Cyber insurance: the prerequisites

How the seal comes about

• Cyber insurance is an add-on to the human audit. It is ordered with the audit, the details are requested afterwards and checked separately.
• The proof names the declared measures and the measured state with date. Internal details such as the emergency contact stay internal.
• The price depends on the scope of the website; the quote is in the order.

What the seal tells an insurer

It documents, as of a date, that the website is maintained and that the operator has declared the organisational basics: backups, access protection, updates, training. The procedure reads the website like a visitor; security scans, vulnerability and load tests belong to other procedures. The order log records every run and every judgement so that the activity proof holds over time.

Laufende Überwachung als Voraussetzung

• Das Cyber-Zertifikat setzt eine aktive Überwachung mit der Rubrik Cyber für die Domain voraus. Ohne sie wird es nicht ausgestellt.
• Die Überwachung misst die Rubrik Cyber täglich, die anderen Rubriken monatlich; je Lauf entsteht ein Stand mit Punktwerten je Prüfbereich und der Veränderung zum Vormonat.
• Der Monatspreis wird einmal je Monat beim ersten Lauf reserviert; weitere Läufe des Monats kosten nichts. Fehlt Guthaben, versucht es der nächste Tag.
• Gemessen werden Software-Stand (Bibliotheken mit Wartungsende, sichtbare Versionen, Server-Signatur), Sicherheitskopfzeilen, Datenschutz und Ladeverhalten, je Lauf mit Beleg im Aktenordner.

Lesende Zugänge: geprüft, nie benutzt

• Zugänge zu FTP, SFTP, SSH, PostgreSQL und MySQL legt die Organisation in ihrem Tresor ab; Host und Port stehen im Zweck des Eintrags.
• Jeder Cyber-Lauf probt alle abgelegten Zugänge: Verbindung aufbauen, Begrüßung lesen, trennen. Der Dienst meldet sich nie an. Unerreichbare Zugänge stehen als Befund im Stand.
• Die Anmeldung selbst macht die freigegebene prüfende Person, mit Zweck und Frist im Protokoll.

Der Tresor der Organisation

• Jedes Geheimnis hat eine Art: Prüfung (liest nur der Messkern, für geschützte Bereiche hinter Anmeldung oder Basic-Auth), Fremdsystem (liest nur der Dienst) oder Aufbewahrung (Klartext für Inhaber und je Eintrag freigegebene Prüfer).
• Jeder Zugriff steht mit Zweck im Tresor-Protokoll und im Aktivitätslog der Organisation, ohne den Wert. Prüfung und Fremdsystem zeigt keine Fläche im Klartext, auch dem Inhaber nicht.
• Der Messkern liest vor jedem Lauf den Zugang zum geschützten Bereich aus dem Tresor des Auftrags oder der Organisation; scheitert die Anmeldung, misst er ohne sie und sagt das im Lauf.