Cyber Insurance Underwriter

En cyber insurance underwriter vurderer noget, man ikke kan se fra vejen. Ved brandforsikring kan man køre ud og kigge på bygningen. Her skal man vurdere, om en virksomheds it-opsætning holder, ud fra et spørgeskema og nogle scanninger.

De centrale spørgsmål er få og hårde. Har de multifaktorgodkendelse på alt, der vender ud mod internettet? Har de backup, som ikke kan krypteres med? Har de patchet det, der skal patches? Ved de, hvem deres kritiske leverandører er?

Et nej til multifaktorgodkendelse er i praksis et nej til policen hos mange selskaber. Det er faget skåret ind til benet.

Hvad policen dækker

• Driftstab efter et angreb, ofte det største beløb i en skade
• Genetablering af data og systemer
• Løsesumsdækning og forhandling ved ransomware, med de begrænsninger sanktionsreglerne sætter
• Incident response: it-forensikere, jurister og kommunikationsrådgivere fra time ét
• Ansvar over for kunder og registrerede efter et databrud
• Bøder fra Datatilsynet, i det omfang de overhovedet kan forsikres
• Cyberkriminalitet som CEO-svindel og fakturamanipulation, ofte som tilvalg

Typiske opgaver

• Læse forespørgsler fra mæglere som Marsh, Aon, Willis Towers Watson, Söderberg & Partners eller Contea
• Gennemgå kundens svar i et cyberspørgeskema og stille de opfølgende spørgsmål
• Køre ekstern scanning af kundens it-overflade og vurdere fundene
• Holde risikodialog med kundens it-chef eller CISO, ofte det mest afgørende møde
• Prissætte policen og fastsætte summer, sublimits og selvrisiko
• Skrive vilkår og undtagelser, blandt andet for krig og statsstøttede angreb
• Stille krav til kunden som forudsætning for dækning, for eksempel MFA og offline backup
• Vurdere kumulering: hvad sker der, hvis alle kunder bruger samme cloud-leverandør
• Placere store risici i facultativ genforsikring
• Følge op på porteføljen og beslutte, hvilke brancher man ikke vil tegne

En almindelig arbejdsdag

Indbakken styrer. Der ligger forespørgsler med frist, fordi kundens police udløber. Formiddagen går med at læse spørgeskemaer og regne.

Eftermiddagen kan gå med et videomøde med en kundes it-afdeling. Her afgøres sagen ofte. Man hører hurtigt, om der er styr på det, eller om svarene er skrevet af en, der ikke selv drifter systemerne.

Der er tæt kontakt til selskabets egne cyberspecialister og til de incident response-partnere, selskabet har aftale med. Man følger også med i, hvad der sker i markedet. Et stort angreb på en dansk leverandør ændrer risikobilledet på en uge.

Sproget er dansk med kunder og mæglere. Engelsk i vilkår, genforsikring og i internationale programmer.

Hvilken lovgivning dækker denne rolle?

Selve stillingen kræver ingen autorisation for en ansat i et forsikringsselskab. Rådgiver du som mægler eller agent, gælder EU's IDD-direktiv og lov om forsikringsformidling, hvor Finanstilsynet fører tilsyn. Selve forsikringsaftalen er reguleret af forsikringsaftaleloven, herunder reglerne om kundens oplysningspligt — som får særlig vægt, når kunden har svaret forkert i et cyberspørgeskema. Kundernes underliggende pligter kommer fra GDPR, hvor Datatilsynet er myndighed og hvor databrud skal anmeldes inden 72 timer, samt fra EU's NIS2-direktiv, der i Danmark er gennemført med lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau. Finansielle kunder er desuden omfattet af EU's DORA-forordning. Betaling af løsesum skal holdes op mod EU's sanktionsforordninger og hvidvaskloven.

Der findes ingen uddannelse til cyber insurance underwriter. Faget er nyt, og alle i det er kommet ind fra en af to sider: forsikring eller it-sikkerhed.

Vejen fra forsikringssiden

• Finansøkonom, 2 år, eller professionsbachelor i finans, 3,5 år
• Cand.merc., cand.jur. eller cand.merc.jur. for de større kunder
• Erfaring som underwriter i erhvervs- eller ansvarsforsikring, hvorfra man specialiserer sig
• Skadebehandler i erhverv, der har set cybersager tæt på

Kommer du denne vej, skal du lære it-sikkerhed. Det tager tid, og du bliver aldrig teknisk ekspert. Du skal blot kunne stille de rigtige spørgsmål og forstå svarene.

Vejen fra it-siden

• Datamatiker, 2,5 år, eller professionsbachelor i softwareudvikling
• Cand.merc.it, cand.it i cybersikkerhed eller civilingeniør i it-sikkerhed fra DTU eller Aalborg Universitet
• Erfaring som sikkerhedskonsulent, SOC-analytiker eller it-revisor
• GRC-rådgiver, der har arbejdet med ISO 27001 eller NIS2-modenhed

Kommer du denne vej, skal du lære forsikringsteknik: hvad en police er, hvordan vilkår hænger sammen, og hvad en selvrisiko betyder i praksis.

Adgangskrav til de nævnte uddannelser er en gymnasial eksamen eller relevant erhvervsuddannelse, typisk med matematik C eller B. Kravene står på uddannelsernes optagelsessider under Uddannelses- og Forskningsministeriet.

Certificeringer der tæller

Ingen er lovkrav, men de nævnes ofte i stillingsopslag.

• CISSP eller CISM, hvis du vil dokumentere sikkerhedsforståelse
• CISA, hvis du kommer fra revision
• ISO 27001 Lead Implementer eller Lead Auditor
• Chartered Insurance Institute-eksaminer, som har et selvstændigt cyberfag
• Forsikringsakademiets kurser i forsikringsteknik og erhvervsforsikring

Vejen til titlen

Der går typisk 2-5 år, før man har en reel tegningsfuldmagt og selv skriver under på større risici. Cyber er et af de områder, hvor man hurtigst får ansvar, netop fordi der mangler folk.

Arbejdsgivere i Danmark

Tryg, Topdanmark, Alm. Brand, If, Gjensidige og Codan har cyberteams. De internationale selskaber med dansk tilstedeværelse — AIG, Chubb, Zurich, Beazley og HDI — er stærke på cyber. Enkelte mæglere driver underwriting agencies med tegningsfuldmagt. Der er også stillinger på mæglersiden som cyberspecialist, hvor man rådgiver kunden i stedet for at tegne.

Hvad man skal kunne

Du skal kunne oversætte begge veje. It-chefen taler om segmentering og EDR. Ledelsen taler om kroner og selvrisiko. Underwriteren står midt imellem. Og du skal turde sige nej til en stor kunde, fordi de ikke har MFA på deres VPN.

Risikovurdering af kunden

Udefra-scanninger er standard i faget. Værktøjer som Bitsight, SecurityScorecard, Panorays og RiskRecon giver en score på kundens synlige it-overflade. Scoren er et udgangspunkt, ikke et facit — den ser kun det, der vender udad.

Supplerende kilder:

• Have I Been Pwned og lækkede datasæt til at se, om kundens medarbejdere har eksponerede kodeord
• Shodan og lignende til at se åbne tjenester på kundens ip-adresser
• Certifikatgennemsigtighed og DNS-opslag til at kortlægge domæner
• Trusselsbilleder fra Center for Cybersikkerhed og fra Digitaliseringsstyrelsen

Rammeværk kunden måles mod

ISO 27001 og NIST Cybersecurity Framework bruges som fælles sprog i risikodialogen. CIS Controls bruges til de konkrete krav. For kunder omfattet af NIS2 eller DORA spørges der direkte ind til modenhed på de områder.

Prissætning og portefølje

Excel er stadig arbejdshesten til tekniske prismodeller og porteføljeoverblik. Tariferingsmodellerne kommer fra aktuarafdelingen. Kumuleringsanalyser laves ofte i Excel eller Python og handler om, hvor mange kunder der deler samme cloud-, ERP- eller mailleverandør.

Cyberkatastrofemodeller findes hos CyberCube, Kovrr og Verisk. De bruges især i de større selskaber og hos genforsikrere til at regne på et angreb, der rammer mange kunder samtidig.

Kundedata og systemer

• CVR og regnskaber via Virk, Bisnode eller Experian, til at bedømme omsætning og branchekode
• Police- og underwritingsystemer, ofte Guidewire PolicyCenter, Sapiens eller egne løsninger
• CRM som Salesforce eller Dynamics til mæglerrelationer og fornyelser
• Outlook, som reelt er sagsstyringssystemet

Vilkår

Danske cyberpolicer bygger på selskabernes egne betingelser. Internationalt bruges Lloyd's-klausuler, blandt andet krigsundtagelserne LMA5564 og beslægtede numre, som fylder meget i forhandlinger om statsstøttede angreb.