サイバー保証

Cysuranceが提供するサイバー保証は、ESET PROTECT MDRまたはESET PROTECT MDR Ultimateプランの対象となるセキュリティインシデントに対して特定のメリットを提供し、米国とカナダでのみ利用できます。加入者がCysuranceから確認メールを受け取った時点で、登録が完了します。このサービスは、Cysuranceの規約に記載されている要件を満たすことを条件として、プラン購入日の翌月10日までに開始されます。

保証プログラムの補償範囲

請求とは、対象となるサイバーセキュリティインシデント後の補償または給付の要求です。12か月間で、1件のインシデントの補償を受けることができます。

保証プログラムは、次のセキュリティイベントのいずれかまたはすべてが発生した場合に補償を提供します。

•コンプライアンスイベント

コンプライアンスイベントとは、個人データ侵害を直接引き起こすBEC(ビジネスメール侵害)イベントまたはランサムウェアイベントを意味し、HIPAA、GDPR、UK GDPR、PCI、OSHA、SEC、FTC、および/または国際、連邦、州、またはその他の法で義務付けられている通知および/または報告要件をトリガーします。この場合、唯一の損害回復補償は、コンプライアンスイベントの即時の法的評価と緊急対応を目的としています。データ侵害の性質やそれと同等の範囲への対処を含め、最初の侵害評価以外の継続的な法的サービスは、このイベントに対する損害回復補償の範囲を超えます。

•ランサムウェアまたはビジネスメール侵害(BEC)イベント

ランサムウェアイベントとは、ランサムウェアの形式で加入者のエンドポイントの少なくとも1つに不正アクセスがあり、加入者に重大な損害を与えるイベントを意味します。「重大な損害」には以下のうち少なくとも1つが含まれている必要があります。

I.加入者の環境から暗号化されていないデジタルデータが不正に取得され、加入者の環境の個人データまたは機密情報のセキュリティ、機密性、または完全性を侵害した。

II. 加入者が保持する個人データまたは機密情報が公開された。

III.加入者の環境内の少なくとも1つのエンドポイントが侵害され、かかるエンドポイントへのアクセスがブロックされた。

BECイベントとは、権限のない高度な脅威アクターが、加入者の環境内で加入者のアカウントを乗っ取るビジネスメール侵害を意味します。保証プログラムは、ソーシャルエンジニアリングによる資金移動や詐欺のBECイベントには適用されません。

•サイバー賠償責任イベント

サイバー賠償責任イベントとは、BECイベントまたはランサムウェアイベントの結果として起こったデータプライバシーおよび/またはデータセキュリティの侵害から直接生じる訴訟を意味しています。加入者のWebサイト上のデータプライバシーまたはセキュリティに関してなされた拘束力のある声明から生じ、法的防御費用および和解費用が発生します。

•事業収益イベント

事業収益イベントとは、事業運営に重大な影響を与える加入者の環境のセキュリティ侵害を意味し、実際の文書化可能な損失が発生したり、セキュリティ侵害が発生していなければ獲得できたはずの事業収入(税引前純利益または損失)が生まれたりします。

500,000米ドルの補償レベル*に登録した加入者	イベントごと	加入者ごと
コンプライアンスイベント	最大100,000米ドル	100,000米ドル
ランサムウェアイベント、BECイベント	最大100,000米ドル	100,000米ドル
サイバー賠償責任イベント**	最大250,000米ドル	250,000米ドル
事業収益イベント	最大50,000米ドル	50,000米ドル

1,000,000米ドルの補償レベル*に登録した加入者	イベントごと	加入者ごと
コンプライアンスイベント	最大200,000米ドル	200,000米ドル
ランサムウェアイベント、BECイベント	最大200,000米ドル	200,000米ドル
サイバー賠償責任イベント**	最大500,000米ドル	500,000米ドル
事業収益イベント	最大100,000米ドル	100,000米ドル

*加入者は、これらの支出に適用されるその他のサービス保証を最初に使い果たす必要があります。

**加入者は、補償レベルをトリガーするには、他のすべての補償金額を使い果たす必要があります。

必要なサイバーセキュリティコントロール、請求資格要件を含め、保証プログラムの給付の詳細については、Cysuranceをご覧ください。

必要なサイバーセキュリティコントロール

請求を成功させるには、次のコントロールを実施する必要があります。

保証コントロール要件	コントロールの説明
ウイルス対策	ESET Endpoint SecurityとESET Server Security (該当する場合)を展開し、動作中のすべてのエンドポイントでのメジャー、マイナー、バグ修正の更新を含め、最新の状態に保つ必要がある。
MDR/SIEM	ESET MDRは、動作中のすべてのエンドポイントデバイスでアクティブで、監視を行っている必要がある。特定のアセットに対する監視のみの取り決めは、一般的に受け入れられる。ただし、お客様は、妥当な期間内にセキュリティ通知、修復の推奨事項、インシデント対応ガイダンスに基づいて行動する必要がある。そうでない場合、インシデントが対処されていない特定された問題に関連していると、補償の資格に影響を与える可能性がある。
MFA	組織の電子メール環境にアクセスできる、または管理できるすべてのアカウント(ユーザー、管理者、特権)に対して、多要素認証(MFA)を有効にし、適用する必要がある。MFAは省略可能であってはならず、パスワードベースの認証のみに依存するべきではない。例えば、ESET Secure Authenticationなどがある。管理者アカウントと特権アカウントは、サイバーインシデントや請求で観察されている最も一般的に悪用されるアカウントの1つであるため、特に注意する必要がある。
バックアップ	ランサムウェア修復または同等の機能を含む、不変のバックアップ(回復のために安全に保存されたデータのコピー)を用意する必要がある。
暗号化	AES-256ビット暗号化アルゴリズムが採用され、すべてのデータはAES-256ビット暗号化で保護されている。ESET Full Disk Encryptionなど、PHI/PII暗号化が実施されている(HIPAAなどの規制要件が適用される場合)。
コンプライアンス	参加者は、PCI、HIPAA、GDPR、SEC、その他の基準など、国、州、連邦の規制、プライバシー、セキュリティポリシーに従う必要がある(規制条件が適用される場合)。
保守	利用可能なパッチおよび既知の脆弱性の修正(CVE)は、利用可能なアプリケーションのアップデートとともに、ソフトウェアメーカーのリリースサイクルから60日以内に適用する必要がある(ESET脆弱性とパッチ管理を含むが、これらに限定されない)。
セキュリティに対する意識	継続的なセキュリティ意識向上トレーニングを従業員に提供している。そのようなトレーニングが実施され、従業員と請負業者の両方においてトレーニング修了を文書化しなければならない。
ビジネスコントロール	サイクル外の電信送金と請求書のルーティングの変更は、アクションを実行する前に検証および文書化する必要がある。標準から外れたあらゆる種類の電信送金は、侵害の原因となったイベントがこのシナリオに関連している場合、検証される可能性がある。

Cysuranceからの登録確認を見つける

受信トレイに、orders@cysurance.comからサービス保証アクティベーションの確認 - 重要な情報という件名のメールが届いていないか確認してください。

インシデント請求を送信する

インシデントは、発見から48時間以内に指定されたフォームを使用して報告する必要があります。セキュリティコントロールの検証や、請求処理のための補足情報の提供を求める要求には、速やかに対応する必要があります。15日以内に保証を裏付ける必要な請求を提出しなかった場合、請求は無効と見なされ、取り消される場合があります。

Cysuranceの連絡先情報

サイバー保証プログラムに関する質問については、Cysurance

(電子メール: claims@cysurance.com、

電話: +1.917.503.8031)にお問い合わせください。

詳細については、認定保証に関するFAQを参照してください。

˄˅