Wyciek danych z MyDr, który w sierpniu 2026 roku dotknął blisko 19 milionów osób, sprawił, że wiele zarządów sięgnęło po polisę cyber, aby sprawdzić, jaką gwarantuje ochronę. Sama też zaczęłam się nad tym zastanawiać, zarówno od strony tego, w jaki sposób towarzystwa ubezpieczeniowe wyceniają dziś ryzyko naruszenia bezpieczeństwa informacji, jak i pod kątem zmian których możemy się spodziewać z ich strony w reakcji na to, jak sztuczna inteligencja przyspiesza i ułatwia atak. Wiele organizacji ma polisę cyber i na jej podstawie czuje się w miarę bezpiecznie, jednak przy najbliższym odnowieniu, a często wcześniej, gdy aktuariusze ubezpieczyciela zweryfikują zasady wyceny, ta sama organizacja może usłyszeć zupełnie inne warunki, ponieważ obraz ryzyka zmienia się dziś niemal z dnia na dzień. Obecnie, towarzystwa odchodzą od wyceniania ryzyka cyber wyłącznie na podstawie stanu zabezpieczeń w dniu zawarcia polisy i zaczynają pytać o dowody na to, jak szybko organizacja potrafi zareagować na incydent.
Od dwóch lat niemal co czwarta podatność była atakowana w dniu publikacji informacji o niej, a czasem nawet przed tą publikacją (blisko 30% w 2025 i 23% w pierwszej połowie 2026), więc wyścig o wdrożenie poprawki bywa przegrany już w chwili startu.
Jak szybko łatać podatności?
Rynek ubezpieczeniowy opierał swe oceny przez ostatnie lata na modelu szacowania ryzyka incydentu cyberbezpieczeństwa, który zakładał, że między ujawnieniem podatności a atakiem z jej wykorzystaniem upływa dość czasu, by zdążyć wdrożyć poprawkę. Podatność zostaje ujawniona, producent wydaje poprawkę, organizacja ją wdraża, a ubezpieczyciel wycenia prawdopodobieństwo szkody na podstawie tego, jak sprawnie przebiega ten cykl. Firma Mandiant bada od lat, ile czasu upływa między ujawnieniem podatności a pierwszym odnotowanym atakiem z jej wykorzystaniem. Jeszcze kilka lat temu napastnicy potrzebowali na to dwóch miesięcy, później wystarczał im tydzień, a dziś w wielu przypadkach nie zostawiają już czasu na reakcję.
Napastnicy zaprzęgli do pracy modele sztucznej inteligencji i powierzyli im najtrudniejsze i najbardziej pracochłonne zadania, czyli rozpoznanie oraz budowę kodu wykorzystującego podatność. Konieczność łatania podatności to już dziś oczywistość, a kluczowym pytaniem pozostaje jedynie to, jak szybko producenci są w stanie dostarczać poprawki i jak szybko je wdrażamy (pamiętając o zasadach bezpieczeństwa w tym procesie, bo już niejeden incydent zaczął się od wypuszczonej na szybko wadliwej aktualizacji – patrz awaria CrowdStrike z 19 lipca 2024 r.).
Z badań VulnCheck wynika, że czas na reakcję się kurczy.
- 2018–2019 — 63 dni. Organizacja miała dwa miesiące na wdrożenie poprawki, zanim ktokolwiek spróbował wykorzystać podatność.
- 2021–2022 — 32 dni. Miesiąc, czyli tyle, ile trwa typowy cykl przeglądu zmian w dużej organizacji.
- 2023 — pięć dni. Poprawka musi trafić na produkcję w tym samym tygodniu, w którym powstała.
- 2025 i 2026 — dzień publikacji albo wcześniej w co czwartym przypadku.
W tych samych badaniach czytamy, że połowa wykorzystywanych podatności jest atakowana w ciągu 80 dni od publikacji, rok wcześniej było to 120 dni. Ta liczba może wyglądać uspokajająco, ale pamiętajmy, że obejmuje wszystkie podatności, także te w rzadko używanych produktach, którymi nikt się specjalnie nie interesuje. Podatności w systemach wystawionych do internetu, dla których krąży już gotowy kod ataku, są wykorzystywane w ciągu godzin, a nie tygodni, więc z liczby 80 dni nie wolno wyprowadzać wniosku, że zdążymy zareagować.
Jeszcze kilka lat temu banki raportowały Komisji Nadzoru Finansowego podatności niezałatane w ciągu 51 dni i wtedy taki próg opisywał realne opóźnienie, ponieważ zachowanie napastnika mieściło się w tej samej skali czasowej. Dziś, kiedy w co czwartym przypadku atak zaczyna się w dniu ujawnienia podatności lub wcześniej, w ciągu 51 dni większość podatności mogłaby zostać wykorzystana. Ubezpieczyciel pyta dziś o czas reakcji podobnie jak regulator, z tą różnicą, że robi to na etapie zawierania umowy.
Przykładowo, podatność w pakiecie Microsoft Office oznaczona jako CVE-2026–21509 została wykorzystana w atakach na ukraińską administrację i europejski sektor obronny w ciągu pierwszych 24 godzin od publicznego ujawnienia w styczniu 2026 roku.
Jeżeli podatność jest istotna, da się ją wykorzystać zdalnie, a kod pozwalający na to został już opublikowany, należy założyć, że ataki zaczęły się od 48 do 72 godzin wcześniej, i na tej podstawie planować działania.
Regułę tę opieram na analizach Proofpoint. Kod, o którym mowa, bywa w branży nazywany kodem demonstracyjnym albo proof of concept. Jest to gotowy program udostępniony publicznie w internecie, dzięki któremu atak może odtworzyć każdy, kto potrafi go uruchomić.
Wyniki badania IBM X‑Force za 2025 rok potwierdzają, że napastnicy najczęściej dostają się do organizacji przez podatności w aplikacjach wystawionych do Internetu, takich jak portale klienta, systemy poczty czy bramy dostępu zdalnego. Rośnie przy tym liczba napastników wymuszających okupy – raport odnotowuje istnienie 109 takich grup, podczas gdy w 2024 roku było ich 73.
Dotychczasowa wycena ubezpieczeń opierała się na jakości zabezpieczeń w dniu zawarcia polisy i z tej oceny wyprowadzano prawdopodobieństwo szkody, zakładając, że dobrze zabezpieczona firma zdąży zareagować, zanim napastnik dotrze do celu. Nowy model, który to zastępuje, traktuje skuteczny atak jako zdarzenie pewne, i wycenia przede wszystkim zdolność organizacji do ograniczenia jego skutków.
W jaki sposób napastnicy wykorzystują sztuczną inteligencję do ataków?
Poza skróceniem czasu reakcji zmniejszył się też koszt wyszukiwania i wytypowania ofiar. W lipcu 2026 roku zespół Unit 42{target=„_blank”} z Palo Alto Networks opisał kampanię, w której chińskojęzyczny napastnik podłączył model językowy do narzędzia agentowego i pozwolił mu samodzielnie wyszukiwać cele oraz ich podatności. Agent przeanalizował ponad 460 celów i wykonał w kilka minut pracę, która ręcznie zajęłaby jednej osobie setki godzin. Potwierdzono, że w wyniku kampanii doszło do 11 przypadków zdalnego wykonania kodu na cudzych systemach oraz do trzech udanych kradzieży danych. Celem były m. in. aktywa, o których IT danej organizacji mogło nie wiedzieć, a więc Marimo, Langflow i n8n, czyli narzędzia instalowane i wykorzystywane przez analityków danych i zespoły produktowe. Zaznaczam, że ataki na Langflow i n8n się nie powiodły z powodu wymagań konfiguracyjnych zastosowanych exploitów.
Skutki powstały w kilka minut i przy minimalnym nakładzie pracy. Rozpoznanie i typowanie celów były dotąd najdroższym oraz najbardziej czasochłonnym etapem przygotowania ataku i to one ograniczały liczbę prób, a dziś ten etap kosztuje napastnika tyle, co uruchomienie skryptu.
Dla ubezpieczyciela oznacza to, że wycena składki oparta na danych historycznych staje się nieadekwatna do obecnej sytuacji, ponieważ szkody z ostatnich lat powstawały w warunkach, które przestały obowiązywać.
Wykrycie, usunięcie podatności, izolacja, odtworzenie — o co zapyta underwriter?
Skoro dane historyczne przestały być wiarygodnym kryterium oceny ekspozycji na ryzyko, ubezpieczyciele zaczynają pytać o zabezpieczenia, które faktycznie mogą ograniczyć potencjalną stratę. Zamiast pytać, czy dana kontrola została wdrożona, underwriter pyta dziś, w jakim czasie organizacja wdraża poprawkę krytyczną i jakimi dowodami może to potwierdzić. Pytania powtarzają się u kolejnych ubezpieczycieli i układają się w cztery obszary.
- Wykrycie. Ile czasu upływa, zanim zorientujecie się, że ktoś jest w Waszych systemach, i skąd o tym wiecie. Liczy się także to, czy wychwytujecie podatności we własnym środowisku oraz zagrożenia, które krążą już po rynku, choć do Was jeszcze nie dotarły.
- Usuwanie luk i podatności. Jak szybko usuwacie znane podatności i czy potraficie to wykazać dokumentami.
- Izolacja. Czy potraficie zatrzymać atak w jednym obszarze, nie wyłączając przy tym całej firmy.
- Odtworzenie. Ile dni działalibyście bez najważniejszych systemów i kiedy ostatnio sprawdzaliście to w praktyce.
Trzy z tych czterech obszarów to kategorie planu ciągłości działania, przeniesione wprost do ankiety ubezpieczeniowej, bowiem pytanie o czas przywrócenia procesu krytycznego jest de facto pytaniem o RTO, choć ubezpieczyciel posługuje się przy tym własnym słownikiem. Organizacja, która przeprowadziła rzetelną analizę wpływu na działalność (BIA) i przetestowała plany odtworzenia (DRP), ma te odpowiedzi gotowe, a jeżeli ktoś jeszcze tego u siebie nie zrobił, ubezpieczyciel i tak wcześniej lub później go o to zapyta.
Deklaracje z ankiety ubezpieczyciel coraz częściej weryfikuje samodzielnie, skanując infrastrukturę widoczną z internetu, bez potrzeby dostępu do Waszych systemów. Sprawdza między innymi to, jakie usługi wystawiliście na zewnątrz i czy działają na nich aktualne wersje oprogramowania. Do tego dochodzą prośby o materiały potwierdzające stan zabezpieczeń, na przykład raporty z systemu zarządzania podatnościami czy protokoły z testów odtworzeniowych. Rozbieżność między ankietą a wynikiem skanowania jest dziś jedną z częstszych przyczyn korekty warunków w trakcie negocjacji lub podstawą do obniżenia wysokości odszkodowania.
Co realnie obniża koszt polisy?
Underwriter wycenia dziś zdolność organizacji do ograniczenia skutków ataku, więc przed rozmową o odnowieniu zbierzmy dowody właśnie na tę zdolność. Przygotujcie pomiary czasu wykrycia naruszenia i wdrożenia poprawki krytycznej, plan odtworzenia systemów krytycznych wraz z wynikami ostatniego testu i wnioskami z niego oraz informacje o zależnościach od dostawców ICT oraz o tym, jak zarządzacie ryzykiem po ich stronie. Potrzebne są także dowody na to, że środki kontroli zadeklarowane w ankiecie faktycznie działają, czyli raporty z obsługi incydentów, zestawienia z procesu usuwania podatności i wyniki testów bezpieczeństwa. Skompletowanie tego zajmuje często kilka tygodni.
Zarówno ustawa o krajowym systemie cyberbezpieczeństwa, jak i rozporządzenie DORA opisują bezpieczeństwo informacji przez cztery atrybuty, którymi są poufność, integralność, dostępność i autentyczność. Starsze polisy bywają zbudowane głównie wokół naruszenia poufności, czyli wokół wycieku danych, więc nie zawsze obejmują przestój wywołany incydentem u dostawcy usług, straty wynikające z samej niedostępności systemów, skutki zmodyfikowania danych, których nikt nie wykradł, ani szkodę powstałą wtedy, gdy ktoś skutecznie podszyje się pod Waszą organizację albo pod jej pracownika. Każdy z tych scenariuszy potrafi kosztować więcej niż samo ujawnienie danych, sprawdźcie więc zakres polisy i rodzaj incydentów, jakie obejmuje.
Szczególną uwagę zwróćcie na atrybut autentyczności. Przygotowanie przekonującego nagrania głosu albo obrazu wideo przestało wymagać budżetu i specjalistycznych umiejętności – wystarczy do tego ogólnodostępne narzędzie oraz kilka minut cudzych wypowiedzi znalezionych w internecie. Ryzyko dotyczy każdej kluczowej decyzji podejmowanej na podstawie polecenia przełożonego, jeżeli jedynym potwierdzeniem jego tożsamości pozostaje rozpoznanie głosu w telefonie albo krótka rozmowa wideo. Luki tego rodzaju wymagają procedur potwierdzenia polecenia innym kanałem. Sfabrykowana wypowiedź osoby reprezentującej firmę, opublikowana w mediach społecznościowych po to, by wywołać negatywne reakcje klientów, będzie wymagała posiadania procedury dementowania fałszywych informacji oraz wiarygodnego kanału, w którym klienci mogą zweryfikować informacje bezpośrednio z Wami.
Na bardziej dojrzałych rynkach pojawiają się już rozwiązania, w których ubezpieczyciel dokłada do ochrony pakiet usług wspierających bezpieczeństwo. Program Reflex uruchomiony przez Munich Re Specialty jest tu prekursorem i łączy polisę z doradztwem, szkoleniami i usługami wykrywania zagrożeń.
Zarządzanie incydentem, czyli co realnie ogranicza wysokość straty
Środki ograniczające skutki ataku układają się w trzy fazy zarządzania incydentem. Każda z nich obniża wysokość szkody, co leży w interesie obu stron.
- Przed incydentem. Zarządzanie ryzykiem, monitorowanie, edukacja i budowanie świadomości pracowników, środki kontroli, testy penetracyjne, zarządzanie podatnościami. Zmniejszają prawdopodobieństwo, że atak w ogóle się powiedzie.
- W trakcie incydentu. Plany ciągłości działania, redundancja systemów, zdolność do odizolowania zaatakowanego obszaru. Ograniczają zasięg szkody.
- Po incydencie. Reakcja, informatyka śledcza, odtworzenie środowiska. Skracają przestój i obniżają ostateczny koszt zdarzenia.
Wszystkie trzy fazy należą do zarządzania ryzykiem ICT, którego częścią jest również zarządzanie ciągłością działania. Ten obszar musi dojrzewać w tempie adekwatnym do zmian regulacyjnych, a przede wszystkim technicznych.
Rynek wykorzystuje tę zależność w ograniczonym stopniu, co pokazuje raport The Geneva Association „Strengthening Cyber Resilience Through Insurance”. Ubezpieczyciele wciąż opierają ocenę ryzyka głównie na ankietach wypełnianych samodzielnie przez klienta, a własną ekspozycję ograniczają przede wszystkim przez obniżanie limitów, nie analizując rzeczywistego poziomu zabezpieczeń u danego klienta. Tu leży sedno problemu, ponieważ ubezpieczyciel, który nie potrafi zmierzyć różnicy między firmą dobrze i źle zabezpieczoną, obniża pokrycie wszystkim po równo. Firma, która realnie zainwestowała w bezpieczeństwo, nie może liczyć na niższą składkę ani na wyższą sumę ubezpieczenia.
Czy certyfikat ISO 27001 ma znaczenie przy wycenie polisy?
Posiadanie certyfikatu ISO 27001 świadczy o istnieniu systemu zarządzania bezpieczeństwem informacji. Nie jest, niestety, dowodem na szybkość i skuteczność reakcji ani na niski poziom ryzyka. Norma dopuszcza świadomą akceptację ryzyka, więc luka, której pozostawienie zostało zaakceptowane przez zarząd może być absolutnie zgodna z normą i wewnętrznymi regulacjami – na przykład aplikacja wymagająca starej wersji systemu operacyjnego, dla której producent zakończył już wsparcie, utrzymywana w ruchu ze względów operacyjnych lub finansowych. Taka decyzja bywa całkowicie racjonalna, ale to właśnie o nią pyta underwriter, chcąc wiedzieć, co zostało zaakceptowane, na jak długo oraz czy wdrożono odpowiednie zastępcze środki kontroli.
Certyfikat pozostaje dowodem dojrzałości procesów i nadal warto go mieć, natomiast odpowiedzi na pytania underwritera trzeba szukać w czasach wykrycia naruszenia, w zdolności do odcięcia zaatakowanego obszaru, w potwierdzonych testem czasach odtworzenia procesów oraz w wiedzy o tym, od kogo jesteście zależni.
Koncentracja ryzyka w łańcuchu dostaw
Wyciek z MyDr to podręcznikowy przykład koncentracji ryzyka, ponieważ jeden dostawca oprogramowania obsługujący tysiące placówek stał się słabym punktem całego sektora, niezależnie od tego, jak dobrze zabezpieczona była każda z tych placówek osobno. Wszyscy korzystamy z tych samych największych dostawców chmury, z tych samych gotowych komponentów oprogramowania i z tych samych systemów logowania. Jedna podatność w takim wspólnym elemencie może stać się kluczem do drzwi setek organizacji naraz, a ponieważ przygotowanie ataku trwa dziś minuty, wszystkie te organizacje mogą zostać zaatakowane w tym samym czasie. Dla Waszej organizacji oznacza to ryzyko, że unieruchomionych zostanie kilku dostawców jednocześnie, łącznie z tymi, których przewidzieliście jako rozwiązanie zapasowe.
W przypadku MyDr dane pacjentów znajdowały się u jednego podmiotu przetwarzającego, natomiast odpowiedzialność wobec organu nadzorczego pozostała po stronie placówek, które są ich administratorami. Czeka je zapewne postępowanie Urzędu Ochrony Danych Osobowych, w którym oceniana będzie ich własna staranność w doborze i nadzorowaniu dostawcy.
Ubezpieczyciele zaczęli traktować obszar zarządzania łańcuchem dostaw jako osobne kryterium oceny. Jak podaje Wall Street Journal za Only McKinsey Perspectives, underwriterzy analizują dziś zależność organizacji od powszechnie używanego oprogramowania i od dostawców zewnętrznych. W praktyce underwriter może zapytać o to, czy zarządzacie ryzykiem ze strony dostawców, jaki jest zakres tego procesu i jaka jego jakość. Uporządkowane zarządzanie ryzykiem w łańcuchu dostaw, którego i tak wymagają ustawa o krajowym systemie cyberbezpieczeństwa oraz rozporządzenie DORA, dostarcza więc argumentów do rozmowy o wysokości składki. Brak takiego procesu zostanie raczej zinterpretowany na Waszą niekorzyść, ponieważ underwriter, który nie potrafi ocenić Waszej zależności od dostawców, przyjmie założenie ostrożne, co przełoży się na wyższą składkę albo na niższy limit.
Czy ubezpieczyciele zaczną premiować dojrzałe zarządzanie ryzykiem dostawców tak samo, jak premiują dziś na przykład wieloskładnikowe uwierzytelnianie? Robią to na razie rzadko, ale skoro to właśnie koncentracja ryzyka decyduje o ich wymogach kapitałowych, kierunek wydaje się przesądzony.
Co przygotować przed odnowieniem polisy cyber?
Pięć rzeczy, o które ubezpieczyciel zapyta przy najbliższym odnowieniu.
- Zmierzony czas wdrożenia poprawki krytycznej, wyrażony w godzinach i poparty danymi z systemu. Zapis w polityce mówiący, że poprawki krytyczne wdrażane są „niezwłocznie”, już nie wystarczy.
- Ewidencja dostawców ICT wraz z oceną koncentracji, czyli wiedza o tym, kto obsługuje ten sam obszar u Was i u Waszych dostawców.
- Czasy odtworzenia procesów krytycznych potwierdzone aktualnymi wynikami wiarygodnych testów.
- Dowody, że środki kontroli faktycznie działają — raporty z obsługi incydentów, zestawienia z procesu usuwania podatności, wyniki testów bezpieczeństwa oraz raporty z systemu korelacji zdarzeń.
- Świadomość, jakie oświadczenia składacie i jakie niosą skutki. Wynika to z ogólnych warunków ubezpieczenia oraz z samej ankiety, więc trzeba przejść z brokerem przez zapisy dotyczące oświadczeń, obowiązku informowania o istotnych zmianach w trakcie trwania umowy i konsekwencji podania danych niezgodnych ze stanem faktycznym.
Od zabezpieczeń do zdolności reagowania
Sztuczna inteligencja obniżyła koszt przygotowania ataku do poziomu, przy którym dotychczasowa arytmetyka ubezpieczeniowa przestaje się zgadzać, a rynek reaguje na to w jedynym możliwym rytmie, czyli przy kolejnych odnowieniach i przy okresowych przeglądach zasad wyceny. Ubezpieczyciel, który nie może już oprzeć oszacowania prawdopodobieństwa szkody na danych historycznych (bo stały się nieadekwatne), przenosi ciężar oceny na zdolność organizacji do ograniczenia skutków, a to obszar zarządzania incydentem i ciągłością działania.
Warunki polisy zależą coraz bardziej od czasów reakcji i odtworzenia (RTO), które trzeba mieć udokumentowane. Zakres ochrony wymaga sprawdzenia pod kątem wszystkich czterech atrybutów bezpieczeństwa informacji, ponieważ prawo nakazuje chronić każdy z nich, a każdy generuje inny rodzaj straty — od kar z RODO i z ustawy o krajowym systemie cyberbezpieczeństwa przy naruszeniu poufności, przez przerwę w działalności przy utracie dostępności lub integralności, po skutki skutecznego podszycia się pod organizację przy naruszeniu autentyczności, któremu sprzyja łatwość tworzenia deepfake’ów głosowych i wideo. Zarządzanie ryzykiem w łańcuchu dostaw, prowadzone i tak na potrzeby uKSC oraz DORA, dostarcza przy okazji argumentów, które można wykorzystać w negocjacjach z ubezpieczycielem.
Najczęstsze pytania
Czy certyfikat ISO 27001 może pomóc w uzyskaniu lepszych warunków ubezpieczenia? Certyfikat potwierdza, że firma zarządza bezpieczeństwem w sposób uporządkowany, i bywa odbierany jako sygnał dojrzałości organizacji. Sam z siebie nie mówi jednak nic o tym, jak szybko firma reaguje na atak ani jakie ryzyka świadomie zaakceptowała. Największą różnicę w warunkach robią dowody na istnienie i skuteczność zabezpieczeń, czyli pomiary z monitoringu, udokumentowane czasy reakcji na incydenty oraz przetestowane plany ciągłości działania.
Co ubezpieczyciel sprawdza samodzielnie, poza ankietą? Coraz częściej skanuje z zewnątrz to, co firma udostępnia w internecie, sprawdzając, jakie usługi są wystawione, czy działają na wspieranych wersjach oprogramowania i czy nie widać w nich znanych podatności. Wynik porównuje z deklaracjami z ankiety, a rozbieżności bywają powodem zmiany warunków w negocjacjach oraz argumentem podnoszonym po wystąpieniu szkody.
Czy ataki z użyciem AI spowodują wzrost kosztów ubezpieczenia? Prostego przełożenia na cenę nie da się dziś wykazać. Widać natomiast więcej szczegółowych pytań w ankiecie oraz ostrożniejsze podejście do wysokości limitów tam, gdzie wielu klientów tego samego ubezpieczyciela korzysta z tych samych dostawców ICT. Związek ze sztuczną inteligencją polega na tym, że przygotowanie i powtórzenie ataku kosztuje dziś ułamek tego, co kiedyś, więc prawdopodobieństwo takiego incydentu rośnie.
Od czego zacząć przygotowania do odnowienia polisy? Potrzebne są twarde dowody na istnienie i skuteczność zabezpieczeń adekwatnych do poziomu ryzyka organizacji. Składają się na nie raporty z obsługi incydentów i z usuwania podatności, wyniki testów bezpieczeństwa, aktualne wyniki testów planów ciągłości działania oraz wiedza o zależnościach od dostawców ICT. Zebranie tych informacji bywa czasochłonne, więc już dziś zastosujcie nowy sposób budowy deklaracji stosowania, która może i powinna pełnić rolę indeksu wszystkich zabezpieczeń wraz z odesłaniem do dowodów na ich stosowanie.
Przygotowujecie się do wdrożenia wymagań dotyczących cyberbezpieczeństwa albo macie już przed sobą ankietę interesariusza do wypełnienia? Pomożemy zebrać dowody, których oczekuje jej autor, i wskazać luki warte zamknięcia wraz z harmonogramem działań. Proponujemy Ci 30 min rozmowy, by określić zarys kierunku działań przed odnowieniem polisy
Kontakt e‑mail
Napisz
do nas
Spotkanie Calendly
