:
- Ransomware y cifrado del sistema. Los archivos y sistemas se bloquean, a menudo después de que el atacante ha explorado silenciosamente la red durante días. Las copias de seguridad suelen ser el primer objetivo, específicamente por lo que pagar parece la única opción. CISA DetenerRansomware La orientación es la base práctica para la prevención y la respuesta.
- Compromiso del correo electrónico empresarial. Alguien accede a una cuenta de correo electrónico, normalmente a través de una página de phishing, y la lee en silencio. Aprenden cómo se aprueban las facturas y quién las aprueba, y luego se insertan en la conversación. El FBI Centro de denuncias de delitos en Internet es donde se informan, y la velocidad importa: a veces se puede recuperar un cable atrapado en cuestión de horas.
- Robo y exposición de datos. Los registros de donantes, clientes o empleados abandonan la organización, ya sea a través de una intrusión, una carpeta en la nube mal configurada, una computadora portátil perdida o una infracción de un proveedor.
- Compromiso entre proveedor y plataforma. Se viola el CRM, el proveedor de nómina o el proveedor de TI del donante y sus datos están en él. La obligación de notificar a las personas afectadas normalmente sigue recayendo en su organización.
Organizaciones que prestan servicios bajo obligaciones de confidencialidad, incluidas aquellas en salud mental y servicios humanos, conllevan una capa adicional, porque el mismo evento puede desencadenar obligaciones regulatorias además de la respuesta ordinaria a la infracción.
Respuesta a infracciones frente a responsabilidad de terceros
Las pólizas cibernéticas cumplen dos funciones diferentes, y combinarlas es la razón por la que las organizaciones se sorprenden por lo que se paga y lo que no.
La cobertura de primera persona paga sus costos. Sujeto a los términos de la póliza, esto generalmente incluye:
- Respuesta a incidentes, asesoría legal y forense especializada en asuntos de incumplimiento.
- Determinar quién se vio afectado y qué notificación exige la ley
- Notificar a las personas afectadas, además de monitorear el crédito o la identidad cuando se ofrezca
- Restaurar datos corruptos y reconstruir sistemas
- Pérdida de ingresos y gastos adicionales mientras se interrumpen las operaciones
- Los costos de la extorsión cibernética, incluida la negociación del rescate, sujetos a la ley de sanciones, porque pagar a un grupo por OFAC La lista puede ser en sí misma una violación, independientemente de las circunstancias.
- Apoyo en comunicaciones de crisis y relaciones públicas.
La cobertura de terceros paga por los reclamos presentados en su contra. Por lo general, esto incluye responsabilidad de privacidad, responsabilidad de seguridad de la red, costos de defensa regulatorios y multas cuando sean asegurables por ley, responsabilidad de los medios por reclamos relacionados con el contenido y evaluaciones derivadas de obligaciones con tarjetas de pago si acepta donaciones con tarjetas.
El lado propio es la parte que más utilizan las organizaciones. Las obligaciones de notificación están establecidas por la ley estatal y por reglas específicas del sector donde se aplican, se aplican incluso cuando nadie ha resultado herido todavía, y el trabajo forense necesario para determinar el alcance no es algo que una organización pequeña pueda realizar por sí sola. Con frecuencia, contar con un asesor experimentado en infracciones en la primera hora es lo más valioso que ofrece la póliza.
Fraude en transferencias de fondos: el reclamo que cae entre pólizas
La pérdida más común que reportan las pequeñas organizaciones no es el cifrado. Se trata de dinero enviado intencionalmente a un delincuente, porque la solicitud parecía legítima. Un empleado de finanzas recibe un correo electrónico que parece provenir del director ejecutivo aprobando una transferencia urgente. Un proveedor envía por correo electrónico datos bancarios actualizados antes de un pago programado. Un depósito directo de nómina se redirige silenciosamente.
Aquí es donde la cobertura se vuelve técnica y donde es importante leer la póliza:
- Fraude de ingeniería social cubre pérdidas en las que un empleado fue engañado para transferir fondos voluntariamente. Muy a menudo es un sublímite, muy por debajo del límite principal de la póliza, y puede estar condicionado a disponer de un procedimiento de verificación como una devolución de llamada a un número conocido.
- Fraude en transferencias de fondos y el fraude informático normalmente se refiere a transferencias no autorizadas realizadas sin la participación de un empleado.
- Robo de empleados normalmente es un delito comercial importante en lugar de uno cibernético, y las organizaciones que manejan donaciones en efectivo o administran fondos de clientes deben tener ambos.
Dos organizaciones pueden tener un "seguro cibernético" y obtener respuestas muy diferentes ante la misma pérdida por fraude electrónico. Confirme cuáles de estos incluye su programa, con qué límite y qué condiciones se aplican. Es uno de los elementos específicos que vale la pena revisar durante un auditoría anual de seguros.
Lo que espera ahora Los suscriptores
Cyber suscripción cambió sustancialmente. Las solicitudes solían ser breves. Ahora los proveedores hacen preguntas de control detalladas y las respuestas afectan si se ofrece o no cobertura. Espere que le pregunten sobre:
- Autenticación multifactor, especialmente en correo electrónico, acceso remoto, VPN y cuentas administrativas. Este es el control más comúnmente requerido y un "no" aquí puede terminar la conversación.
- Copias de seguridad que están probados, versionados y mantenidos fuera de línea, inmutables o segregados de otro modo de la red principal, junto con si alguna vez ha practicado una restauración.
- Detección y respuesta de endpoints o un servicio de detección gestionado, en lugar de un antivirus de consumo únicamente.
- Software de parcheo y fin de vida útil, incluidos sistemas operativos no compatibles y servidores que aún se ejecutan porque un programa depende de ellos.
- Filtrado de correo electrónico y controles que señalan remitentes externos o dominios similares.
- Gestión de acceso privilegiado, lo que significa que los derechos de administrador son limitados y el trabajo diario no se realiza en una cuenta de administrador.
- Capacitación en concientización sobre seguridad. y phishing simulado para el personal y, cuando corresponda, los voluntarios con acceso al sistema.
- Un plan escrito de respuesta a incidentes. que nombra a quién llamar, en qué orden.
- Exposición de escritorio remoto, que suscriptores espera que esté cerrado o protegido.
- Gestión de proveedores, incluidos qué terceros poseen sus datos.
Responda estas con sinceridad. Las solicitudes se tratan cada vez más como garantías, y describir un control que en realidad no se tiene es una manera rápida de convertir un reclamo cubierto en una disputa de cobertura. Si no puede responder afirmativamente a la autenticación multifactor y a las copias de seguridad fuera de línea probadas, arreglar esos dos elementos suele ser el trabajo de mayor valor disponible, esté asegurado o no.
Pasos prácticos antes de la conversación de renovación
No necesita un departamento de TI para lograr un progreso significativo:
- Active la autenticación multifactor para el correo electrónico y cualquier sistema que contenga datos de donantes, clientes o empleados.
- Escriba una regla de verificación para cambios de pago: cualquier solicitud para cambiar datos bancarios o enviar una transferencia urgente se confirma por teléfono a un número que ya está registrado, nunca a un número en el correo electrónico.
- Confirme que tiene una copia de seguridad que un atacante con su contraseña de administrador no pudo eliminar y pruebe a restaurarla.
- Inventario donde residen los datos confidenciales, incluidas hojas de cálculo en computadoras portátiles individuales y unidades compartidas que nadie ha limpiado en años.
- Limite quién puede mover dinero y quién tiene acceso administrativo, luego revise esa lista.
- Registre a quién llamaría en la primera hora de un incidente.
Programas que aceptan pagos y administran listas en línea, desde desarrollo juvenil a alimentación y nutrición Las organizaciones tienden a acumular más datos de los que esperan los líderes, precisamente porque recopilarlos es una rutina.
¿Qué exige realmente la ley de notificación aquí?
La notificación de incumplimiento es una obligación de la ley estatal, se adjunta a la datos en lugar de a su presupuesto, y depende del lugar donde vive la persona afectada, por lo que una organización de Kansas City con donantes en ambos lados de la línea trabaja rutinariamente bajo dos estatutos a la vez.
Missouri (RSMo 407.1500) requiere notificación a cualquier residente de Missouri afectado. "Información personal" significa un nombre combinado con un elemento de datos no cifrado y no redactado: número de Seguro Social, identificación gubernamental, una cuenta financiera o número de tarjeta junto con su código de seguridad, información médica o de seguro de salud, o un identificador electrónico único con sus credenciales de acceso. Dos detalles que las organizaciones pasan por alto:
- Notifique a más de 1,000 consumidores a la vez y también debe notificar al Procurador General y a todas las agencias de informes del consumidor.
- Si concluye que un incumplimiento no representa una probabilidad razonable de daño y, por lo tanto, no lo notifica, debe documentar esa determinación y conservarla durante cinco años. una decisión no notificar es en sí mismo un registro que hay que poder producir.
Kansas (K.S.A. 50-7a02) se activa una vez que una investigación determina que se ha producido o es razonablemente probable que se produzca un uso indebido de la información, y requiere notificación lo antes posible y sin demoras injustificadas. Se aplica el mismo umbral de 1000 consumidores para notificar a las agencias de informes del consumidor a nivel nacional.
Las reglas del sector se encuentran por encima de ambos: las organizaciones que son entidades o socios comerciales cubiertos por HIPAA también trabajan bajo la regla federal de notificación de incumplimiento. La FTC Guía de respuesta a la filtración de datos es un tutorial de la secuencia en inglés sencillo.
El punto práctico: la pregunta forense "¿de quién son los datos, en qué estados?" es lo que determina tus obligaciones legales, y responderla es caro. Esa determinación es un costo cibernético propio, razón por la cual la cobertura es importante incluso para las organizaciones que se consideran demasiado pequeñas para ser objetivos.
Preguntas frecuentes
Somos una pequeña organización sin fines de lucro sin personal de TI. ¿Somos realmente un objetivo? La focalización es automatizada y oportunista en lugar de selectiva. Los atacantes buscan acceso remoto expuesto, sistemas sin parches y cuentas sin autenticación multifactor, y luego actúan según las respuestas. Una organización ágil que tenga registros de donantes, archivos de nómina y una contraseña compartida es un objetivo más fácil que un banco, pero no menos interesante.
¿Nuestra póliza responsabilidad civil general cubre una violación de datos? Generalmente no. Los formularios responsabilidad civil general modernos incluyen exclusiones de datos electrónicos y de acceso o divulgación de información confidencial. Supongamos que la respuesta es no, a menos que un ciber endoso diga lo contrario.
Un miembro del personal transfirió dinero a un proveedor falso. ¿Está eso cubierto? Eso depende más de la redacción que de la etiqueta de la póliza. Las transferencias voluntarias inducidas por engaño caen bajo el fraude de ingeniería social, que frecuentemente es un sublímite muy por debajo del límite de la póliza y puede requerir que se haya implementado un procedimiento de verificación mediante devolución de llamada. Las transferencias no autorizadas sin la participación de empleados se consideran transferencias de fondos o fraude informático. Comprueba cuáles tiene tu programa y en qué límite.
¿Tenemos que notificar si la infracción se produjo en nuestro proveedor y no en nosotros? Generalmente sí. Las obligaciones de notificación generalmente corresponden a la organización propietaria de la relación de datos, no a aquella cuyos sistemas fallaron. El incumplimiento del CRM de su donante o del proveedor de nómina sigue siendo su obligación de notificación, por lo que vale la pena revisar los contratos del proveedor y el seguro del proveedor.
¿Se puede denegar un reclamo sobre lo que ponemos en la solicitud? Sí, y es la disputa cibernética de más rápido crecimiento. Las aplicaciones ahora plantean preguntas de control detalladas y cada vez más se tratan como garantías. Decir que la autenticación multifactor está habilitada en todas partes cuando cubre solo algunas cuentas puede anular la cobertura del reclamo exacto que debía pagar.
¿Qué dos cambios vale la pena hacer primero? Autenticación multifactor en correo electrónico y en cualquier cosa que contenga datos de donantes, clientes o empleados; y una copia de seguridad que un atacante que tuviera su contraseña de administrador no pudo eliminar, desde la cual realmente ha probado restaurar. Esos dos responden a la mayoría de las preguntas de suscripción y evitan la mayoría de las pérdidas.
¿Está cubierto el pago de un rescate? A menudo, sujeto al sublímite de extorsión y a la ley de sanciones. Los pagos a entidades sancionadas están prohibidos independientemente de la cobertura, que es una de las razones por las que el abogado de incumplimiento de la póliza y el panel de negociación son más importantes que el límite en dólares.
Obtener la cobertura adecuada
Cyber no es una compra independiente. Se coordina con cobertura criminal por robo de fondos, con responsabilidad profesional cuando se alega una falla en el servicio, y con D&O donde se cuestiona la supervisión de la seguridad de los datos por parte de la junta. Definir los límites correctos es exactamente el tipo de brecha que lista de verificación de seguros sin fines de lucro está diseñado para salir a la superficie.
Si desea una lectura directa de su actual cobertura de responsabilidad cibernética, incluidos los sublímites, la redacción de la transferencia de fondos y lo que realmente justificaba su solicitud, solicitar una revisión o contacta con nuestro equipo.