Afkodning af PAM til cyberforsikring: det europæiske krav

Det er blevet stadig sværere for virksomheder verden over at tegne eller forny en cyberforsikring. Selvom 87 % af organisationerne siger, at de føler sig utilstrækkeligt beskyttet, valgte 17 % enten ikke at købe cyberforsikring eller overvejede det aldrig med henvisning til stigende præmier, manglende kendskab eller ubehag ved risikovurderingsprocessen.

I Europa afhænger forsikringsbarheden nu af, at man kan dokumentere en moden sikkerhedsstilling i tråd med NIS2 og beslægtede regler, fordi tegningsansvarlige reagerer på et „cyberbeskyttelsesgab“ på ca. 900 milliarder USD i årlige tab. Den bundlinje ændrer, hvad forsikringsselskaber betragter som en håndterbar risiko.

I artiklen afkoder vi disse forventninger og forklarer, hvordan en robust strategi for privilegeret adgangsstyring (PAM) kan hjælpe organisationer med at kvalificere sig til forsikring i Europas risikolandskab. Hvis du primært arbejder i Canada eller USA, har vi også en ledsagerartikel, der ser på de samme temaer med et nordamerikansk blik.

Leder du efter en PAM-løsning, der opfylder din forsikringsgivers krav? Udforsk Devolutions PAM.

Forsikringsselskabernes nye risikoregning

For at forstå de nye krav fra forsikringsselskaberne er det nødvendigt at se det pres, de selv står under.

Alvorligere brud og et skift i angribernes adfærd har tvunget forsikringsselskaberne til at genoverveje cyberrisiko. Verizons DBIR for 2025 viser misbrug af legitimationsoplysninger som den førende vektor for første adgang og ransomware i 44 % af bruddene, en stigning på 37 % i forhold til året før. I EMEA dominerer systemindtrængen og social engineering, og de fleste angreb er økonomisk motiverede.

Samtidig har forsikringsselskaberne begrænset kapaciteten og strammet forudsætningerne, og der er belæg for, at svage kontroller af datasikkerhed kan drive præmierne op med 100–300 %. Vesteuropa, et af de mest modne markeder for cyberforsikring, har haft kraftig vækst siden 2017 sideløbende med strengere tegning.

Læg dertil NIS2, et udvidet, obligatorisk og reviderbart cybersikkerhedsgrundlag for væsentlige og vigtige enheder, som nu fungerer som en EU-dækkende ramme for risikoreduktion og en tjekliste til tegning, som svarer direkte til PAM’s grundprincipper. Resultatet er tydeligt: adgangskontrol og PAM er ikke længere perifere i forhold til cyberforsikring. De er centrale for berettigelsen.

Hvad forsikringsgiveren forventer af PAM

Tegningsansvarlige opfinder ikke nye krav. De kontrollerer, om organisationer opfylder PAM-relaterede kontroller, som allerede er påkrævet af NIS2, GDPR, DORA og lignende rammer, og de kan afvise dækning direkte, når kritiske sikringer som MFA mangler.

I praksis forventes organisationer at:

• Styre privilegerede konti. Have klare politikker for administration af privilegerede konti og konti til systemadministration.
• Håndhæve stærk godkendelse. Anvende stærk identifikation og godkendelse (for eksempel MFA) på højt privilegerede konti.
• Anvende mindste privilegium og funktionsadskillelse. Individualisere administrationsrettigheder, og bruge dedikerede administratorkonti, der holdes adskilt fra almindelig brugerdrift.
• Begrænse højrisikoadgang i tid og omfang. Begrænse privilegeret adgang og tredjepartsadgang i varighed og omfang, og logge aktiviteten, så den kan spores.
• Fremlægge reviderbart bevis. Stille adgangslogge, rolle- og tilladelsesmatricer og dokumentation for MFA-konfiguration til rådighed, når myndigheder eller forsikringsselskaber beder om det.

Reglerne giver forsikringsselskaberne en færdig kontrolramme, defineret af myndighederne, som de kan tegne ud fra. PAM hjælper til gengæld organisationer med at dokumentere ansvar ved at skabe uforanderlige revisionsspor af privilegeret aktivitet og dokumentere administrativ adgang til systemer, der behandler personoplysninger.

Devolutions’ PAM-løsning: tilgængelige og overkommelige grundelementer

Ved at samle centrale PAM-funktioner og tilgrænsende funktioner i én arkitektur hjælper Devolutions’ løsning til privilegeret adgangsstyring organisationer med at dokumentere adgangskontroller, der flugter med NIS2 og forsikringsgivernes krav:

• Adgangskodeboks (selvhostet eller cloudbaseret): håndhæv stærk godkendelse (herunder MFA) og rollebaseret adgang, hold et register over privilegerede konti og tilladelser, og generer adgangslogge, der er klar til revision.
• Formidling af forbindelser: formidl privilegerede fjernsessioner, og anvend granulære, rollebaserede begrænsninger.
• Kontrol af fjernadgang: giv kontrolleret, logget fjernadgang med sessionsoptagelse for forbindelser med høj risiko.
• Just-in-time-rettighedsforhøjelse (JIT): erstat stående administratorrettigheder med politikstyret JIT-rettighedsforhøjelse, og automatiser rotation af adgangskoden efter brug.

Organisationer, der allerede bruger løsninger som CyberArk, Delinea Secret Server eller BeyondTrust Password Safe, kan integrere dem i Devolutions-platformen, bevare investeringen og udvide PAM-dækningen.

Fordi platformen er prisvenlig og designet til hurtig udrulning, bringer den avanceret PAM inden for rækkevidde af SMV’er og større virksomheder, der stadig opfatter sig selv som utilstrækkeligt beskyttet.

For teams på fem eller færre leverer vores Starter Pack de samme PAM-funktioner (herunder JIT-rettighedsforhøjelse og rotation af adgangskoder) til en pris, der er tilpasset mindre IT-drift.

Konklusion

Efterhånden som tegningskriterierne udvikler sig, skal organisationer i Europa og i hele EMEA-regionen tilpasse deres kontroller. Ved at indføre PAM-kontroller, der flugter med reglerne, øger organisationer chancen for at få dækning og bygger en mere robust sikkerhedsstilling.

Leder du efter en PAM-løsning for at blive berettiget til cyberforsikring, så se vores pakke til privilegeret adgangsstyring eller vores Starter Pack til små teams.