L'intermediario assicurativo (broker) manda il questionario due mesi prima del rinnovo. Alla voce "autenticazione a più fattori" l'azienda risponde di sì, perché è vero: c'è sul firewall, c'è sulla posta. Poi la compagnia chiede l'esportazione delle politiche di accesso e salta fuori che l'amministratore dei server, la VPN e la console di backup non hanno nessun secondo fattore. La risposta era vera a metà, e la metà che mancava è quella che conta.

Nel 2026 il mercato assicurativo cyber è cambiato in un modo che sorprende chi lo guarda da fuori: i premi scendono, i controlli richiesti salgono. In alcuni mercati le riduzioni medie sono state del 7% in un trimestre, con punte più alte nel segmento medio. Sembrerebbe il momento giusto per firmare. In realtà è il momento in cui le compagnie stanno scegliendo con più attenzione chi entra in portafoglio, perché i sinistri gravi costano sempre di più.

Da "ce l'abbiamo" a "ecco la prova"

La differenza tra un questionario del 2022 e uno del 2026 non è l'elenco delle domande, è il modo in cui vengono verificate. Prima bastava una casella. Oggi il sottoscrittore (underwriter) chiede un report: la copertura MFA esportata dalla piattaforma di identità, il numero di dispositivi con l'agente attivo rispetto al totale, la configurazione del backup e la data dell'ultimo test di ripristino.

Le guide di settore distinguono due categorie: controlli "documentati", che esistono in una procedura scritta, e controlli "implementati", che sono effettivamente in funzione. Le compagnie chiedono i secondi, con date. Una regola configurata per registrare soltanto, senza bloccare, non è un controllo: è un'intenzione.

Due casi nordamericani mostrano quanto costa la differenza.

Nel primo, un'azienda aveva dichiarato nel questionario di proposta che la MFA proteggeva gli accessi amministrativi. In realtà proteggeva solo il firewall. Dopo un attacco ransomware che ha sfruttato un account amministrativo senza secondo fattore, la compagnia ha chiesto l'annullamento della polizza e la vertenza si è chiusa con un accordo che ha dichiarato il contratto nullo fin dall'inizio. Non è servita una sentenza: è bastato che l'assicurato rinunciasse a sostenere la propria versione.

Nel secondo, una città canadese aveva una polizza cyber e la MFA in alcuni reparti. L'attacco del 2024 ha paralizzato i servizi per settimane, e la relazione interna ha indicato l'assenza di MFA come causa principale. La polizza non copriva le perdite causate proprio da quella mancanza: circa 5 milioni di dollari canadesi di richieste rimaste senza risposta, su un costo di ripristino arrivato a 18,3 milioni.

La lezione è sempre la stessa: non conta quello che hai scritto, conta quello che era acceso quella notte.

Le sette aree che guardano tutti

Il questionario cambia parole da una compagnia all'altra, ma la sostanza gira intorno a sette punti.

Autenticazione a più fattori, dove conta. Posta, accesso remoto, console cloud, account privilegiati e infrastruttura di backup. "Quasi tutti gli utenti" non basta, e un vecchio sistema che non supporta la MFA richiede una deroga scritta con una data di dismissione.

Rilevamento sui dispositivi (endpoint). L'antivirus da solo non soddisfa più. Serve un agente su postazioni e server, con qualcuno che guarda gli allarmi, e una copertura che si avvicini al totale: sotto il 95% iniziano a comparire condizioni e sublimiti.

Backup irraggiungibili. Fuori sede, immutabili o offline, con credenziali separate dalla rete principale. E la domanda che quasi nessuno sa rispondere: quando hai provato l'ultimo ripristino? Il metodo è in backup aziendale e regola 3-2-1.

Gestione delle patch. Con che tempi chiudi una vulnerabilità critica, e hai ancora sistemi fuori supporto? Un solo server con un sistema operativo non più aggiornato può far saltare una pratica per il resto impeccabile. Ne parliamo in patch e vulnerabilità.

Filtro della posta e formazione. Autenticazione del dominio, filtro avanzato, simulazioni e persone che sanno cosa fare. Il riferimento pratico è SPF, DKIM e DMARC e il programma di cybersecurity awareness.

Accessi privilegiati e fornitori. Account amministrativi separati da quelli quotidiani, revisione periodica, accessi dei terzi censiti e revocati quando finisce il lavoro.

Piano di risposta scritto. Ruoli con un nome, contatti di consulenti e legale, un'esercitazione fatta nell'ultimo anno. Se il piano non è mai stato provato, per il sottoscrittore non esiste.

Il dettaglio che quasi tutti sbagliano: quale MFA

Le compagnie non contano più i fattori, li valutano. Le analisi di mercato mostrano che la presenza di MFA è ormai dichiarata da una quota tra il 90% e il 100% dei richiedenti, quindi non distingue più nessuno. Quello che distingue è il tipo: l'autenticazione resistente al phishing, quella con chiavi hardware o passkey, risulta associata a una probabilità di violazione più bassa di circa il 9% rispetto a quella tradizionale. E chi copre tutti gli accessi remoti e amministrativi ha una probabilità di attacco riuscito circa una volta e mezza più bassa.

C'è una ragione tecnica precisa. I kit di phishing moderni mettono un proxy tra l'utente e il sito vero, e si tengono il cookie di sessione dopo che l'utente ha inserito password e codice. Un SMS, un'app di codici o una notifica push si lasciano inoltrare. Una chiave legata al dominio no. È lo stesso meccanismo dietro il furto di sessione che trattiamo in un altro articolo: se la sessione viene rubata, la MFA tradizionale non ha protetto nulla.

Per una PMI questo significa una cosa concreta: spendere per una chiave hardware sui cinque account che amministrano tutto vale più che distribuire un'app di codici a tutti.

Come si prepara un rinnovo senza sorprese

Novanta giorni prima, non quindici.

Rileggi il questionario dell'anno scorso e controlla se ogni risposta è ancora vera. Le aziende cambiano, i sistemi restano: un server dismesso, un fornitore nuovo, un amministratore andato via con le sue credenziali. Ogni risposta che si è spostata è un'esposizione su una polizza che stai già pagando.

Poi raccogli le prove mentre sistemi, non alla vigilia:

  • report di copertura MFA esportato dalla piattaforma di identità, con la data;
  • elenco dei dispositivi con l'agente attivo rispetto al totale, per reparto;
  • configurazione del backup e registri degli ultimi test di ripristino;
  • report di conformità delle patch e lista dei sistemi fuori supporto;
  • verbale dell'ultima esercitazione e contatti di consulenti e legale.

Bastano poche ore se hai i sistemi in ordine. Se non li hai, il tempo serve per metterli in ordine, non per stampare.

Infine, la parte più difficile: dire la verità sui vuoti. Un sottoscrittore reagisce peggio a una sorpresa dopo il sinistro che a un controllo mancante dichiarato con una data di chiusura. Una lacuna scritta con un piano trasforma un rifiuto in una quotazione condizionata.

Le stesse prove servono altrove

C'è un vantaggio collaterale che vale la pena notare. Gli stessi documenti che l'assicurazione chiede sono quelli che un cliente strutturato chiede in una gara, che un revisore chiede in ambito NIS2, che un fornitore chiede nel tuo questionario di qualifica. Non è lavoro doppio: è la stessa cartella, usata in tre contesti diversi.

Ed è il motivo per cui vale la pena costruirla una volta e tenerla aggiornata, invece di ricostruirla ogni volta sotto scadenza. Una sentinella che conserva le tracce di ciò che ha visto, con data e ora, produce esattamente questo: non una dichiarazione, ma un registro. Ne parliamo in un pomeriggio di igiene, e la sentinella che manca.

Il testo della polizza, le clausole e le esclusioni le legge l'intermediario. La parte tecnica, quella che decide se la copertura risponde o no, si prepara in azienda.