Underlag ni kan förklara, för varje domän ni bedömer

Riskbedömning vid offert, även för domäner ni inte äger.

Ange den presumtiva kundens domän, så samlar TrustSek in öppet underlag om den. Det finns inget att installera, ingen åtkomst att be om och inget frågeformulär att vänta på. Kunden kontaktas inte.

Därmed kan riskbedömningen för en cyberförsäkring göras redan när offerten tas fram, med samma kontroller för varje domän, oavsett om den kommer direkt eller via en mäklare.

Där den passar in i arbetet.

• Innan offerten. Bedöm den presumtiva kundens domän medan ansökan fortfarande är ute, och se vilka svar som behöver granskas närmare.
• I ansökningsformuläret. Byt en allmän fråga mot en konkret: ”Er domän publicerar ingen DMARC-policy. Planerar ni att åtgärda det?” är lättare att besvara ärligt än ”Skyddar ni er mot förfalskad e-post?”.
• Vid förnyelse. Kör samma kontroll igen och jämför med förra årets resultat, med samma version av poängpolicyn.
• För mäklare. Kontrollera kundens domän innan den går ut på marknaden, så att kunden kan åtgärda de tydligaste fynden innan något försäkringsbolag ser dem.

Poängen är en multiplikator, inte ett betyg.

Poängen anger hur mycket högre en domäns risk är än risken för en organisation på baslinjen. Riskbanden är fasta och publicerade, och varje resultat sparar vilken version av poängpolicyn som gav det. En ändring i metoden misstas därför aldrig för en förändring i risken.

Se vad som inte gick att kontrollera.

Varje källa avslutar en kontroll i ett av fyra lägen, och bara ett av dem betyder rent. En källa som misslyckades, eller som aldrig tillfrågades, visas som just det. Ni ser alltså vilket underlag en poäng vilar på och vilket som saknas, innan ni tar ställning till risken.

Se över ett helt bestånd.

Portföljvyer visar många domäner sida vid sida, så att ni ser var risken samlas bland de kunder ni ansvarar för.

Hämta in domäner via API:et.

Med det publika API:et kan era egna system lägga till företag och starta kontroller med en API-nyckel. Metoden beskriver vad varje poäng består av.

Poängen har gränser, och vi redovisar dem.

• Baslinjen och modulernas vikter är fastställda i en policy, inte uppmätta. Poängen rangordnar och förklarar risk; den är ingen validerad sannolikhet för skador.
• Sårbarheter upptäcks utifrån programversioner, utan aktiv testning. Vi läser vad en webbplats visar utåt och kan inte se en rättning som har bakåtporterats utan att versionen ändrats.
• Matchningen mot ransomwaregruppernas leak sites är medvetet försiktig. Ett offer som listas under ett handelsnamn vi inte känner till kan missas. Modulen för ransomware-exponering förklarar hur matchningen går till.
• Fynden poängsätts vart för sig. Modellen tar ännu inte hänsyn till risker som förstärker varandra.

Hela listan finns på sidan om metoden. Den som ska teckna en cyberförsäkring kan läsa vad försäkringsbolaget ser utifrån.

Frågor

Är TrustSek ett försäkringsbolag eller en mäklare?

Nej. TrustSek är ett verktyg för riskbedömning. Vi säljer, prissätter och tecknar inga försäkringar, och en poäng är inget försäkringsbeslut.

Förutsäger poängen skador?

Nej. Den rangordnar och förklarar den risk som syns utifrån, jämfört med en fast baslinje. Baslinjen och vikterna är en policy, ingen validerad skademodell, så använd poängen tillsammans med era egna underlag för riskbedömningen.

Bevakar den domänerna i ett bestånd mellan kontrollerna?

Nej. En poäng beskriver domänen när kontrollen kördes. Kör kontrollen igen när ni behöver ett aktuellt läge, till exempel vid förnyelse.