ประกันภัยไซเบอร์สำหรับ SME: 5 คำถามที่ต้องถามก่อนซื้อ

SME กับความเสี่ยงทางไซเบอร์: ไม่ได้เล็กเกินไปที่จะถูกโจมตี

ธุรกิจ SME หลายแห่งในประเทศไทยเชื่อว่า "แฮกเกอร์ไม่สนใจบริษัทเล็ก" แต่ความจริงคือ SME เป็นเป้าหมายที่นิยม เพราะ:

• ระบบรักษาความปลอดภัยอ่อนแอกว่าบริษัทใหญ่
• มีข้อมูลลูกค้า เงิน และข้อมูลธุรกิจที่มีค่า
• มักไม่มีทีม IT ความปลอดภัยเฉพาะทาง
• เป็นช่องทางเข้าสู่ห่วงโซ่อุปทานของบริษัทใหญ่

จากข้อมูลในภูมิภาค เหตุการณ์ Ransomware ต่อ SME เพิ่มขึ้น 300% ใน 3 ปีที่ผ่านมา

ประกันภัยไซเบอร์คุ้มครองอะไร?

First Party Coverage (ความเสียหายต่อตัวเอง)

• ค่าใช้จ่ายตอบสนองเหตุการณ์ — จ้างผู้เชี่ยวชาญด้านความปลอดภัยมาแก้ไข
• ค่ากู้ข้อมูล — ค่าบริการกู้ข้อมูลจาก Ransomware
• ค่าหยุดชะงักธุรกิจ — รายได้ที่ขาดหายจากการหยุดระบบ
• ค่าแจ้งเตือนผู้ได้รับผลกระทบ — แจ้งลูกค้าที่ข้อมูลรั่วไหล
• ค่าตรวจสอบนิติเวช — ตรวจสอบขอบเขตและสาเหตุ

Third Party Coverage (ความรับผิดต่อบุคคลที่สาม)

• ความรับผิดต่อลูกค้า — ข้อมูลลูกค้ารั่วไหล
• ค่าทนาย + ค่าศาล — กรณีถูกฟ้อง
• ค่าปรับจากหน่วยงานกำกับ — PDPA, คณะกรรมการ ธปท.
• ค่า PR / กู้ชื่อเสียง — บางกรมธรรม์คุ้ม

5 คำถามที่ต้องถามก่อนซื้อ

1. ธุรกิจของเราเก็บข้อมูลอะไรบ้าง?

ยิ่งเก็บข้อมูลที่ละเอียดอ่อนมาก ยิ่งต้องการความคุ้มครองสูง:

• ข้อมูลส่วนบุคคล (PDPA) — ชื่อ เบอร์โทร อีเมล → ต้องมีครอบคลุม Data Breach
• ข้อมูลการเงิน — เลขบัตรเครดิต บัญชีธนาคาร → ต้องมี PCI-DSS coverage
• ข้อมูลทางการแพทย์ — ประวัติสุขภาพ → ต้องมีครอบคลุมพิเศษ
• ทรัพย์สินทางปัญญา — สูตร แบบแปลน → ต้องมี IP coverage

2. ระบบ IT ของเราอยู่บน Cloud หรือ On-premise?

• Cloud — ต้องเช็คว่า Cloud Provider มีประกันไซเบอร์ของตัวเองหรือไม่ และครอบคลุมถึงผู้ใช้หรือไม่
• On-premise — ต้องดูแลเองทั้งหมด ต้องมีประกันครอบคลุม
• Hybrid — ต้องเช็คให้ครอบคลุมทั้งสองส่วน

3. เราทำธุรกิจออนไลน์หรือไม่?

ธุรกิจ E-commerce, รับชำระเงินออนไลน์, มีเว็บไซต์ขายของ:

• ต้องมีความคุ้มครอบคลุม การทำธุรกิจอิเล็กทรอนิกส์
• ความรับผิดจากละเมิดลิขสิทธิ์ออนไลน์
• ความรับผิดจากโฆษณาที่เข้าข่ายผิดกฎหมาย

4. ทุนประกันเท่าไหร่จึงเพียงพอ?

คำนวณจาก:

• จำนวนข้อมูลที่เก็บ (ราคาต่อ record ที่รั่ว)
• รายได้ต่อวัน (กรณีระบบหยุดชะงัก)
• ค่าใช้จ่ายในการแจ้งเตือนผู้ได้รับผลกระทบ

แนะนำ:

• SME ขนาดเล็ก: 5-10 ล้านบาท
• SME ขนาดกลาง: 10-50 ล้านบาท
• SME ที่เก็บข้อมูลละเอียดอ่อน: 50 ล้านบาทขึ้นไป

5. มีข้อกำหนดด้านความปลอดภัยขั้นต่ำหรือไม่?

บริษัทประกันส่วนใหญ่กำหนดข้อกำหนดขั้นต่ำ:

• มี Firewall / Antivirus
• มีการสำรองข้อมูลเป็นประจำ
• มีระบบอัปเดต Patch สม่ำเสมอ
• มีรหัสผ่านที่แข็งแกร่ง
• มีการฝึกอบรมพนักงาน

หากไม่ปฏิบัติตาม อาจเคลมไม่ได้

PDPA กับประกันไซเบอร์

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) บังคับใช้แล้ว ธุรกิจที่ข้อมูลลูกค้ารั่วไหลอาจ:

• ถูกปรับสูงสุด 5 ล้านบาท
• ถูกฟ้องเรียกค่าเสียหายจากเจ้าของข้อมูล
• เสียชื่อเสียง

ประกันไซเบอร์ที่ดีควรครอบคลุม ค่าปรับ PDPA + ค่าทนาย + ค่าแจ้งเตือน

สรุป

1. SME ก็เสี่ยง — ไม่ได้เล็กเกินไปที่จะถูกโจมตี
2. เช็คข้อมูลที่เก็บ — ยิ่งละเอียดอ่อน ยิ่งต้องคุ้มครอง
3. ถาม 5 คำถาม ก่อนซื้อทุกครั้ง
4. PDPA บังคับแล้ว — ประกันไซเบอร์ช่วยลดภาระ

---

ปรึกษาฟรีเรื่องประกันไซเบอร์

ทีม Siam Advice Firm พร้อมวิเคราะห์ความเสี่ยงทางไซเบอร์ของธุรกิจ และแนะนำกรมธรรม์ที่เหมาะสม

• Add LINE OA: @siamadvicefirm