О том, что страхование от киберрисков — перспективное направление, участники страхового рынка России говорят не один год. Но активного развития оно так и не получило. Что сегодня доступно потребителям?
Если компьютер взломали, обыватель, не искушенный в тонкостях хакерского дела, может об этом сразу и не узнать. Специалисты в сфере IT-безопасности инцидент увидят. Но что делать, если работаешь из дома и из перечня доступных защит — только антивирус?!
Конечно же, мы утрируем ситуацию — компьютеры сотрудников компаний, имеющих доступ к важной информации и работающих удаленно, совсем не беззащитные. Но чем сложнее и безопаснее способы защиты информации, тем они дороже. Значит, менее доступны. Как страхование может помочь защититься от киберрисков?
Страхование для крупных?
Наибольший интерес к киберстрахованию проявляют промышленные предприятия, провайдеры облачных услуг, консалтинговые компании
Еще в прошлом году страхование от киберугроз считалось продуктом преимущественно для крупного финансового бизнеса — хотя оно не являлось обязательным требованием, но имидж и соответствие стандартам безопасности дороже, чем расходы на страховку. Сейчас, по словам директора по рискам СК «Сбербанк страхование» Владимира Новикова, сложно выделить отрасли, представители которых чаще страхуют свой бизнес от киберрисков. Директор департамента страхования финансовых рисков и ответственности СК «АльфаСтрахование» Денис Зенка говорит, что наибольший интерес к киберстрахованию проявляют промышленные предприятия, провайдеры облачных услуг, консалтинговые компании. «И чаще всего наличие защиты от киберугроз является основным требованием для заключения контрактов c клиентами», — добавляет он.
Даже малый и средний бизнес, чьи доходы сильно сократились из-за пандемии, по данным опроса «Лаборатории Касперского», за последний год в среднем тратил на обеспечение безопасности корпоративного периметра по 4,7 млн рублей на каждую компанию. По мнению директора по отраслевым решениям IT-компании КРОК в страховании Андрея Крупнова, причина в том, что из-за перевода части сотрудников на удаленную работу и без того впечатляющий набор рисков хищения личной информации расширился еще и угрозами утечки данных работодателя. «Коронавирус с последовавшими за ним карантинными мерами и переходом на «удаленку», выходом чувствительной информации за защищенные контуры компаний и повысившейся в связи с этим активностью киберпреступников стал стимулирующим фактором», — говорит он. По данным исследования КРОК, за первое полугодие 2020-го в России на 47% выросло число утечек данных по вине сотрудников компаний, общий ущерб оценивается в 1,8 млрд рублей. «Самыми частыми нарушителями стали сотрудники сотового ретейла и банков, продающие в даркнете детализацию действий клиентов, — говорит Крупнов. — Более 30% таких утечек — это телефонные номера, включая детализацию вызовов, и паспортные данные, так как их достаточно легко монетизировать, что особенно актуально на фоне падения доходов».
«Я подозреваю, что в ближайшие полгода мы будем наблюдать рост числа различных утечек данных и взломов, потому что даже в крупных компаниях, у которых все замечательно с информационной безопасностью, профильным специалистам непросто контролировать все, что происходит на домашних компьютерах сотрудников», — считает руководитель департамента технологический решений для расследований CSI Group Олег Безик.
Что предлагают страховщики
«Принципы и подходы страхования киберрисков схожи с обычным страхованием, разница лишь в том, что в данном случае страховое событие связано с цифровыми активами предприятия или физлица, — объясняет Владимир Новиков. — Страховой случай связан с двумя фактами — наличия инцидента нарушения кибербезопасности и материального ущерба, который понес страхователь».
Когда факт установлен, страховщик рассчитывает понесенный ущерб в соответствии с условиями в полисе
Фиксирует страховой случай специализированная IT-компания, с которой сотрудничает страховщик. Как правило, это компании, которые широко известны на рынке услуг по информационной защите и безопасности. Когда факт установлен, страховщик рассчитывает понесенный ущерб в соответствии с условиями в полисе. Страховым случаем признаются убытки, понесенные компанией или третьим лицом из-за несанкционированного входа в информационную систему. Среди них:
- расходы на реагирование, экспертизу, установление причин инцидента и выявление уязвимостей;
- потерянная прибыль;
- хищение денежных средств;
- кибервымогательство;
- расходы на восстановление данных и работы информационных систем;
- постоянные расходы, которые компания продолжает нести во время перерыва в деятельности;
- расходы на уведомление пострадавших третьих лиц (например, клиентов);
- расходы на возмещение компанией убытков третьих лиц в результате киберинцидента, за которые компания несет ответственность;
- расходы в связи с восстановлением репутации.
Например, если в полисе указан случай возмещения убытков от перерыва в производстве, то возмещаются не только расходы на восстановление IT-систем, но и затраты предприятия за период вынужденного простоя.
Киберстрахование для «чайников»
Для бизнеса, по наблюдениям Олега Безика, самыми распространенными киберугрозами остаются фишинговые письма (на почту приходит письмо с внешне безобидным файлом, пользователь открывает его и тем самым запускает вредоносный исполняемый код, который может скрытно собирать, изменять или уничтожать информацию о фирме и ее сотрудниках, подготавливая тем самым почву для более серьезной атаки, например для автоматизированной кражи денежных средств). Для обычных граждан взлом чреват тем же списанием денег с банковского счета или обращением от вашего имени с просьбой финансовой помощи, если мошенники получили доступ к вашему аккаунту в соцсети.
На страховом рынке для физлиц в основном представлена защита от угрозы списания средств с банковского счета — такая страховка позволяет компенсировать ущерб от трансакций и потери денег при совершении интернет-покупок на фишинговых сайтах и при кибератаках на смартфон или компьютер клиента. Обойдется услуга в несколько тысяч рублей. В более дорогом сегменте страховщик может включить в полис годовую лицензию на антивирус от компании-партнера, в том числе и для установки на домашний компьютер. «Антивирус блокирует вирусы, шифровальщики и другие угрозы, а также защищает ценные файлы на устройствах и компьютерах. Если из-за подхваченного вируса или кибератаки у клиента были списаны деньги с карты, выплата будет произведена только при наличии установленного антивируса», — рассказывает Владимир Новиков.
Можно найти и отдельные полисы страхования от взлома домашнего компьютера, правда, эта услуга не слишком востребованная. «Физлица могут получить договор страхования киберрисков, аналогичный договору юрлица», — говорит начальник управления страхования банковских и информационных рисков СК «Ингосстрах» Антон Казиев.
В условиях страхования, как правило, устанавливается период обнаружения, который может доходить до 180 дней в отношении инцидента
Принцип действия его такой же, как и с юрлицами: страхователь должен обнаружить взлом и заявить о нем страховщику. Но что, если он не сразу заметил утечку информации? «Кибератаки могут быть распределены по времени: сначала вредоносное программное обеспечение проникает на устройство потенциальной жертвы, а потом активируется в нужный для злоумышленника момент, — продолжает Владимир Новиков. — Поэтому в условиях страхования, как правило, устанавливается период обнаружения, который может доходить до 180 дней в отношении инцидента». Дальше страховщик фиксирует страховой случай. «Если происходит утрата информации, страховщик оплачивает ее восстановление соответствующими специалистами, — объясняет Антон Казиев. — Если речь о страховании систем интернет-банка (мобильного банка), установленных на устройствах физлиц, то инцидент расследуется банком и компетентными органами. Наступление страхового случая определяется на основании банковских документов или документов компетентных органов в зависимости от риска. Дальше страхователю возмещается сумма похищенных средств».
Ставка на МСП
В конце сентября филиал «Ингосстраха» в Астраханской области заключил первый договор страхования сайтов от киберрисков, который предусматривает защиту от потери значимой информации на сайте и утраты доступа к нему в результате кибератаки или заражения вирусом. Продукт запустили летом нынешнего года, в расчете на частных лиц, а также владельцев предприятий малого и среднего бизнеса. Условия урегулирования убытков предусматривают приоритет натурального возмещения — при наступлении страхового случая партнер «Ингосстраха» обеспечивает выполнение технических работ для восстановления информации и работоспособности сайта.
На нынешней неделе Страховой Дом ВСК совместно с сервис-провайдером тиражируемых услуг безопасности Angara Professional Assistance запустил сервисно-страховой продукт по комплексной защите малого и среднего бизнеса от кибератак. Страхователь покупает полис, ему устанавливают программное обеспечение на рабочих компьютерах и подключают к Центру киберустойчивости ACRC. С этого момента эксперты-аналитики Angara Professional Assistance удаленно и круглосуточно мониторят состояние информационной инфраструктуры, выявляют инциденты ИБ и реагируют на них. Интеллектуальная основа сервиса — программное решение «Лаборатории Касперского» по защите от сложных и неизвестных угроз и платформа ACRP, предназначенная для мониторинга, расследования и аналитики киберугроз.
То есть речь уже идет не о традиционном страховом полисе, а о сервисной услуге, когда клиенту сначала выстраивают надежную защиту информационных активов. Под присмотром находятся компьютерная техника, базы данных, ПО, приложения, сайты, почта, облачные сервисы, а также денежные средства и ценные бумаги на счетах в банках. Страховое возмещение предусмотрено при повреждении или утрате компьютерных, информационных, финансовых активов, в случае перебоев в хозяйственной деятельности. Возмещаются также расходы на расследование инцидентов ИБ и компенсация вреда клиентам страхователя, пострадавшим от утечки персональных или конфиденциальных данных.
Добавьте сервиса
Важно дополнить страховое покрытие сервисной составляющей
Андрей Крупнов считает, что развитие страхования от киберрисков в России будет зависеть именно от предложения страховыми компаниями страховок не просто с покрытиями, а и с услугами по снижению риска и предотвращению страховых событий или минимизации ущерба. «Главный элемент мирового опыта, который можно и нужно перенять, — это комплексность подхода к страховой услуге, — говорит он. — Важно дополнить страховое покрытие сервисной составляющей — мониторингом рисков, инструментами по их минимизации, услугами быстрого реагирования на киберинциденты и ликвидации (или минимизации) их последствий».
Пример такого продукта недавно представил в Великобритании страховой гигант Chubb — это личное киберстрахование. Он помимо покрытия и дополнительных услуг по снижению рисков и обеспечению безопасности клиентов содержит еще практическую помощь страхователю, если тот стал жертвой в ходе киберинцидентов:
- проактивное отслеживание учетных записей, рассылка предупреждений пользователям о нарушении целостности данных;
- юридическая поддержка в делах о сетевых издевательствах и домогательствах;
- починка/замена зараженных устройств, восстановление уничтоженного или похищенного цифрового содержимого;
- возмещение ущерба.
«Без сервисной составляющей рынок киберстрахования в России не будет развиваться, какие бы меры по его стимулированию ни принимались», — уверен Андрей Крупнов. Хотя, по его словам, перспективы киберстрахования в нашей стране будут зависеть и от активности различных регуляторов и надзорных органов. «Например, в США и Европе существенный рост сбора премии по этому виду был зафиксирован после введения значительных штрафов за нарушение соответствующих законов о защите персональных данных», — говорит он.
По оценке рейтингового агентства Standard and Poor's, на сентябрь 2020 года рынок киберстрахования в мире составлял 5 млрд долларов с потенциалом роста на 20—30%. Причем сегмент страхования малого бизнеса более чем удвоил свою долю за 2018—2019 годы. Российский рынок киберстрахования, по информации ТАСС, на начало 2020 года не превышал нескольких миллионов долларов. Договоры заключали в основном крупные финансовые структуры, IT-компании, крупные промышленные предприятия. Прогноз роста рынка киберстрахования в России к 2025 году — до 8—10 млрд рублей в год.
По мнению самих страховщиков, развитию киберстрахования мешает еще низкий уровень осведомленности физлиц о возможности застраховаться от киберугроз, «Для юрлиц барьер заключается в том, что в большинстве случаев затраты на страхование киберрисков нельзя отнести к себестоимости предприятия и бизнес не получает налоговые послабления, — говорит Владимир Новиков. — Это пробел в законодательстве, который необходимо устранять, ведь по своей ценности цифровые активы предприятия становятся часто дороже физических. И их защита также важна для финансового здоровья бизнеса».
