Perbedaan Asuransi Siber dan Garansi Siber

Perbedaan Asuransi Siber dan Garansi Siber – Asuransi siber dan garansi siber sama-sama dapat memberikan dukungan finansial setelah insiden keamanan digital. Namun, keduanya memiliki fungsi, cakupan, dan persyaratan klaim yang berbeda. Memahami perbedaannya membantu perusahaan menghindari celah perlindungan ketika serangan siber terjadi.

Serangan siber tidak hanya mengancam keamanan data, tetapi juga dapat menimbulkan kerugian finansial yang besar. Insiden seperti ransomware, pencurian data, dan pembobolan akun perusahaan dapat mengganggu operasional, memicu biaya pemulihan, serta menimbulkan kewajiban hukum terhadap pelanggan atau mitra bisnis.

Untuk mengelola risiko tersebut, perusahaan dapat mempertimbangkan asuransi siber (cyber insurance) dan garansi siber (cyber warranty). Meskipun namanya terdengar serupa, keduanya bukan produk yang dapat saling menggantikan.

Asuransi siber dirancang untuk menanggung kerugian yang memenuhi ketentuan polis. Sementara itu, garansi siber merupakan komitmen kontraktual yang memberikan manfaat finansial jika insiden tertentu memenuhi pemicu pembayaran dan persyaratan yang telah ditetapkan penyedia.

Apa Perbedaan Asuransi Siber dan Garansi Siber?

Asuransi siber merupakan polis asuransi yang diterbitkan oleh perusahaan asuransi sesuai ketentuan hukum yang berlaku. Cakupannya dapat meliputi berbagai kerugian akibat insiden siber, bergantung pada isi polis, batas pertanggungan, pengecualian, dan ketentuan lainnya.

Setelah insiden terjadi, perusahaan perlu mengajukan klaim. Penanggung akan mengevaluasi kejadian, memeriksa kerugian yang memenuhi syarat, dan menentukan pembayaran berdasarkan ketentuan polis. Nilai pembayaran tidak selalu tetap karena bergantung pada kerugian yang ditanggung dan batas pertanggungan yang tersedia.

Sebaliknya, garansi siber biasanya ditawarkan oleh penyedia solusi keamanan atau mitra garansinya sebagai bagian dari program perlindungan tertentu. Manfaatnya terkait dengan teknologi, layanan, atau kontrol keamanan yang dijamin dalam kontrak. Pembayaran hanya diberikan jika jenis insiden, kondisi keamanan, dan persyaratan klaim sesuai dengan ketentuan program.

Dalam program tertentu, garansi siber memberikan manfaat dengan nilai yang telah ditentukan sebelumnya untuk kejadian yang memenuhi syarat. Namun, batas pembayaran, biaya yang dapat diganti, dan mekanisme klaim berbeda-beda pada setiap penyedia. Karena itu, perusahaan perlu memeriksa kontraknya sebelum mengandalkan garansi tersebut.

Apakah Garansi Siber Bisa Menggantikan Asuransi Siber?

Tidak. Garansi siber umumnya dirancang sebagai pelengkap, bukan pengganti asuransi siber.

Asuransi dapat memberikan perlindungan yang lebih luas terhadap kerugian pihak pertama, yaitu kerugian yang dialami perusahaan sendiri, dan kerugian pihak ketiga, seperti klaim dari pelanggan atau mitra bisnis. Cakupan sebenarnya tetap bergantung pada polis yang dibeli.

Garansi siber biasanya hanya mencakup jenis insiden dan biaya tertentu yang berkaitan dengan solusi keamanan yang dijaminnya. Dengan demikian, tidak semua kerugian akibat serangan siber akan memperoleh penggantian melalui garansi.

Sebagai contoh, perusahaan mengalami serangan ransomware yang menyebabkan sistem operasional berhenti. Perusahaan mungkin perlu membayar biaya investigasi, pemulihan sistem, pemulihan data, dan gangguan bisnis.

Asuransi siber dapat menanggung sejumlah kerugian tersebut jika tercantum dalam polis dan tidak terkena pengecualian. Sementara itu, garansi siber mungkin membantu membayar biaya tertentu yang memenuhi persyaratan program, misalnya biaya yang menjadi tanggungan perusahaan sendiri.

Kedua mekanisme tersebut dapat saling melengkapi, tetapi perusahaan tidak boleh menganggap bahwa seluruh biaya yang tidak dibayar asuransi otomatis akan ditanggung garansi.

Bagaimana Pembayaran Klaim Dilakukan?

Urutan pembayaran bergantung pada ketentuan asuransi, kontrak garansi, serta jenis insiden yang terjadi. Dalam banyak program, perusahaan perlu melaporkan insiden kepada penyedia garansi dan perusahaan asuransi sesegera mungkin sesuai tenggat yang ditetapkan masing-masing.

Ada dua skenario yang perlu dipahami.

1. Insiden tidak memenuhi syarat klaim asuransi

Perusahaan mengalami insiden yang memenuhi ketentuan garansi, tetapi kerugiannya tidak memenuhi syarat pertanggungan asuransi. Dalam situasi ini, penyedia garansi dapat memeriksa apakah kontrol keamanan yang diwajibkan telah dipertahankan dan apakah insiden memenuhi pemicu pembayaran.

Jika klaim disetujui, biaya yang memenuhi syarat dapat diganti sesuai batas dan ketentuan garansi. Namun, jika insiden atau biaya tersebut termasuk pengecualian, perusahaan mungkin tetap harus menanggungnya sendiri.

2. Insiden memenuhi syarat klaim asuransi

Jika insiden juga ditanggung polis asuransi, perusahaan perlu mengikuti proses klaim yang berlaku. Penanggung akan menilai kerugian yang memenuhi syarat, termasuk penerapan deduktibel atau risiko sendiri (deductible), masa tunggu, dan batas pertanggungan jika relevan.

Garansi siber kemudian dapat memberikan manfaat tambahan sesuai kontraknya, misalnya untuk biaya tertentu yang menjadi tanggungan perusahaan. Hal ini tidak berarti garansi selalu membayar setelah asuransi dalam setiap keadaan; urutannya ditentukan oleh ketentuan masing-masing program.

Perusahaan sebaiknya melaporkan insiden kepada kedua penyedia jika diwajibkan atau relevan, meskipun belum memutuskan apakah akan mengajukan klaim penuh. Keterlambatan pemberitahuan dapat memengaruhi hak atas manfaat jika melanggar persyaratan kontrak.

Tidak Semua Insiden Ditanggung Garansi Siber

Salah satu hal terpenting yang harus diperiksa adalah pengecualian. Garansi siber tidak otomatis mencakup semua jenis serangan atau seluruh kerugian yang ditimbulkan.

Misalnya, dalam penipuan business email compromise (BEC), pelaku menyamar sebagai pimpinan atau mitra bisnis untuk meminta karyawan mentransfer uang ke rekening tertentu.

Jika karyawan tertipu dan melakukan transfer tanpa adanya kompromi terhadap jaringan atau akun, insiden tersebut mungkin tidak memenuhi persyaratan garansi yang berfokus pada kegagalan kontrol teknis.

Sebaliknya, jika akun email benar-benar diretas dan kompromi tersebut memenuhi ketentuan program, insiden itu mungkin dapat dipertimbangkan untuk memperoleh manfaat. Hasil akhirnya tetap bergantung pada definisi kejadian yang ditanggung dan pengecualian dalam kontrak.

Selain itu, garansi mungkin tidak mencakup:

Kerugian yang tidak berkaitan dengan teknologi atau kontrol keamanan yang dijamin.
Tanggung jawab hukum terhadap pihak ketiga di luar cakupan program.
Insiden yang terjadi pada sistem yang tidak dilindungi oleh solusi terkait.
Biaya yang tidak termasuk dalam daftar pengeluaran yang memenuhi syarat.
Insiden yang gagal memenuhi persyaratan pelaporan atau ketentuan keamanan.

Pembayaran tebusan ransomware juga tidak boleh diasumsikan otomatis ditanggung. Pembayaran tersebut dapat memerlukan persetujuan terlebih dahulu dan pemeriksaan kepatuhan terhadap hukum yang berlaku, termasuk pembatasan sanksi jika relevan.

Kontrol Keamanan yang Perlu Dipertahankan

Asuransi siber dan garansi siber sama-sama dapat mensyaratkan penerapan kontrol keamanan tertentu. Persyaratan spesifik berbeda-beda, tetapi beberapa praktik berikut lazim menjadi perhatian penyedia perlindungan siber.

Autentikasi multifaktor (MFA). Terapkan MFA pada akun email, akun administrator, dan akses penting lainnya untuk mengurangi risiko pengambilalihan akun.
Perlindungan endpoint. Gunakan solusi keamanan yang dikelola dan dipantau secara aktif pada perangkat yang masuk dalam cakupan perlindungan.
Pemantauan ancaman. Pertimbangkan layanan managed detection and response (MDR) atau kemampuan pemantauan keamanan yang sesuai untuk mendeteksi aktivitas mencurigakan dan mempercepat respons.
Pencadangan data. Lakukan pencadangan secara berkala dan uji pemulihannya. Simpan salinan cadangan yang terlindung dari perubahan atau penghapusan tidak sah, termasuk akibat ransomware.
Manajemen kerentanan. Terapkan pembaruan keamanan berdasarkan tingkat risiko, urgensi, dan tenggat yang ditetapkan kebijakan organisasi maupun kontrak yang berlaku.
Enkripsi data. Lindungi data sensitif dengan mekanisme enkripsi yang sesuai dengan kebutuhan dan standar keamanan organisasi.
Edukasi karyawan. Selenggarakan pelatihan keamanan secara rutin agar karyawan mampu mengenali email berbahaya, penipuan pembayaran, dan upaya pencurian kredensial.
Pengendalian transaksi keuangan. Terapkan verifikasi independen untuk perubahan rekening, permintaan transfer yang tidak biasa, dan transaksi bernilai besar.

Penerapan kontrol tersebut bukan hanya membantu perusahaan memenuhi persyaratan program tertentu, tetapi juga dapat mengurangi kemungkinan dan dampak insiden. Meski demikian, penerapan kontrol tidak menjamin bahwa seluruh klaim akan disetujui atau premi asuransi pasti turun.

Hal yang Harus Diperiksa Sebelum Membeli Garansi Siber

Sebelum memilih garansi siber, perusahaan perlu membaca seluruh ketentuannya dan tidak hanya mengandalkan materi pemasaran. Beberapa pertanyaan penting yang perlu diajukan antara lain:

Berapa batas pembayaran maksimal dan apakah nilainya berlaku per perusahaan, per perangkat, atau per insiden?

Jenis insiden dan biaya apa saja yang memenuhi syarat?
Kontrol keamanan apa yang wajib diterapkan dan dipertahankan?
Apa saja pengecualian yang dapat menyebabkan klaim ditolak?
Berapa lama tenggat pelaporan setelah insiden ditemukan?
Berapa kali klaim dapat diajukan selama masa kontrak?
Apakah garansi membayar sebelum atau sesudah manfaat asuransi lain?
Siapa pihak yang bertanggung jawab memenuhi pembayaran, dan apa status hukum serta ketentuan programnya?
Apakah manfaat berakhir ketika perusahaan mengganti penyedia solusi keamanan?
Apakah seluruh ketentuan garansi tersedia secara tertulis dan mudah diperiksa?

Jawaban atas pertanyaan tersebut membantu perusahaan menilai apakah manfaat garansi sesuai dengan risiko yang ingin dikelola.

Kesimpulan

Asuransi siber dan garansi siber memiliki fungsi yang berbeda, tetapi dapat digunakan secara bersamaan untuk membantu perusahaan menghadapi konsekuensi finansial serangan siber.

Asuransi siber memberikan perlindungan terhadap kerugian yang memenuhi ketentuan polis dengan cakupan yang dapat lebih luas. Garansi siber memberikan manfaat yang lebih spesifik, berdasarkan kejadian, kontrol keamanan, dan persyaratan pembayaran yang ditentukan dalam kontrak.

Keduanya tidak menggantikan kebutuhan untuk membangun pertahanan siber yang kuat. Perusahaan tetap perlu menerapkan kontrol keamanan, menjaga pencadangan data, memantau ancaman, dan menyiapkan prosedur respons insiden.

Pada akhirnya, perlindungan finansial yang efektif bukan sekadar soal memiliki polis atau garansi. Perusahaan perlu memahami apa yang benar-benar ditanggung, apa yang dikecualikan, dan tindakan apa yang wajib dilakukan ketika insiden terjadi.

Baca artikel lainnya: