Пресса о страховании, страховых компаниях и страховом рынке

ComNews.ru, 2 октября 2023 г.

Нецифровая защита: как уберечь бизнес от финансовых потерь из-за кибератак

353 просмотра

Взломы цифровых корпоративных систем и утечки данных уверенно становятся одними из главных угроз для бизнеса. Из-за хакеров компании терпят многомиллионные убытки, при этом защитить активы от атак злоумышленников на 100% сегодня невозможно. В этих условиях страховые компании предлагают отдельные полисы от кибергуроз или защиту по этим рискам в составе комплексных продуктов. Стоит ли их покупать, и в каких случаях будет трудно получить выплату, объяснил сооснователь страхового брокера Mains (ГК Mainsgroup) Павел Озеров.

Риск № 1

В минувшем году киберугрозы вышли на первое место среди глобальных рисков для бизнеса и пока что остаются проблемой № 1. Начиная с марта 2022-го в СМИ появлялись сообщения о взломах крупных российских компаний. Жертвами хакеров стали Wildberries, RuTube, «Яндекс Еда», «Гемотест», Delivery Club, Tele2, «Ростелеком», Почта России, Geek Brains, tutu.ru, Pikabu, CDEK, DNS и многие другие.

Взломы касались не только утечки персональных данных: хакеры атаковали инфраструктуру предприятий, чтобы остановить их работу. Так, с помощью вредоносного ПО была поражена инфраструктура крупнейшего производителя мясной продукции «Тавр» (серверы, рабочие станции и пр.). Это нарушило бизнес-процессы организации и вылилось в экономические потери в десятки миллионов рублей. Из-за атаки вируса-шифровальщика ряд компаний крупнейшего агрохолдинга «Мираторг» лишились возможности оформлять производственные и транспортные ветеринарные документы в электронном виде — это тоже привело к потерям, поскольку реализовать продукцию стало сложнее.

По данным компании «РТК-Солар», самым дорогостоящим случаем прошлого года стал перехват внешним злоумышленником контроля над сетевым оборудованием компании — потери от него оценены в 10,7 млн рублей, а затраты на восстановление — в 7,9 млн.

В среднем же инцидент заражения сети и сегментов инфраструктуры вредоносным ПО обходится компаниям в почти 11,5 млн рублей (6,7 млн — прямой ущерб и 4,4 млн — затраты на восстановление оборудования). Компрометация инфраструктуры и перехват контроля сетевого оборудования в среднем обходятся 6,6-6,9 млн рублей, затраты на восстановление — 4,5-4,6 млн рублей.

Потери от кибератак стали настолько масштабны, что в 2022 году они попали на первую строчку Allianz Risk Barometer «ТОП-10 глобальных рисков для предприятий», обойдя убытки от перерывов в производстве, стихийные бедствия, вспышки пандемии и прочие риски.

В прошлом году в России зафиксировано около 510 тыс. преступлений с использованием информационных технологий против 10 тыс. в 2014- м, сообщал в мае криминалистический центр Следственного комитета РФ. Таким образом, речь идет о более чем пятидесятикратном росте числа IT-преступлений меньше чем за десять лет.

Одним из наиболее распространенных страховых случаев в 2022 году стала приостановка деятельности из-за кибератак. Треть инцидентов пришлась на государственные учреждения, сферу здравоохранения и образования, еще до 25% — на промышленный сектор, 20% — на финансовый.

Страховой конструктор

По данным аналитиков Всемирного экономического форума, среди всех глобальных рисков для бизнеса киберугрозы занимают пятое место по вероятности возникновения и седьмое — по размеру возможного ущерба. Вероятно, в России показатели выше: иностранные IT-вендоры покинули страну, а рынок отечественных решений пока еще недостаточно богат на поставщиков и предложения. Хакеры знают об этом и чаще атакуют российские предприятия.

В сложившейся ситуации важно понимать: обеспечить стопроцентную защиту от взломов невозможно никакими программными и аппаратными инструментами. Поэтому стратегия кибербезопасности не должна ограничиваться превентивными техническими мерами. Простой и эффективный способ минимизировать вероятные потери от действий злоумышленников — страхование киберрисков. Такой полис не убережет от инцидента, но компенсирует убытки от перерыва в производстве, расходы на ликвидацию последствий инцидента и возмещение ущерба третьим лицам.

Чаще всего к страхованию от киберрисков прибегают финансовые организации (банки, участники рынка ценных бумаг). Обычно в покрытие входят потеря персональных данных клиентов (покрываются расходы на восстановление данных или убытки от их потери, выраженные в финансовых претензиях со стороны пострадавших) и сопутствующие расходы на юридическое сопровождение и антикризисный пиар, расследование и минимизация потерь от инцидента. Помимо финансовых организаций, интерес к киберстрахованию проявляют предприятия энергетической и нефтяной отраслей, транспортные, телекоммуникационные, машиностроительные компании. Сегмент малого и среднего бизнеса также может пользоваться опциями страховки от взломов.

Страховое покрытие при кибер-инцидентах может либо быть частью комплексного договора страхования, который также включает защиту от пожаров, залива водой и так далее, либо являться самостоятельным договором, защищающим клиента только от киберрисков. По какой схеме страховаться — зависит от желания клиента. При этом наполнение страхового покрытия состоит из следующих трех блоков:

1. Ответственность перед третьими лицами за утрату данных и/или информации. Возможно возмещение финансового вреда третьему лицу, чьи данные компания хранила в своей системе, но по причине неосторожности или кибератаки у нее произошла утечка данных или нарушение конфиденциальности хранимой информации.

2. Прямои? ущерб компании от перерыва в производстве и других событии?. Подразумевает возмещение прямых убытков компании от перерыва в производственной деятельности, который вызван полной или частичной недоступностью компьютерной системы. Такая недоступность может быть вызвана кибератакой, а в некоторых случаях даже техническим сбоем или человеческой ошибкой.

3. Возмещение различных расходов, связанных с киберрисками. В этом случае речь идет о возмещении следующих расходов:

- расходы на купирование инцидента и последующее расследование;

- расходы, связанные с требованиями по стандартам безопасности данных индустрии платежных карт PCI DSS;

- расходы на перевыпуск скомпрометированных платежных карт, а также на мониторинг транзакций по счетам пострадавших субъектов данных и третьих лиц;

- расходы на реагирование в кризисных ситуациях (организация колл-центра, антикризисный PR, уведомление пострадавших и так далее).

Как работает механизм возмещения при инциденте

Очень важно при инцидентах, связанных с потерей или порчей данных, а также вмешательстве в критическую инфраструктуру компании быстро обнаружить и ликвидировать источник атаки. Для этого подключаются специализированные компании кибербезопасности, список и контакты которых подскажет страховщик. Задача данного этапа — максимально быстро купировать инцидент и предотвратить/остановить утечку данных или сбой в системах.

Расходы на работу таких компаний, как и последующее расследование, покроет страховщик. Он, как и клиент, заинтересован в минимизации последствий инцидента.

В случае, когда инцидент стал публичным, подключаются отдельные команды пиарщиков и юристов для минимизации рисков деловой репутации, что тоже входит в сумму страховой выплаты.

По мере предъявления требований третьих лиц о покрытии ущерба, а также проведения расчетов собственных убытков застрахованного в связи с вынужденным простоем страховая компания будет компенсировать непосредственный ущерб, а также работу адвокатов при необходимости защиты интересов в суде.

Однако, есть и случаи, когда выплату после инцидента получить не выйдет. И чтобы не оказаться в ситуации «разочарования», компаниям, рассматривающим для себя страхование киберрисков, важно хорошо изучать текст договора и полноту покрытия, прежде чем подписывать полис и платить страховую премию. Также важно знать, что стандартный договор страхования киберрисков не покроет следующие убытки:

- от перерывов в производстве, если в компании не происходило полной или частичной недоступности компьютерной системы, например, просто происходит утечка данных;

- от перерывов в производстве, если произошло отключение электричества, интернета, спутникового или иного телекоммуникационного оборудования, которое находится вне зоны контроля предприятия (представляется сторонними организациями);

- от перерывов в производстве, если в компьютерной системе используется нелицензионное программное обеспечение;

- причиненные имуществу, жизни и здоровью третьих лиц;

- причиненные третьим лицам и компании в ходе недобросовестного, неправомерного и/или умышленного поведения;

- причиненные третьим лицам по тем событиям, о которых компании было известно до момента заключения договора страхования.

Критерии надежности

Разобраться в предложениях конкретных страховых компаний может быть непросто. Дадим несколько советов, на что обратить внимание, выбирая полис от киберугроз.

Начать стоит с себя — оценить, может ли ваша организация удовлетворять требованиям страховой. Готова ли компания подробно описать свои основные активы — как физические, так и цифровые — их местоположение, защиту на месте, потенциальныи? список угроз, подход и результаты управления рисками и любые инциденты, с которыми уже приходилось сталкивался? Может ли организация заявить страховщику, что ее сеть, приложения и IT-система не заражены какои?-либо вредоноснои? программои?, рассказать о векторах атак, известных уязвимостях или других проблемах в начале и на протяжении деи?ствия полиса? Помните: если происходит инцидент, и обнаруживается, что проблемы, ставшие его причиной, возникли до начала деи?ствия договора, при этом вы не обсудили их со страховщиком, полис могут объявить недеи?ствительным. Как раз когда он необходим больше всего.

Затем стоит оценить предложения страховых. Задать себе вопросы: что дает конкретный полис? Помимо финансовых выплат по риску, предлагает ли страховщик дополнительные услуги, инструменты и поддержку? Нужны ли они вам? А предлагают ли то же самое другие страховые компании?

Затем важно понять, как будет взаимодеи?ствовать страхование от киберугроз с цепочками поставок организации. Обсудить с агентом, будет ли полис покрывать убытки, если у поставщика произошел инцидент.

Наконец, нужно оценить такие параметры, как репутация, компетентность и финансовое состояние страховщика. Компания быстро реагирует и выплачивает убытки или оспаривает все претензии?

Следуя этим рекомендациям, будет проще оставаться бдительным и выбрать достойное предложение.

Павел ОЗЕРОВ, сооснователь страхового брокера Mains (ГК Mainsgroup)

В материале упоминаются: Компании, организации: Allianz SE 1383  Мэйнс страховые брокеры и консультанты (МСБК, Mains) 55 Персоны: Озеров Павел Вадимович

Ваше мнение об этом материале:

— Ваше имя
— Ваш email
— Тема

Ваш отзыв (заполняется обязательно):

Укажите код на картинке слева:

Установите трансляцию заголовков прессы на своем сайте

 Подробнее »

Получить код для трансляции заголовков прессы »