Seguro cyber e exposição à LGPD em Porto Alegre

O que o seguro cyber cobre: as duas pernas que a empresa confunde

Seguro cyber, ou seguro de riscos cibernéticos, responde por duas coisas distintas, e tratá-las como uma só é a origem de quase toda surpresa na regulação. A primeira perna é o dano próprio: a sua operação parada, o dado destruído, o sistema que precisa ser reconstruído, a perícia para entender o que aconteceu. A segunda perna é o dano a terceiro: a responsabilidade civil por dado de cliente, de fornecedor ou de empregado que vazou da sua mão. São gatilhos diferentes, limites normalmente diferentes e, com frequência, sublimites próprios. Antes de qualquer lista, um aviso que vale para toda esta página: cyber não tem clausulado padronizado, cada seguradora redige o seu, e os nomes comerciais das coberturas não coincidem entre propostas. O que segue é o que o mercado costuma praticar; o que vale no seu caso é o clausulado da apólice emitida. Esta seção trata da primeira perna.

• Costuma cobrir: a interrupção da operação por indisponibilidade de sistema decorrente de um incidente coberto, nas condições e no período de indenização do clausulado
• Costuma cobrir: a perda de receita e a despesa extra para voltar a operar durante a indisponibilidade
• Costuma cobrir: a recuperação e a recriação de dado e de sistema — o trabalho técnico de reconstruir o que foi criptografado, apagado ou corrompido
• Costuma cobrir: a perícia forense digital, que é o que diz o que entrou, por onde, quando e quais dados foram alcançados
• Costuma cobrir: o honorário da equipe de resposta a incidente, acionada nas primeiras horas
• Costuma ser oferecida como cobertura de extorsão cibernética: a negociação e, conforme o clausulado, o próprio pagamento exigido, em regra condicionado a autorização prévia da seguradora
• Normalmente fica fora: o dano ao equipamento físico — servidor, notebook, nobreak queimado é seguro empresarial ou de equipamentos eletrônicos, não cyber
• Normalmente fica fora: a melhoria do sistema depois do incidente. A apólice costuma repor o que existia, não financiar a modernização que a empresa adiou
• Normalmente fica fora ou vem limitado: a indisponibilidade causada por falha do seu fornecedor de nuvem ou de software, que depende de cobertura específica e do que o clausulado chama de risco de dependência técnica
• Ponto a conferir: o período de carência antes de a interrupção começar a contar, e por quanto tempo ela é indenizada

A segunda perna: o dado de terceiro, a defesa e o custo de notificar

Quando o dado que vazou é de outra pessoa, o problema deixa de ser só técnico. Entram a reclamação do titular, a ação judicial, o procedimento administrativo, a notificação de quem foi afetado e a imprensa. Essa perna da apólice não repõe nada seu: ela responde pelo que você passa a dever a terceiro e pelo custo de administrar o episódio. É a perna mais parecida com uma apólice de responsabilidade civil, e boa parte do mecanismo é o mesmo da RC Profissional, inclusive a forma de emissão.

• Costuma cobrir: a indenização devida a terceiro pelo dano decorrente do vazamento ou do uso indevido de dado sob a sua responsabilidade, nos limites contratados
• Costuma cobrir: as despesas de defesa, judicial e extrajudicial, inclusive em procedimento administrativo, conforme o clausulado
• Costuma cobrir: o custo operacional de notificar os titulares afetados — identificar quem são, montar a comunicação, operar o canal de atendimento que o volume de perguntas exige
• Costuma cobrir: a gestão de crise e a comunicação pública, quando contratada
• Costuma ser oferecida como adicional: monitoramento de crédito e serviços de apoio aos titulares afetados, prática mais comum quando o dado vazado é sensível
• Normalmente fica fora: a sanção administrativa de caráter punitivo, tratada mais abaixo
• Normalmente fica fora: dolo, fraude e ato deliberado de quem dirige a empresa
• Ponto a conferir, como no E&O: se a apólice é emitida em base de reclamação, qual a retroatividade e se a defesa consome o limite ou corre por fora dele
• Ponto a conferir: se o clausulado alcança o dado tratado por fornecedor seu — a terceirização do processamento não costuma transferir a sua responsabilidade

Onde a LGPD entra: comunicar o incidente e reparar o dano

A LGPD é a Lei 13.709/2018, e três dispositivos dela explicam por que um incidente custa mais do que o conserto. O art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acesso não autorizado e de situação acidental ou ilícita de destruição, perda, alteração ou comunicação indevida. O art. 48 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares — e o § 1º lista o que a comunicação precisa conter no mínimo, em prazo razoável conforme definido pela autoridade nacional. E o art. 42 diz que o controlador ou o operador que, em razão do tratamento, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo. Repare no que isso significa operacionalmente: a lei transforma o incidente em um dever de produzir informação precisa, rápido, sobre fatos que a empresa ainda não conhece. É esse dever que consome dinheiro antes de existir qualquer processo.

• Art. 48, § 1º: a comunicação deve mencionar, no mínimo, a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente, os motivos da demora quando ela não foi imediata e as medidas adotadas para reverter ou mitigar o prejuízo
• Consequência prática: nada disso se responde sem perícia forense — descrever a natureza do dado afetado é um resultado técnico, não uma declaração
• Consequência prática: identificar quem foi afetado é, na maioria das empresas, a tarefa mais cara do episódio, porque a base nunca está tão organizada quanto se imagina
• Art. 48, § 2º: a autoridade nacional verifica a gravidade do incidente e pode determinar providências, como ampla divulgação do fato em meios de comunicação e medidas para reverter ou mitigar seus efeitos
• Art. 48, § 3º: no juízo de gravidade será avaliada eventual comprovação de que foram adotadas medidas técnicas que tornem os dados afetados ininteligíveis para terceiros não autorizados — o que, na prática, premia quem cifrou o dado antes
• Art. 42: a reparação do dano ao titular é obrigação legal, e é essa reparação que a perna de responsabilidade civil da apólice endereça
• Art. 50: controlador e operador podem formular regras de boas práticas e de governança. É faculdade na lei, mas é exatamente o que a seguradora pergunta no questionário
• Quem regulamenta e fiscaliza é a ANPD, a autoridade nacional. Prazos e detalhes de procedimento vêm da regulamentação dela, e se conferem na fonte, caso a caso

A linha que não pode ficar ambígua: o seguro não compra conformidade

Essa é a parte que um corretor honesto diz antes de vender. Seguro cyber não torna a empresa conforme à LGPD, não substitui política de segurança, não dispensa o encarregado, não faz as vezes de programa de governança e não impede sanção. E a multa administrativa de caráter punitivo, em regra, não é risco segurável: o art. 52 da LGPD prevê, entre as sanções aplicáveis pela autoridade nacional, advertência, multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada no total a R$ 50.000.000,00 por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, além de suspensão e proibição do tratamento. O que a apólice costuma endereçar é outra coisa: o custo de responder ao incidente e a reparação devida a quem foi lesado — mais as despesas de defesa no procedimento, conforme o clausulado. Quem vende apólice dizendo que ela paga a multa está vendendo o que não entrega.

• O seguro não é certificado de conformidade, e nenhuma seguradora atesta adequação à LGPD por emitir apólice
• Sanção administrativa de caráter punitivo, em regra, não é segurável. A defesa no procedimento é outra coisa, e essa costuma estar coberta conforme o clausulado
• A apólice cobre custo de resposta e reparação a terceiro, não a penalidade do Estado
• O art. 52, § 1º, lista os parâmetros de aplicação das sanções, e entre eles estão a boa-fé do infrator, a cooperação, a pronta adoção de medidas corretivas, a adoção de política de boas práticas e governança e a adoção reiterada e demonstrada de mecanismos internos capazes de minimizar o dano
• O art. 52, § 2º, deixa claro que essas sanções não substituem as sanções administrativas, civis ou penais da Lei 8.078/1990 e de legislação específica
• Empresa sem medida de segurança básica tende a encontrar mais dificuldade na contratação, em preço e em condição — e também na regulação do sinistro, quando o que foi declarado não corresponde ao que existia
• A ordem certa é: primeiro a medida de segurança e o plano de resposta, depois a apólice. O seguro é a última camada, não a primeira

Os incidentes que realmente acontecem, e a fraude que vem em cobertura separada

Não é preciso estatística para descrever mecanismo, e mecanismo é o que interessa a quem decide. Cinco caminhos respondem pela maior parte do que se vê em empresa de porte médio, e nenhum deles exige atacante sofisticado. O ransomware entra por credencial de acesso remoto ou por anexo, cifra o que alcança — inclusive o backup conectado à rede — e para a operação; o prejuízo maior quase nunca é o resgate, é o tempo com a empresa fechada. A credencial vazada em outro serviço é reutilizada no e-mail corporativo, e sem autenticação em dois fatores ela abre a porta sem nenhum alarme soar. O erro de configuração — bucket, banco ou painel exposto na internet sem autenticação — vaza base inteira sem invasão nenhuma, e é dos casos em que o dever de comunicar nasce mais claro. O funcionário que leva a base de clientes ao sair é incidente de segurança, não só questão trabalhista. E há a fraude em cima do financeiro, que merece parágrafo próprio: o e-mail do fornecedor é observado por semanas, chega um boleto com dados bancários trocados, ou um pedido de transferência que imita o sócio, e o pagamento sai autorizado por quem tinha autorização para fazê-lo. Aqui está a surpresa mais comum do produto — essa perda financeira direta não costuma estar na cobertura principal de cyber. Ela aparece como cobertura separada, com nome que varia (fraude por engenharia social, crime cibernético, transferência fraudulenta de fundos), com limite próprio, normalmente menor, e com exigência de controle: dupla checagem de alteração de dado bancário, confirmação por outro canal, alçada de aprovação. Em muitas propostas, ela simplesmente não está contratada.

• Ransomware: para a operação. O custo maior é o tempo parado e a reconstrução, não o valor exigido
• Fraude do boleto e do e-mail: engenharia social em cima do financeiro, com pagamento autorizado por quem podia autorizar — cobertura em regra separada, com limite próprio
• Credencial vazada e reutilizada: acesso legítimo do ponto de vista do sistema, sem alarme, até o dado sair
• Erro de configuração: base exposta sem invasão. É o cenário em que o dever de comunicar do art. 48 fica mais evidente
• Base levada por quem sai da empresa: incidente de segurança, com dever de avaliação e, se houver risco relevante ao titular, de comunicação
• Fornecedor comprometido: o seu sistema não foi tocado, a sua operação parou igual. É onde o clausulado de dependência técnica decide se há cobertura
• O que conferir na proposta: se existe cobertura de fraude por engenharia social, com qual limite e sob quais controles exigidos

Como a seguradora avalia o risco: a cotação é também um diagnóstico

Em cyber a subscrição é técnica, e é aqui que a cotação deixa de ser uma consulta de preço. O questionário de segurança pergunta o que a empresa faz, não o que ela pretende fazer, e a resposta honesta a cada item costuma produzir uma lista de pendências de TI mais útil do que a própria apólice. O item que mais pesa é o backup. Empresa com backup testado, com cópia isolada da rede e com tempo de restauração conhecido sofre um incidente longo; empresa sem isso sofre um incidente definitivo — e é justamente ela que encontra mais dificuldade para contratar, porque o subscritor está avaliando quanto tempo a operação ficaria parada no pior caso. Backup que nunca foi restaurado em teste, para esse efeito, não é backup: é uma expectativa.

• Backup: existe, é testado com restauração real, tem cópia isolada ou imutável, e o tempo de recuperação é conhecido e documentado
• Autenticação em dois fatores: em e-mail, VPN, acesso remoto, administração de sistema e painel de nuvem — é das primeiras perguntas
• Atualização e correção: quanto tempo leva, na prática, para aplicar correção crítica em servidor e em estação
• Segmentação de rede: o que impede que o incidente em uma estação alcance o servidor de arquivo e o backup
• Política de acesso: privilégio mínimo, revisão de conta, desligamento de credencial de quem saiu, controle de conta de administrador
• Plano de resposta a incidente: quem decide, quem comunica, quem aciona a perícia, com quem se fala fora do horário comercial
• Treinamento e processo no financeiro: como se valida alteração de dado bancário de fornecedor e pedido urgente de transferência
• Dado tratado: volume, tipo e se há dado pessoal sensível, que muda a análise e a exposição do art. 48
• Dependência de sistema para operar: quanto tempo a empresa fatura sem o ERP, sem o e-mail, sem a emissão fiscal
• Divergência entre declarado e existente é o que mais machuca depois: o controle informado no questionário é o que a seguradora vai procurar na regulação

O que NÃO é seguro cyber

Três apólices aparecem na mesma reunião e respondem por outra coisa. A pergunta que separa é direta: o prejuízo nasceu de um incidente nos sistemas e nos dados, de um erro técnico no serviço que você prestou, de uma decisão de gestão, ou de um dano no bem físico?

• RC Profissional (E&O): responde pelo prejuízo que a sua falha técnica causa ao cliente no serviço entregue. Empresa de TI e de software costuma precisar das duas apólices, e o limite entre elas se lê no clausulado — ver a página de RC Profissional, em "Leia também"
• D&O: responde pela decisão de gestão do administrador, inclusive quando a decisão discutida é a de não investir em segurança. Não cobre o incidente; cobre quem decidiu — ver a página de D&O
• Seguro empresarial: cuida do bem físico e do patrimônio no endereço declarado. Servidor queimado por oscilação de energia é danos elétricos ou equipamentos eletrônicos, não cyber — ver a página de seguro empresarial
• Conformidade e consultoria de LGPD: é serviço, não seguro. Nenhuma apólice substitui o programa de adequação

Quanto custa

Não existe tabela pública de seguro cyber, e número dito antes de ver o questionário de segurança é chute. A conta também não é a do seguro garantia, em que o prêmio sai do valor garantido multiplicado por uma taxa anual. Aqui o prêmio sai do limite contratado e, principalmente, da maturidade dos seus controles — duas empresas do mesmo tamanho e do mesmo setor recebem propostas muito diferentes por causa de backup e de autenticação. O que se pode dizer com honestidade é de que ele depende:

• Limites e sublimites contratados, por cobertura, e a franquia escolhida
• Faturamento e porte, que é a referência da perda de receita em uma parada
• Setor e tipo de operação: quem trata dado de saúde, dado financeiro ou grande volume de dado pessoal é analisado de outro jeito
• Volume e sensibilidade do dado tratado — é o que dimensiona a exposição da segunda perna e o custo de notificar titulares
• Dependência de sistema para operar: quanto a receita cai por dia de indisponibilidade
• Maturidade dos controles: backup testado e isolado, autenticação em dois fatores, segmentação, atualização, política de acesso, plano de resposta
• Período de indenização escolhido para a interrupção e a carência que antecede a contagem
• Se entra a cobertura de fraude por engenharia social, com qual limite — ela costuma ser precificada à parte
• Histórico de incidente e de sinistro, e recusa anterior de proposta semelhante
• O número do seu caso sai na cotação, com as condições de cada seguradora lado a lado, e não antes dela

Prazo: o que realmente trava a emissão

A concorrência anuncia prazo. A HP prefere dizer o que acontece de verdade: em cyber o que trava quase nunca é a seguradora — é o questionário de segurança. Ele precisa ser respondido pela TI, não pelo financeiro, e muita empresa descobre no meio do preenchimento que não sabe responder: não há inventário de sistema, o backup nunca foi testado com restauração, a autenticação em dois fatores está em parte dos acessos e ninguém sabe exatamente em quais. O segundo travamento é a evidência: a partir de certo limite, o subscritor não aceita a declaração sozinha e pede comprovação do controle. O terceiro é a divergência entre o que foi declarado e o que existe, e esse é o pior dos três, porque quando aparece não atrasa apenas a emissão — reabre a análise e pode comprometer o sinistro depois. Por isso não prometemos data antes de ver o caso.

Como funciona na prática, do primeiro contato à apólice

O caminho é sempre o mesmo, e saber onde ele costuma travar poupa dias:

• 1. Levantamento inicial com a direção: faturamento, setor, que dado a empresa trata e de quais sistemas a operação depende para faturar
• 2. Questionário de segurança respondido com a TI: backup, autenticação, atualização, segmentação, acesso, plano de resposta e controles do financeiro
• 3. A HP confere o conjunto antes de enviar, e sinaliza o que vai gerar pergunta do subscritor — é aqui que se evita a maior parte do retrabalho
• 4. Definição do que vai ser cotado: limites e sublimites por cobertura, franquia, período de indenização da interrupção e se entra fraude por engenharia social
• 5. Envio às seguradoras que operam cyber, em paralelo e não uma de cada vez
• 6. Rodada de perguntas técnicas do subscritor, e pedido de evidência de controle quando o limite pedido justificar
• 7. Ponto onde mais trava: controle declarado que não existe como declarado, e questionário respondido sem a TI
• 8. Retorno com as propostas comparadas: coberturas, limites, sublimites, franquias, carência, exclusões e base de emissão — não só preço
• 9. Emissão e, quando o contrato com o cliente exige, envio da apólice no formato que ele aceita
• 10. Depois: revisar o que mudou a cada ano — sistema novo, nuvem nova, aquisição, mudança de volume de dado — e renovar sem intervalo