Orientação para navegar no processo de reivindicações de seguro cibernético
Os eventos cibernéticos estão se tornando mais comum e perturbador às organizações.
Aqueles com a previsão de realizar um seguro cibernético estarão mais bem preparados para responder prontamente a um evento cibernético e protegidos das consequências financeiras mais graves. Eles poderão lidar com crises com eficiência e eficácia, pois terão acesso ao conjunto especializado de serviços de resposta a incidentes de suas seguradoras com descontos por hora e/ou taxas de projeto.
O processo de reclamações cibernéticas nem sempre é intuitivo e fácil de entender. Passos que podem parecer senso comum às vezes podem criar dificuldades de seguro. E os sinistros cibernéticos são muito diferentes de outros tipos de sinistros devido à natureza única do risco e das apólices.
Por isso, é fundamental que as organizações saibam como e quando contratar seguradoras. A recuperação de seguros depende de uma gestão de sinistros adequada. Este guia destina-se a fornecer a estrutura necessária para garantir que seu processo de solicitação de seguro cibernético seja bem-sucedido.
O QUE É UMA RECLAMAÇÃO CIBERNÉTICA?
As políticas cibernéticas são exclusivas porque oferecem cobertura própria e de terceiros. As reclamações cibernéticas de primeira parte são distintas porque geralmente são desencadeadas pela descoberta de um evento de segurança suspeito ou real, exigindo um senso de urgência e acesso imediato a serviços técnicos.
As políticas cibernéticas normalmente cobrem as despesas razoáveis e necessárias para investigar e remediar um incidente coberto, bem como as perdas resultantes da interrupção dos negócios. Tais despesas podem incluir assessores jurídicos — que, dependendo da jurisdição, podem ser referidos pelas seguradoras e na linguagem da apólice como “aconselhamento sobre violação e/ou privacidade” ou linguagem similar — forense e relações públicas.
É extremamente importante lembrar que alguns assuntos podem implicar mais do que apenas uma política cibernética. Por exemplo, um e-mail de phishing resultando em perda de fundos pode implicar uma política cibernética e de crime. Uma ação judicial alegando violações dos direitos de privacidade dos funcionários pode implicar uma política de responsabilidade de práticas cibernéticas e trabalhistas. E um ataque de ransomware pode desencadear uma política de sequestro e resgate.
COMO FUNCIONA O PROCESSO DE REIVINDICAÇÃO DE SEGURO CIBERNÉTICO?
Cada reivindicação de seguro cibernético é única e terá suas próprias nuances. Vários fatores – internos e externos – determinarão como uma reclamação prossegue e quanto tempo o processo levará. Esses fatores podem incluir o tipo de incidente e sua escala, a identidade do agente da ameaça e a própria organização – seu setor, sua infraestrutura de tecnologia de informação e operacional e a robustez de sua resposta a incidentes e planos de continuidade de negócios.
Descrevemos nas próximas páginas as etapas e práticas recomendadas para as organizações considerarem quando confrontadas com uma reivindicação de seguro cibernético. O processo de reclamação geralmente será executado em paralelo com o processo de resposta a incidentes de uma organização.
NOTIFICAR AS SEGURADORAS ASSIM QUE POSSÍVEL
Para preservar os direitos sob a(s) política(s). Esta é muitas vezes uma condição precedente à cobertura sob a apólice – em outras palavras, a seguradora deve saber sobre o incidente e/ou reclamação imediatamente para que possa responder e fornecer benefícios da apólice se o assunto for coberto.
- As despesas com sinistros podem aumentar quando a seguradora não é contratada em tempo hábil. As organizações devem garantir o recebimento de um registro escrito de que a seguradora reconheceu o recebimento da reclamação.
− As seguradoras rotineiramente se recusam a pagar as despesas incorridas antes que o segurado forneça o aviso. Se o segurado fornecer um aviso após a expiração da apólice ou de qualquer período de relatório de expiração da apólice prescrito, a seguradora quase certamente recusará a cobertura para todo o sinistro.
− As organizações às vezes pensam que um assunto pode ser limitado em tamanho e escopo, que pode ser resolvido dentro da política de retenção e que não precisam notificar suas seguradoras cibernéticas. Esse não é o caso da maioria das políticas cibernéticas, que normalmente exigem notificação de todos os eventos cibernéticos assim que possível.
As seguradoras têm experiência significativa com sinistros cibernéticos e geralmente são capazes de fornecer conselhos sobre como outras organizações lidaram com eventos ou agentes de ameaças iguais ou semelhantes.
ERRAR DO LADO DE RELATÓRIOS OPORTUNOS
Em vez de esperar e potencialmente ser completamente impedido de receber cobertura. Além de relatar o sinistro em tempo hábil, as organizações devem garantir que receberam correspondência escrita de suas seguradoras confirmando o recebimento de seus sinistros.
• COLABORE com as seguradoras e OBTENHA CONSENTIMENTO em um curso de ação proposto, retenção de fornecedores, taxas horárias para fornecedores e ofertas de liquidação.
• Um erro comum — e caro — para muitas organizações é contratar consultores jurídicos e fornecedores sem consultar as seguradoras. Muitas apólices dão às seguradoras o direito de indicar fornecedores, enquanto outras permitem que os segurados selecionem fornecedores de um painel de seguradoras. Mesmo que se acredite que um fornecedor esteja no painel de uma seguradora, a comunicação e o consentimento por escrito das seguradoras são cruciais.
• Uma seguradora não pode consentir em manter um fornecedor que não esteja em seu painel; nesta situação, uma seguradora não reembolsará o segurado por quaisquer valores pagos ao vendedor e não reconhecerá que tais pagamentos reduzem a retenção da apólice. Mesmo que uma seguradora concorde com um fornecedor que não esteja em seu painel, ela só pode concordar em pagar uma taxa que seja consistente com o que paga a seus fornecedores de painel – com os segurados obrigados a pagar qualquer diferença.
• COORDENADA com consultores jurídicos para selecionar fornecedores adicionais conforme apropriado, incluindo especialistas forenses, consultores de relações públicas, negociadores de resgate, consultores de TI e empresas de gerenciamento de crises. Se um consultor jurídico lidera o processo de retenção de fornecedores em nome de uma organização segurada, o trabalho dos fornecedores pode ser protegido por certos privilégios e doutrinas, como privilégio advogado-cliente nos EUA.
• COLABORAR com os esforços das seguradoras para avaliar possíveis sinistros e coberturas disponíveis, pois é uma condição das apólices. Isso pode ser feito comunicando-se cedo e frequentemente com as seguradoras sobre o status e o andamento de um assunto e quaisquer ações tomadas em resposta.
• GARANTIR que todos os escopos de trabalho são enviados e aprovados pela seguradora.
• CRONOGRAMA check-in periódico com a seguradora para confirmar se a seguradora tem todas as informações necessárias.
• MANTER registros e documentação detalhados sobre quaisquer perdas de interrupção de negócios.
• ENVOLVA A Lockton para garantir que a reclamação prossiga de forma ordenada.
• QUESTIONE e REVISE as lições aprendidas com o incidente e a resposta que o acompanha.
• Envolva uma CONTABILIDADE FORENSE como lições aprendidas com o incidente e a resposta que o acompanha.
• Quando um evento cibernético resulta em uma interrupção de negócios, certas perdas resultantes são cobertas por muitas políticas cibernéticas. Poucas organizações entendem como apresentar tal reclamação às seguradoras de uma forma que seja paga rapidamente. Contas forenses experientes podem fornecer assistência valiosa aos segurados, ajudando-os a preparar provas de perda, fornecer às seguradoras as informações de que precisam e responder a perguntas de contadores forenses contratados pelas seguradoras para avaliar sinistros.
Alguns custos associados à contratação de um contador forense para auxiliar na quantificação de perdas por interrupção de negócios podem ser cobertos por uma apólice cibernética – é importante verificar com a seguradora e obter a confirmação de que esses custos estão cobertos.
Se o incidente resultar em litígio de terceiros, revise o painel da seguradora para considerar a seleção de consultores jurídicos de litígio, se selecionar consultores jurídicos diferentes daqueles que fizeram parte da resposta ao incidente e notifique as seguradoras sobre quaisquer reclamações de terceiros recebidas.
Perguntas frequentes
QUANTO TEMPO DEMORA O PROCESSO DE RECLAMAÇÃO?
Isso dependerá da complexidade do sinistro e de quaisquer possíveis problemas de cobertura que possam surgir. Uma simples violação de dados pode levar de 9 a 12 meses desde a notificação até a resolução da reclamação, mas o cronograma pode mudar se os fatos descobertos durante a investigação exigirem medidas adicionais de revisão e mitigação. Um ataque de ransomware sofisticado, com perdas resultantes de interrupção de negócios, pode levar de nove meses a dois anos desde a notificação às seguradoras até a resolução do sinistro. Uma ação coletiva por comprometimento de informações de identificação pessoal dependerá inteiramente da jurisdição específica e do processo judicial dessa jurisdição. E uma investigação regulatória prosseguirá com base no cronograma de um regulador.
POR QUE NOSSA ORGANIZAÇÃO DEVE USAR FORNECEDORES DE PAINÉIS?
As seguradoras examinam as qualificações e capacidades das empresas de privacidade antes de permitir que elas participem de seus painéis. As seguradoras também negociam taxas horárias com fornecedores de painéis que são significativamente mais baixas do que o custo para reter esses fornecedores de forma privada.
Além disso, uma firma de painel conhece os requisitos de relatórios e as diretrizes de cobrança da seguradora, para que possam gerenciar amplamente a comunicação com a seguradora e obter consentimento para determinados cursos de ação. Isso não isenta o segurado de suas obrigações, mas pode aliviar alguns dos encargos que, de outra forma, recairiam apenas sobre o segurado ao usar fornecedores que não são do painel.
UMA SEGURADORA CONCORDARÁ EM MANTER UM FORNECEDOR DE ESCOLHA DE NOSSA ORGANIZAÇÃO?
Depende. As seguradoras normalmente não concordam com atribuições fora do painel, a menos que a apólice contenha linguagem que permita tal seleção. Nesses casos, uma seguradora ainda precisará avaliar as qualificações do fornecedor, concordar com uma taxa horária e exigir que o fornecedor cumpra as diretrizes da seguradora para cobrança e relatórios.
Se uma seguradora consentir com a retenção de um fornecedor que não está em seu painel, muitas vezes haverá uma diferença na taxa horária que está sendo cobrada pela empresa e o que será acordado pela seguradora. Essa diferença horária terá de ser suportada pelo segurado.
QUE TIPOS DE EVENTOS DEVEM SER RELATADOS ÀS SEGURADORAS CIBERNÉTICAS?
As organizações seguradas devem relatar às seguradoras quaisquer incidentes de segurança reais ou suspeitos, incluindo ransomware, comprometimento de e-mail comercial e atividade irregular de rede, bem como quaisquer demandas por escrito, acordos de cobrança, demandas de arbitragem, consultas regulatórias e reclamações.
As demandas escritas podem incluir mensagens de texto, e-mails e comunicações em aplicativos de mensagens.
Em caso de dúvida, entre em contato com a Lockton. Trabalharemos com você para determinar suas obrigações de relatório.
POR QUE NOSSA ORGANIZAÇÃO DEVE CONTRATAR UM CONTADOR FORENSE PARA A RECLAMAÇÃO DE INTERRUPÇÃO DE NEGÓCIOS QUANDO TEMOS UM DEPARTAMENTO FINANCEIRO?
Preparar e apresentar a uma seguradora uma prova de perda por interrupção de negócios como resultado de um evento cibernético coberto é um processo altamente especializado e técnico. Os tipos de sinistros apresentados devem ser os sinistros contemplados para cobertura pela apólice. Nem todas as despesas e perdas de interrupção de negócios reivindicadas são cobertas.
Usar um contador forense para preparar a prova de perda oferece à sua organização a melhor chance de uma resolução bem--sucedida de sua reclamação. Um contador forense também será mais capaz de responder às perguntas da seguradora sobre quaisquer perdas reivindicadas.
POR QUE É NECESSÁRIO CONTRATAR CONSULTORES URÍDICOS PARA INVESTIGAR UM INCIDENTE DE SEGURANÇA DA INFORMAÇÃO ANTES DE CONTRATAR OUTROS FORNECEDORES, COMO FORENSE?
Muitas organizações optam por contratar consultores jurídicos antes de contratar quaisquer outros fornecedores, pois algumas comunicações entre organizações, advogados e fornecedores durante o curso de uma investigação podem ser legalmente protegidas contra descobertas em litígios.
E SE MINHA ORGANIZAÇÃO QUISER TRABALHAR COM UM ASSESSOR JURÍDICO E/OU FORNECEDOR ESPECÍFICO?
O melhor curso de ação é envolver seu corretor cibernético antecipadamente e discutir a possibilidade de adicionar fornecedores de sua escolha (por endosso) a uma política. As seguradoras considerarão apenas endossar fornecedores com experiência significativa e com taxas comparáveis às taxas pagas aos seus fornecedores de painéis.
A diferença de reivindicações Lockton
Gerenciar uma reclamação cibernética pode ser difícil, complexo e demorado. As tensões entre as organizações seguradas e outras partes envolvidas no processo de sinistros – incluindo seguradoras – podem se tornar rapidamente tensas, o que só tornará o processo de sinistro mais difícil e poderá impedir uma resolução bem-sucedida. Por esse motivo, é importante envolver profissionais de sinistros experientes desde o início.
A equipe de sinistros da Lockton fornece orientação e suporte de defesa de sinistros quando nossos clientes fazem reivindicações de seguro cibernético. Se houver dúvidas sobre se um assunto deve ser relatado sob uma política cibernética, os profissionais de sinistros da Lockton podem aconselhá-lo e ajudar na denúncia. Se uma seguradora assume uma posição de cobertura questionável, os defensores de sinistros da Lockton são capazes de identificar pontos fracos na posição de cobertura da seguradora e apresentar argumentos que apoiam a cobertura. A Lockton também pode ajudar na apresentação de empresas de painéis e fornecedores, ajudando a estabelecer boas relações de trabalho desde início e permitindo resultados mais favoráveis.
Prática Global Cyber & Tecnologia
Como a maior corretora de seguros independente e de propriedade privada do mundo, a independência da Lockton nos dá a liberdade de ser um defensor forte e flexível, sempre agindo no melhor interesse de nossos clientes, criando uma dinâmica totalmente diferente - focada em seu sucesso. Liderada por uma equipe de primeira linha de corretores e consultores cibernéticos, a equipe global de cibernética e tecnologia da Lockton se dedica a fornecer serviços incomparáveis e programas inovadores para suas necessidades organizacionais.
Apoiado por especialistas em reclamações cibernéticas, ex-profissionais de segurança e técnicos legalmente qualificados, nossa equipe global oferece uma ampla gama de conhecimentos em identificação, proteção e gerenciamento de riscos, bem como entrega de resultados comprovada.
NOSSO ALCANCE GLOBAL GARANTE QUE NOSSOS CLIENTES TENHAM ACESSO AO CONHECIMENTO QUE VEM DE EXPERIÊNCIAS EM VÁRIAS JURISDIÇÕES E INDÚSTRIAS.
