Serangan siber dapat menimbulkan konsekuensi yang jauh melampaui pelanggaran keamanan awal. Serangan ransomware dapat mengganggu operasional selama berhari-hari atau berminggu-minggu. Pelanggaran data dapat memicu biaya investigasi, pemulihan, hukum, pemberitahuan, dan regulasi. Gangguan yang melibatkan penyedia teknologi penting atau pihak ketiga juga dapat menimbulkan kerugian finansial yang signifikan.
Asuransi siber dirancang untuk membantu organisasi mengelola beberapa risiko keuangan ini .
Namun, asuransi siber tidak seharusnya dianggap sebagai pengganti keamanan siber. Keamanan siber bertujuan untuk mengurangi kemungkinan dan dampak suatu insiden, sementara asuransi dapat membantu menanggung sebagian konsekuensi finansial ketika insiden yang ditanggung terjadi.
Apa Itu Asuransi Siber?
Asuransi siber, yang terkadang disebut sebagai asuransi tanggung jawab siber, adalah jenis asuransi yang dirancang untuk membantu organisasi mengelola kerugian finansial yang timbul dari insiden siber yang ditanggung. Tergantung pada polisnya, asuransi ini dapat membantu menanggung kerugian dan biaya yang memenuhi syarat terkait dengan insiden ransomware, pelanggaran data, gangguan bisnis, respons dan perbaikan insiden, pemulihan data dan sistem, serta biaya hukum atau pemberitahuan. Pasar ini juga telah berkembang pesat: Asosiasi Jenewa memperkirakan bahwa premi asuransi siber mandiri global mencapai sekitar US$16 miliar pada tahun 2025, naik dari kurang dari US$1,5 miliar pada tahun 2013 .
Pada intinya, asuransi siber adalah bentuk pengalihan risiko . Sebuah organisasi membayar premi untuk pertanggungan yang mengalihkan sebagian dari potensi dampak finansial dari peristiwa siber tertentu kepada perusahaan asuransi. Keamanan siber, sebagai perbandingan, terutama berfokus pada pengurangan risiko : mencegah serangan sebisa mungkin dan mendeteksi, menahan, serta menanggapi ancaman siber ketika terjadi. Bersama-sama, keduanya dapat membentuk bagian yang saling melengkapi dari strategi manajemen risiko siber yang lebih luas.
Salah satu cara yang berguna untuk memahami hubungan tersebut adalah:
Istilah-istilah Penting Asuransi Siber yang Perlu Diketahui
Sebelum membahas cara kerja asuransi siber dalam praktiknya, ada baiknya memahami beberapa istilah yang sering muncul dalam sebagian besar polis.
| Ketentuan | Arti dalam bahasa Inggris sederhana |
| Premi | Harga yang dibayarkan suatu organisasi untuk perlindungan asuransi. |
| Membatasi | Jumlah maksimum pertanggungan asuransi yang tersedia berdasarkan polis atau cakupan yang relevan. |
| Batasan sublimit | Batas maksimum yang lebih kecil yang berlaku untuk kategori kerugian tertentu dalam batas polis yang lebih luas. |
| Potongan/Retensi | Jumlah kerugian yang ditanggung oleh asuransi mungkin perlu ditanggung sendiri oleh organisasi sebelum atau bersamaan dengan pertanggungan asuransi, tergantung pada polisnya. |
| Pengecualian | Suatu peristiwa, keadaan, atau kategori kerugian yang tidak ditanggung oleh polis. |
| Mengeklaim | Permintaan pembayaran atau manfaat polis lainnya menyusul kerugian yang berpotensi ditanggung. |
Apa Saja yang Dapat Dicakup oleh Asuransi Siber?
Cakupan asuransi siber bervariasi tergantung polisnya, tetapi beberapa kategori kerugian umumnya muncul di seluruh polis siber. Tabel di bawah ini memberikan gambaran praktis tentang apa saja yang mungkin termasuk di dalamnya.
| Kategori kerugian umum | Liputan apa yang dapat membantu mengatasi hal ini? |
| Respons insiden dan forensik | Investigasi, layanan forensik, spesialis penanggulangan pelanggaran data, dan biaya penanggulangan terkait. |
| Gangguan bisnis | Menanggung kerugian pendapatan dan biaya tambahan selama operasional terganggu. |
| Pemulihan data dan restorasi sistem | Memulihkan atau membangun kembali sistem, perangkat lunak, dan data yang terpengaruh. |
| Pemerasan siber | Biaya respons tertentu terkait ransomware atau pemerasan dan, jika sah dan dilindungi undang-undang, pembayaran |
| Biaya privasi, hukum, dan regulasi | Nasihat hukum tertentu, biaya pembelaan, kewajiban privasi, biaya pemberitahuan, dan masalah peraturan. |
| Gangguan bisnis kontingensi | Kerugian tertentu yang diakibatkan oleh gangguan pada penyedia teknologi atau layanan yang tercakup dalam polis. |
Catatan : Ini adalah kategori umum dan bukan jaminan pertanggungan. Apakah kerugian tertentu ditanggung atau tidak pada akhirnya bergantung pada polis dan keadaan kejadian tersebut.
Bagaimana Proses Penilaian Risiko (Underwriting) Bekerja Sebelum Anda Membeli
Membeli asuransi siber bukan sekadar memilih jumlah uang dan membayar premi. Pihak asuransi terlebih dahulu harus memutuskan seberapa besar risiko siber yang bersedia diasuransikan, dengan ketentuan apa, dan berapa harganya. Selama proses penjaminan, pihak asuransi dapat memeriksa faktor-faktor seperti industri organisasi, paparan data, lingkungan teknologi, riwayat kerugian, dan postur keamanan siber . Kematangan dan efektivitas kontrol keamanan juga dapat menjadi bagian dari penilaian tersebut, termasuk area seperti perlindungan identitas, keamanan titik akhir, ketahanan cadangan, dan manajemen akses istimewa.
Marsh melaporkan bahwa penanggung terus mengevaluasi kontrol keamanan siber yang diterapkan oleh organisasi, dan investasi berkelanjutan dalam kontrol yang lebih kuat dipandang positif selama proses penjaminan. Hasilnya dapat memengaruhi premi, batasan yang tersedia, deductible atau retensi, pengecualian, ketentuan , dan berpotensi cakupan yang siap ditawarkan oleh perusahaan asuransi. Hal ini menciptakan hubungan langsung antara kesiapan keamanan siber dan penjaminan asuransi.
Bagi seorang CISO atau tim keamanan, hal itu menjadikan permohonan asuransi lebih dari sekadar formulir administratif. Ini juga merupakan kesempatan untuk bertanya:
Dari Insiden hingga Pembayaran: Seperti Apa Alur Kerja Klaim?
Proses pastinya bervariasi tergantung perusahaan asuransi dan polisnya, tetapi alur kejadian dan klaim yang disederhanakan mungkin terlihat seperti ini:
- Temukan: Identifikasi atau curigai adanya insiden siber.
- Beri tahu: Beri tahu perusahaan asuransi atau broker sesuai dengan persyaratan polis.
- Investigasi & Tanggapi: Amankan bukti yang relevan, tentukan cakupan dan dampak insiden, atasi ancaman, dan koordinasikan respons.
- Pulihkan: Pulihkan sistem dan operasional bisnis yang terpengaruh.
- Penyelesaian Klaim: Dokumentasikan kerugian dan pengeluaran yang terkait dengan insiden tersebut dan berikan informasi yang dibutuhkan agar pihak asuransi dapat menilai cakupan dan menyelesaikan klaim.
Dalam praktiknya, beberapa aktivitas ini mungkin tumpang tindih, itulah mengapa pemberitahuan dini sangat penting . Organisasi harus memahami persyaratan pemberitahuan kebijakan mereka terlebih dahulu, menyimpan bukti yang relevan seperti log, dan mengetahui apakah kebijakan tersebut mewajibkan atau merekomendasikan penyedia respons insiden tertentu.
Respons tersebut dapat melibatkan penyelidik forensik, penasihat hukum, spesialis regulasi, profesional hubungan masyarakat, akuntan forensik, tim keamanan, dan spesialis lainnya tergantung pada sifat insiden tersebut. Dengan kata lain, klaim asuransi siber jarang hanya sekadar "kirim tagihan ke perusahaan asuransi". Investigasi, dokumentasi, ketentuan polis, dan koordinasi antara tim keamanan, manajemen, penasihat hukum, broker, perusahaan asuransi, dan pihak yang merespons semuanya sangat penting.
Di Mana Cakupan Asuransi Dapat Mengejutkan Pembeli
Kesalahan umum adalah berasumsi bahwa "kami memiliki asuransi siber" berarti "kerugian siber kami ditanggung."
Setiap polis memiliki batasan. Masalah umum yang perlu diselidiki meliputi insiden yang diketahui terjadi sebelum polis diterbitkan, tindakan yang disengaja atau curang, kewajiban kontraktual, sanksi peraturan yang secara hukum tidak dapat diasuransikan, dan kategori kerugian yang dikecualikan atau tunduk pada sublimit yang ketat. Pemberitahuan yang terlambat atau kegagalan untuk mematuhi ketentuan polis juga dapat menimbulkan masalah cakupan.
Pemerasan patut mendapat perhatian khusus. Biaya yang terkait dengan ransomware dapat termasuk dalam ketentuan pemerasan siber atau kejahatan siber, tetapi batasan sub-limit, pengurangan biaya, persyaratan persetujuan, dan pembatasan hukum atau sanksi yang terpisah dapat berlaku.
Ketergantungan pihak ketiga dapat menimbulkan kejutan serupa. Polis mungkin mencakup kerugian gangguan bisnis tertentu yang disebabkan oleh pemadaman di penyedia teknologi, tetapi perlindungan gangguan bisnis kontingen mungkin terbatas pada pemasok, peristiwa, atau keadaan tertentu. Kerugian lain mungkin berada di luar cakupan pertanggungan siber standar sama sekali. Misalnya, Munich Re mencatat bahwa asuransi siber tradisional umumnya tidak mencakup kerusakan properti yang disebabkan oleh peristiwa siber kecuali risiko tersebut secara khusus ditangani melalui solusi pertanggungan lain atau yang disesuaikan.
Langkah Praktis Selanjutnya
Petakan program ketahanan siber Anda saat ini terhadap kedua sisi persamaan tersebut. Tanyakan risiko mana yang dikurangi oleh kontrol keamanan siber Anda, risiko keuangan residual mana yang ingin Anda alihkan, dan apakah pengaturan asuransi Anda selaras dengan cara organisasi Anda akan benar-benar menanggapi suatu insiden.
Artinya, Anda perlu memahami kewajiban polis Anda dan kontrol keamanan siber yang diharapkan untuk Anda pertahankan. Hal ini juga menciptakan peluang untuk mempertimbangkan operasi keamanan siber dan perlindungan finansial secara bersamaan , bukan sebagai bagian yang sepenuhnya terpisah dari ketahanan siber. Bagi pelanggan Athena MDR yang memenuhi syarat, MDR Assurance menambahkan perlindungan finansial yang didukung asuransi untuk insiden keamanan yang memenuhi syarat, membantu mengurangi dampak finansial dari serangan siber. Persyaratan kelayakan, ketentuan, dan batasan polis berlaku.
Sumber
- Asosiasi Jenewa — Memperkuat Ketahanan Siber Melalui Asuransi
- Marsh — Pembaruan Pasar Asuransi Siber AS: Tarif Menurun, Ancaman Berkembang
- Munich Re — Kerusakan Fisik Akibat Serangan Siber: Risiko yang Diremehkan di Era Otomatisasi dan Digitalisasi
Artikel ini hanya memberikan informasi umum dan bukan dimaksudkan sebagai nasihat asuransi atau hukum. Cakupan, kelayakan, batasan, pengecualian, dan hasil klaim bergantung pada ketentuan polis yang berlaku, keadaan individu, dan yurisdiksi.
