Чем страхование киберрисков привлекает страховщиков и иншуртех-стартапы? Что реально можно застраховать?

Страхование киберрисков существует давно, но после пандемии программы серьезно обновились. Теперь клиентами по таким договорам становятся не только банки и отраслевые гиганты, но и средний бизнес в разных отраслях.

Страховой кибер-полис обеспечивает защиту рисков, связанных с повреждением или утратой информационных данных, ПО, «железа», вынужденными простоями, а также компенсирует ущерб третьим лицам. Если произошла хакерская атака или персональные данные клиентов утекли в сеть из-за невнимательности сотрудника, страховая компания компенсирует потери.

Киберриски страхуются точечно и системно. Условия рассчитываются индивидуально, тарифы и лимиты зависят от конкретной IT-инфраструктуры и уровня конфиденциальности данных. Страхование «от всего» и полисы «в один клик» здесь не применимы.

Киберриски — это не новая реальность, созданная ковидом. Просчитывать киберриски, управлять ими и обрабатывать страховые случаи (с оценкой ущерба и сумм компенсаций) — задача непростая и дорогая. Нужна своя развитая IT-инфраструктура, команды (от инженеров до менеджеров и оценщиков), привлеченные эксперты (например, если случай особый, а объект — закрытый). К тому же, до пандемии основными потребителями таких страховок были банки и IT-гиганты. Рынок маленький и сложный, желающих играть на нем было мало. Но в 2020 году все изменилось. Из-за пандемии мировой интерес к таким страховкам возрос на порядки.

В нишу страхования киберрисков пошли все: от реальных страховщиков до иншуртех-стартапов. В маркетинг тоже вложились все, в итоге у потенциальных клиентов возник переизбыток информации при дефиците знаний. Во-первых, страховые риски — это внезапные и непредвиденные события. Во-вторых, перечень информационных рисков (или киберрисков), пригодных для реального страхования, не такой большой, как принято считать.

Киберриски, которые реально можно застраховать:

1. Целенаправленная (таргетированная) компьютерная атака
2. Внедрение вредоносных компьютерных программ (вирусов), разработанных третьими лицами
3. Внезапные и непредвиденные технические сбои в работе ПО и/или «железа»
4. Непреднамеренные ошибки персонала, которые привели к таким сбоям

Последствия, которые тоже страхуются:

1. Утрата электронных данных и/или ПО
2. Хищение интеллектуальной собственности в электронной форме
3. Неправомерное использование вычислительных ресурсов третьими лицами (спам-рассылки, участие в botnet-сети от вашего имени, майнинг и др.)
4. Перерывы в коммерческой (производственной) деятельности из-за сбоев информационной системы или недоступности электронных данных
5. Кибервымогательство
6. Хищение денег/ценных бумаг в электронной форме со счетов третьими лицами
7. Претензии третьих лиц (нарушение конфиденциальности, разглашение персональных данных и т. д.) Сюда же входит ответственность за ущерб их жизни и здоровью
8. Гибель или повреждение компьютерного, производственного оборудования, а также готовой продукции, в результате реализации любого из застрахованных рисков.

Страхование киберрисков — это такой набор монощитов, которые точечно устанавливаются в самые нагруженные и уязвимые места IT-систем, чтобы компенсировать убытки, которые возникнут в случае ЧП на конкретном участке виртуального пространства. И речи о комплексной защите IT-систем от всех рисков (по аналогии со страхованием имущества) здесь не идет. «Страховка от всего» в приложении к киберрискам будет сверхдорогой и бесполезной, гораздо эффективнее страховать угрозы точечно и верно оценивать суммы возможного ущерба.

Если не понимать этой сути управления информационными рисками, создается ложное впечатление, что a) страховка состоит из одних исключений, b) реальной защиты нет, с) тратить деньги на страхование киберрисков можно разве что в имиджевых целях. На практике страхование информационных рисков успешно работает, и не только в банковском секторе и IT, но и в промышленном производстве. Не стоит забывать, что современные конвейерные линии роботизированы, а шельфовые вышки давно качают нефть «через интернет». E-commerce, консалтинг, ритейл и другие отрасли в эту систему тоже активно включаются.