O seguro de ciber risco é frequentemente mal compreendido. Não é uma apólice que paga o resgate e encerra o assunto: é, antes de tudo, um contrato de acesso imediato a uma equipa especializada nas primeiras horas de um incidente, que são as que determinam o custo final.
O que está tipicamente coberto
- Resposta a incidentes: peritagem forense, contenção, recuperação de sistemas e apoio na negociação.
- Perdas de exploração: a margem perdida durante a paragem dos sistemas, normalmente após um período de espera de 8 a 24 horas.
- Reconstituição de dados: o custo de recuperar ou reconstruir informação e software.
- Responsabilidade perante terceiros: reclamações de clientes cujos dados foram comprometidos.
- Notificação e defesa regulatória: custos de comunicar à autoridade de controlo e aos titulares e de defesa em processos.
- Comunicação de crise: assessoria de comunicação e gestão reputacional.
O que costuma ficar de fora
Incidentes anteriores à data de início do contrato; falhas conhecidas e não corrigidas; ausência das medidas de segurança declaradas na proposta (autenticação multifator, cópias de segurança testadas, sistemas suportados); perdas por engenharia social pura, salvo contratação da cobertura específica de fraude informática; e perda de valor de propriedade intelectual.
O ponto que exige mais atenção
A declaração de segurança apresentada na subscrição é parte integrante do contrato. Declarar autenticação multifator que não está efetivamente implementada, ou cópias de segurança que nunca foram testadas, compromete a cobertura no momento em que ela é necessária. Preencher esse questionário com rigor é tão importante quanto contratar a apólice.
Negociar antes do sinistro
O período de espera das perdas de exploração, a inclusão de falha de fornecedor cloud, a retroatividade e a existência de um número de emergência 24 h com resposta em português são pontos negociáveis na subscrição e impossíveis de corrigir depois do ataque.
