Audyt cyberbezpieczeństwa dla firmy ubezpieczeniowej: prewencja

Co zagraża firmie ubezpieczeniowej i danym jej klientów, jakie luki są typowe i co sprawdza jednodniowy audyt.

Audyt wykonuje osobiście Radek Rzążewski. Ostatnia aktualizacja: 19 października 2026 r.

Spis treści

1. Dlaczego firmy ubezpieczeniowe są na celowniku

Firmy ubezpieczeniowe, agencje i pośrednicy przechowują dane osobowe i finansowe, a czasem także medyczne oraz historię szkód. To przyciąga zarówno grupy ransomware, jak i oszustów podszywających się pod klientów.

• Phishing i wyłudzenia przelewów (BEC): ktoś podszywa się pod klienta, agenta lub likwidatora szkód, żeby przejąć korespondencję i zmienić rachunek do wypłaty.
• Ransomware z kradzieżą danych: złośliwe oprogramowanie blokuje systemy (likwidacji szkód, bazę klientów, portale agentów), a atakujący grożą publikacją skradzionych danych.
• Ataki na połączenia między systemami: błędy w portalach partnerskich i w połączeniach z bankami lub placówkami medycznymi.
• Konta wspólne i brak MFA (dodatkowego potwierdzania logowania) w oddziałach oraz zbyt wolne usuwanie dostępów po odejściu agentów.
• Dostawcy i podwykonawcy (call center, firmy likwidacyjne, dostawcy oprogramowania): najsłabsze ogniwo może otworzyć drogę do danych.
• Wyłudzenia przez telefon: „pilne wypłaty”, „aktualizacje polis”, fałszywe faktury za reasekurację.

2. Audyt cyberbezpieczeństwa: na czym to polega

Jednodniowy audyt łączy przegląd techniczny z oceną procedur. Skupiam się na ciągłości pracy i ochronie danych, które wymagają szczególnej ostrożności. Zakres jest dopasowany do małej firmy lub agencji. Duże organizacje z rozbudowaną infrastrukturą wymagają szerszego przeglądu niż jednodniowy.

• Sieć i dostęp: podział sieci na osobne części, zapora sieciowa (firewall), kontrola dostępu do połączeń między systemami.
• Konta i uprawnienia: MFA, jedno logowanie do wielu systemów, uprawnienia dopasowane do ról, przegląd dostępów i szybkie usuwanie dostępów agentów i pośredników.
• Komputery i serwery: aktualizacje, program ochronny, szyfrowanie dysków, kontrola urządzeń zewnętrznych.
• Dane i kopie zapasowe: gdzie leżą dane osobowe, medyczne i finansowe, szyfrowanie, zasada 3-2-1 (w tym kopia niemodyfikowalna) i próby odtworzenia.
• Poczta i domena: SPF, DKIM i DMARC (ustawienia utrudniające podszywanie się pod adres firmy), ochrona przed podszywaniem się i sprawdzanie załączników.
• Procedury i ciągłość pracy: plan reagowania na incydent, plan ciągłości działania (co robić, gdy system nie działa), plan odtwarzania i instrukcja na wypadek ransomware.
• Dostawcy i podmioty zewnętrzne: kto ma dostęp do systemów i jakie zapisy o bezpieczeństwie są w umowach.
• Zespół: szkolenie z phishingu, potwierdzanie przelewów i wypłat przez dwie osoby, sprawdzanie tożsamości klienta.

Efektem jest raport z priorytetami: szybkie poprawki do zrobienia od razu, plan na kolejne tygodnie i lista kontrolna do utrzymania poziomu bezpieczeństwa.

3. Typowe luki w firmach ubezpieczeniowych

Typowe problemy w firmach ubezpieczeniowych:

• Brak MFA lub bezpiecznego logowania do kluczowych systemów (likwidacja szkód, baza klientów, portale agentów) i przestarzałe połączenia VPN.
• Sieć zbyt płaska: te same uprawnienia w biurze, w call center i w systemach szkód.
• Nieaktualne serwery i oprogramowanie, brak regularnych skanów podatności.
• Słabe zabezpieczenie poczty i domeny: brak lub słaby DMARC, brak sprawdzania załączników, łatwe podszywanie się pod pracownika.
• Kopie zapasowe bez zasady 3-2-1, bez kopii niemodyfikowalnej i bez regularnych prób odtworzenia.
• Zbyt szerokie uprawnienia i rzadkie przeglądy dostępów.
• Braki w planach reagowania i ciągłości działania: plany niespójne i nigdy niećwiczone.
• Ryzyko dostawców: umowy bez zapisów o bezpieczeństwie i bez przeglądu ich dostępów.
• Brak zasad weryfikacji zmian rachunku wypłaty i zatwierdzania dużych przelewów i odszkodowań.

Większość tych luk da się szybko usunąć. Audyt wskaże, co zrobić od razu, a co zaplanować.

4. RODO i wymogi nadzorcze

Firmy ubezpieczeniowe podlegają RODO, a w zależności od rodzaju i wielkości podmiotu także wymogom nadzorczym, w tym wytycznym KNF dotyczącym m.in. technologii informatycznych, zarządzania ryzykiem i ciągłości działania. Do tego dochodzą wymagania umów z reasekuratorami i partnerami.

• Ograniczanie ilości danych i podział na rodzaje (osobowe, medyczne), szyfrowanie danych przechowywanych i przesyłanych oraz zabezpieczenia przed wyciekiem.
• Zapisywanie zdarzeń w systemach i ich analiza, czas przechowywania logów, wykrywanie nietypowych działań.
• Plany reagowania, ciągłości działania i odtwarzania: jasne role, ćwiczenia i ustalenie, ile danych i czasu można stracić w procesach likwidacji szkód i sprzedaży.
• Ryzyko dostawców: ocena, przeglądy, zapisy w umowach i prawo do testów.
• Dokumentacja zasad, przeglądy uprawnień i usuwanie dostępów agentów i partnerów.

Audyt pokazuje luki techniczne, które mogą mieć znaczenie przy kontroli, i daje plan ich usunięcia. Nie jest oceną zgodności z przepisami i nie zastępuje opinii prawnika ani osoby odpowiedzialnej za zgodność.

5. Dlaczego warto zrobić to przed incydentem

Incydent to koszty bezpośrednie (przestój, odtworzenie systemów, ewentualne kary) i pośrednie (spadek zaufania, odejścia klientów, możliwe wyższe koszty reasekuracji). MFA, podział sieci, skuteczne kopie zapasowe i przegląd uprawnień ograniczają ryzyko i skracają czas dojścia do sprawności po ataku.

1-dniowy przegląd cyberbezpieczeństwa firmy ubezpieczeniowej

Chcesz szybko ocenić poziom ochrony i zgodności przed sezonem polis lub przeglądem KNF? Mój 1-dniowy audyt IT dla firm ubezpieczeniowych obejmuje:

• Przegląd architektury: segmentacja, dostęp zdalny, ochrona poczty i portali agentów
• Weryfikację tożsamości i dostępu: SSO/MFA, role i recertyfikację uprawnień
• Ocenę bezpieczeństwa danych: szyfrowanie, DLP, backup 3-2-1 z kopią niemodyfikowalną
• Kontrolę procesów: IRP/BCP/DRP, procedury BEC i wypłat, offboarding partnerów
• Rekomendacje „na już” + plan średnioterminowy, gotowy do wdrożenia

Opracowanie: AudytBiura.pl, bezpieczeństwo IT dla firm ubezpieczeniowych. Aktualizacja: 19.10.2026 r.

Zobacz też

• Audyt dla firmy ubezpieczeniowej: zakres i cena
• Phishing w firmie: sygnały ostrzegawcze + checklista
• Backup 3-2-1 dla MŚP
• Audyt cyberbezpieczeństwa w 1 dzień