Пресса о страховании, страховых компаниях и страховом рынке

Эхо Москвы, 2 декабря 2008 г.

Фактор риска. Страхование информационных рисков

4037 просмотров

Ведущий: Дыховичный Алексей Гости: Андрей Макаренцев, Александр Кульков

 А. ДЫХОВИЧНЫЙ: В столице 11 часов 13 минут. Добрый день! Алексей Дыховичный у микрофона. У нас в гостях Андрей Макаренцев, куратор проектов по страхованию рисков информационных систем. Здравствуйте, Андрей!
А. МАКАРЕНЦЕВ: Добрый день!

А. ДЫХОВИЧНЫЙ: И Александр Кульков, генеральный директор компании «ИнфоОборона».

А. КУЛЬКОВ: Добрый день.

А. ДЫХОВИЧНЫЙ: Здравствуйте, Александр! Военизированное какое у вас название – ИнфоОборона. Вы не офицер?
А. КУЛЬКОВ: Бывший.

А. ДЫХОВИЧНЫЙ: Чувствуется. Мы говорим о страховании информационных рисков. Расскажите, что это такое. Что включает понятие «информационные риски»? Тут можно фантазировать, тут можно разное придумать.
А. МАКАРЕНЦЕВ: На самом деле, можно бесконечно. Информационный риск – это некое событие, нежелательное для владельца некоего информационного актива, который обладает определенной степенью вероятности, которая может произойти и которая, самое главное, нанесен определенный урон или ущерб владельцу соответствующего информационного актива.

А. ДЫХОВИЧНЫЙ: Нежелательное событие для владельца информационного актива. Я сейчас судорожно соображаю, владею ли я какими-нибудь информационными активами… Что входит в понятие «информационный актив»? Только напомню, что работает СМС. Вы можете присылать свои сообщения и вопросы - +7 985 970 4545. Может быть, вы владеете каким-нибудь информационным активом, просто об этом еще не знаете, и поэтому об этом можно спросить наших гостей. Что такое информационный актив? Пожалуйста, Александр.
А. КУЛЬКОВ: Я чуть-чуть скорректирую. Здесь нужно исходить изначально из понятия «объект страхования». Объектом страхования могут являться два направления. Первое из них – это страхование электронного оборудования и носителей информации как от естественных причин выхода из строя, так и от форсмажорных обстоятельств – гроза, землетрясение… И вторая программа, которую мы, в основном, сейчас продвигаем в России – это программа страхования перерыва коммерческой деятельности вследствие неработоспособности этого оборудования. То есть, выплата недополученной прибыли организации, которая понесла потери вследствие выхода информационного актива из строя. Информационным активом можно классически представить наиболее простую вещь – это, к примеру, биллинговая система оператора приема платежей. То есть, некая система, вследствие которой все эти терминалы, через которые все мы ежедневно кладем деньги на счет в мобильном телефоне, они выходят из строя. Соответственно, компания ежеминутно теряет реальную прибыль, которую можно возместить.

А. ДЫХОВИЧНЫЙ: Во-первых, ремонт оборудования, да?
А. КУЛЬКОВ: Ремонт или замена.

А. ДЫХОВИЧНЫЙ: Или замена. А во-вторых… Слушайте, вначале звучало так романтично, а оказалось, в конечном итоге, по крайней мере, то, что касается первой части, элементарным страхованием имущества, только в данной ситуации речь идет о таком имуществе…
А. КУЛЬКОВ: Я бы разделил это на два понятия – классическое и новое. Классическое – это имущество. Новое – то, что мы сейчас…

А. ДЫХОВИЧНЫЙ: Компьютеры, сервера – это же просто железяки. Просто имущество… Понимаете, когда «информационные» – это кажется какие-то нематериальные активы, и так романтично звучит, а оказывается…
А. МАКАРЕНЦЕВ: Дело в том, что очень часто одно от другого неотделимо, как мы понимаем. И когда некая компания приобретает комплексный полис страхования своих информационных рисков, то в первую очередь, в первой секции полиса, как правило, страхуется его железо, то есть, это некие дисковые массивы, возможно, серверы, на которых физически размещены его информационные активы, которые осуществляют необходимую обработку или функционирование этих информационных активов. И второй объект страхования, собственно основа вот этой программы – это непосредственно то, что находится на этих серверах. Да? То есть, это могут некие данные, это могут быть некие базы данных, содержимое этих баз данных, и так далее, и так далее. На самом деле, когда мы говорим об информации, конкретизировать этот список можно до бесконечности по той простой причине, что для каждого человека информация – это то, что в первую очередь важно для него, и то, чем он обладает.

А. ДЫХОВИЧНЫЙ: Давайте проще. Вот как мы поступим. Потому что не у каждого из нас есть своя биллинговая система. Хотелось бы конечно…
А. МАКАРЕНЦЕВ: Пример простой. Какая-нибудь домашняя страничка…

А. ДЫХОВИЧНЫЙ: У меня есть домашняя страничка, на которой я, может быть, что-то рекламирую, я не знаю, я занимаюсь там, какие-то услуги оказываю населению и просто об этом написал – стригу пуделей. Я вывесил фотографии постриженных пуделей и какой-то там большой, не большой доход мне это приносит. Или же я просто делюсь с миром своими мыслями на этой домашней страничке без всякой какой-то коммерческой выгоды. Но при этом я хочу, чтобы эта домашняя страничка работала.
А. МАКАРЕНЦЕВ: Предположим, вы решили стричь пуделей, скажем так, на широкую ногу и поручили создание интернет-ресурса какой-нибудь вэб-студии. Соответственно, в этом случае какие могут быть у вас риски? Предположим, у вас есть сайт, достаточно сложный, который был разработан в некой студии…

А. ДЫХОВИЧНЫЙ: Да говорили же: домашняя страничка! А вы уже, Андрей…
А. МАКАРЕНЦЕВ: Не вопрос.

А. КУЛЬКОВ: Давайте я попробую пояснить проще. Чем это отличается от страхования имущества? Вот у вас был некий сервер компьютерный, в котором была у вас домашняя страничка. В случае страхования имущества, если у вас сгорел сервер - вы получаете сервер, но не получаете домашнюю страничку, которая размещалась на этом сервере. А в случае страхования информационной системы в комплексе, вы получаете и сервер, и домашнюю страничку восстановленную. И то, и другое. То же самое с базами данных, биллиновыми сетями. Просто это сложнее. Вы получаете не просто оборудоваия, а оборудование с учетом затрат на восстановление работоспособности всей информационной системы.

А. ДЫХОВИЧНЫЙ: А если сервер не сгорел? Ведь вот эти вот информационные всяческие дела, они могут пострадать не от физического какого-то воздействия (пожара, залива и прочих падений летательных аппаратов), а от атаки хакеров.
А. МАКАРЕНЦЕВ: Естественно, когда мы говорим об информационных рисках, здесь важен объект страхования. Первое, о чем мы уже практически забыли – это серверы. Здесь все понятно – пожар, злоумышленные действия третьих лиц, украли, взломали, вандализм – все что угодно может произойти. Когда мы говорим об объектах страхований именно информационных активов, то есть той информации вэб-странички вашей, например, то здесь масса таких специфических информационных рисков могут себя реализовать. Во-первых, это, естественно, компьютерные атаки. Это злоумышленные действия со стороны третьих лиц, реализованные в интернете. Это могут быть действия компьютерных вирусов, в том числе риском, который возможен к страхованию, является непреднамеренные ошибки в проектировании, разработке, создании, конфигурировании, обслуживании, эксплуатации ваших информационных активов. На самом деле, все, что угодно. Спектр бесконечный.

А. ДЫХОВИЧНЫЙ: Давайте мы вот что… Я сейчас пролоббирую тут интересы одной организации, и мы посмотрим, смогут ли они с вами договориться. Слушаем пленку:

Интересные факты
Первая атака на компьютерную систему Пентагона была предпринята американским студентом Кевином Митником в 1983 году. Используя один из университетских компьютеров, Митник проник в глобальную сеть Арфа.нет, являющуюся предшественницей Интернета, и которая в то время была предназначена для военных целей и объединяла крупные корпорации и университеты. Проникнув в эту сеть, Митник добрался до самых защищенных компьютеров того времени – компьютеров Пентагона. Он получил доступ ко всем файлам министерства обороны США. Один из системных администраторов обнаружил акт вторжения и поднял тревогу. Расследование выявило автора атаки, и Кевина Митника арестовали прямо на территории университета. Он был осужден и отбыл свое первое настоящее наказание за незаконное вторжение в компьютерную систему, проведя полгода в исправительном центре для молодежи».

А. ДЫХОВИЧНЫЙ: Если бы в 1983 году компания «Ингосстрах» работала бы на территории США… Хотите домашнюю страничку? – вот вам информационная система Пентагона. А если бы информационная система Пентагона была бы застрахована, то что в результате такой компьютерной атаки получил бы Пентагон?
А. МАКАРЕНЦЕВ: То действия Кевина Митника, в первую очередь, если бы они были признаны страховым случаем, то у Пентагона были бы два варианта развития событий. Скажем так, если информация, которая была утрачена в результате несанкционированных действий злоумышленника, подлежала бы восстановлению, то мы могли бы оплатить необходимый комплекс технических мер по такому восстановлению информации. Это, скажем так, первое и, наверное, самое объемное мероприятие, на которое мог бы рассчитывать Пентагон. Значит, второй актуальный вопрос здесь может быть следующим. А как действовать и что делать, если информация оказалась утрачена абсолютно безвозвратно, да? Вот здесь важно, что Пентагон располагается в Соединенных Штатах Америки. Их законодательство построено таким образом, что есть определенные институты, которые необходимо….(неразб) лицензируются и так далее, которые могут определять стоимость того или иного информационного актива. Предположим, если он утрачивается, то мы как страховая компания можем получить объективное подтверждение стоимости этой информации и на основании объективных отчетов неких организаций, обладающих специальными на то лицензиями, рассчитать стоимость возмещения и выплатить его пострадавшему лицу. Если мы говорим о российских реалиях, здесь мы сталкиваемся с главной проблемой – если информация, некий информационный блок, который оказывается утраченным в результате страхового события по полису, здесь мы можем иметь дело исключительно с его восстановлением. То есть либо возместить компании восстановительную стоимость данной информации, либо же оплатить компании-подрядчику, которая будет обеспечивать восстановление, стоимость восстановительных работ. К сожалению, в России пока такая ситуация, что мы не может страховать , не имеет возможности пока страховать некую интеллектуальную собственность. Мы не можем страховать активы информационные от утраты и утраты такой, что восстановить уже ничего невозможно, по той причине, что у нас нету объективного ориентира, объективных каких-то институтов, которые могут давать отчеты по стоимости информации для конкретно взятого лица или организации.

А. ДЫХОВИЧНЫЙ: Поэтому Пентагон до сих пор думает и еще не застраховался у вас.
А. МАКАРЕНЦЕВ: Жаль.

А. ДЫХОВИЧНЫЙ: Таким образом, вы восстанавливаете то, что было повреждено, да? А мои программисты, которые работали у меня и делали этот сайт, в это время сидят, сложа руки…
А. МАКАРЕНЦЕВ: А у вас они есть?

А. ДЫХОВИЧНЫЙ: Ну, я так полагаю, у Пентагона есть.
А. МАКАРЕНЦЕВ: Мы про вас или про Пентагон?..

А. ДЫХОВИЧНЫЙ: Я себя с этой организацией… понимаете, да. И вот сидят программисты и ничего не делают…
А. КУЛЬКОВ: Фактически так. Восстановлением занимается посторонняя организация, но на данный момент нам удобнее…

А. ДЫХОВИЧНЫЙ: Зачем тогда это? Какой смысл?
А. КУЛЬКОВ: Смысл в том, что программистов могло бы и не быть. Действительно, какой смысл вам держать штат программистов, если после разработки интернет-ресурса вы можете возложить все обязательства по его поддержке на страховую компанию и оплачивать только страховой полис? Таким образом, не оплачивая труд программистов.

А. МАКАРЕНЦЕВ: Это в том числе планирование ваших расходов. Предположим, произошло нечто, когда сайт ваш запущен, и вы его утратили, да? Перестал функционировать таким образом, каким это было необходимо. Что происходит дальше? Это неожиданные для вас расходы, причем непонятно, каких размеров. С помощью страхования вы можете планировать свои расходы на определенный срок. Уплатив сумму страховой премии в начале года, в начале периода страхования, вы получаете полноценную техническую поддержку на весь период страхования.

А. ДЫХОВИЧНЫЙ: Давайте другую ситуацию и посмотрим, что здесь получится.

Интересные факты
В 1994 году русский хакер Владимир Левин проник во внутреннюю сеть американского банка «Сити-Банк». Взломав аналоговое модемное подключение банка и получив доступ к нескольким счетам, он сумел перевести 10 миллионов 700 тысяч долларов на счета в США, Финляндию, Германию , Израиль и Нидерланды. Левину помогали трое сообщников. Однако подельников арестовали, когда те пытались стащить украденные деньги. Их допрос вывел на след Левина, который работал программистом в Санкт-Петербурге. Российский хакер был арестован в марте 1995 года в лондонском аэропорту Хитроу. В итоге Левина приговорили к трем годам лишения свободы».

А. ДЫХОВИЧНЫЙ: А вот если бы не нашли эти 10,7 миллиона долларов? Тут уже попахивает компенсацией вот этих вот убытков. Так? Если застраховано все.
А. МАКАРЕНЦЕВ: С банками ситуация особая. Для банков существует комплексная программа, которая защищает банк от фактов мошенничества, причем как внутреннего характера… Кстати говоря, по статистике до 80 процентов убытков, которые терпит банк в результате неких злоумышленных действий, злоумышленными оказываются действия сотрудников этого банка. Это 80 процентов, это серьезная сумма! 20 оставшихся процентов, соответственно, это некие внешние злоумышленные действия, скажем так, инициированные извне. Для банков есть ряд достаточно специфических предложений по страхованию. Есть такая программа, которая называется «3B Bank…(неразб) Bond». Одной из секций этой программы является «Электроника энд компьютер (неразб).» Вот эта программа как раз призвана защищать банк от убытков, нанесенных вследствие компьютерных атак. Различных, в том числе и совершенных извне. То есть , действия Владимира Левина относительно Сити-Банка могли бы рассматриваться как страховой случай в рамках специфической программы по страхованию банков.

А. ДЫХОВИЧНЫЙ: Я понимаю так, что если я хочу компенсацию за все, должно быть застраховано все! Вот какова правда жизни, не очень радостная для тех, кто хотел немножечко что-то застраховать и получить...
А. МАКАРЕНЦЕВ: Никаким комплексом мероприятий невозможно предусмотреть стопроцентное покрытие. Вы это прекрасно понимаете, да? Более того, если вернете немножко назад, вас…

А. ДЫХОВИЧНЫЙ: К сожалению нет. До этого момента не понимал. Думал, что можно. Оказывается, нет. Теперь вы мне все объяснили.
А. МАКАРЕНЦЕВ: Ситуация следующая. Предположим, у вас есть – вернемся чуть назад – интернет-ресурс, как мы говорили. У вас есть собственный системный администратор, либо же специалист вэб-студии, который по договору курирует функционал вашего интернет-ресурса на определенное время, да? У них есть технический комплекс и программный комплекс, который поддерживает работоспособность этого ресурса и, скажем так, имеет некие функциональные элементы, которые могут спасти вас от неких ошибок в работе, перерывов в работе и т.д. Но, с другой стороны, все непостоянно, и если ваша вэб-студия вам откажет, скажем так, в восстановлении вашего ресурса вследствие….они сейчас лопаются как незнамо что вследствие кризиса, то в этом случае у вас всегда есть страхование. Это та последняя инстанция, куда вы можете обратиться за возмещением. Это действительно надежно.

А. ДЫХОВИЧНЫЙ: Прервемся ненадолго на новости. Мы говорим о страховании информационных рисков.

НОВОСТИ

А. ДЫХОВИЧНЫЙ: Андрей Макаренцев у нас в гостях, куратор проектов по страхованию рисков информационных систем компании «Ингосстрах» и Александр Кульков, генеральный директор ООО «ИнфоОборона». Мне совершенно логично пишут о том, что лучшее страхование информации – это грантные системы резервирования, Дмитрий из Москвы, длинное сообщение. Я коротко читаю. Просто грамотно все построить. Александр, вы генеральный директор компании «ИнфоОборона», работаете с разными заказчиками, да? Я могу просто к вам придти и сделать свою страничку по поводу пуделей, которых я стригу?..
А. КУЛЬКОВ: Ну, у нас есть услуги другого характера. Так сделать страничку, естественно, можно, но в основном у нас делается упор на именно постгарантийное обслуживание сайтов и аудит безопасности проведения мероприятий.

А. ДЫХОВИЧНЫЙ: …и потом обслуживать ее, разумеется. Чтобы у меня всегда про моих пуделей было все хорошо написано.
А. КУЛЬКОВ: На нашей практике, так скажем, как мы сталкивались, особенно по итогам аудита, безопасности сайта, крайне редко бывает, чтобы все системы были настроены действительно корректно. И со временем появляются новые уязвимости в любой, даже идеально настроенной системе, которыми всегда с радостью пользуются злоумышленники. Поэтому, если необходимо осуществить атаку на сайт, она будет осуществлена в 90 процентах случаев независимо от системы.

А. ДЫХОВИЧНЫЙ: Осуществлена будет… не факт, что она будет успешной еще, да? Тоже, в общем…
А. КУЛЬКОВ: Я бы сказал, что будет успешна.

А. ДЫХОВИЧНЫЙ: То есть, если атака начинается на сайт, то все – кранты?
А. КУЛЬКОВ: Да, если это оплаченная атака, то это практически сто процентов. То есть , есть такие типы атак…(неразб,) отказ в обслуживании, и они очень легко оплачиваются в интернете, и узки круг лиц их весьма успешно реализует.

А. ДЫХОВИЧНЫЙ: Тут мне специалисты, я так понимаю, пишут: «Александр, я так понял, что вы делаете он-лайн копию базы.» Ну, какие-то там превентивные меры, которые осуществляются компьютерщиком системные…
А. КУЛЬКОВ: Это один из элементов. Но не забывайте, что мы страхуем еще и такие вещи как непреднамеренные ошибки в проектировании. То есть, если сайт вроде бы работает нормально, но через какое-то время вследствие неправильного написания самого сайта выходит из строя либо весь сайт, либо один из его модулей. Либо неправильная настройка серверов. То есть, в этом случае это резервирование приведет к тому, что вы установите ту же самую копию, которая точно так же перестанет работать. Проблема здесь кроется глубже. А случаи, если утрачен сам носитель, на котором производится резервирование? Физически сгорел, к примеру, сервер, и нет возможности в принципе никаким образом восстановить сайт. В этом случае по страховому событию сайт будет восстановлен с нуля даже в случае отсутствия таких резервных копий.

А. МАКАРЕНЦЕВ: А «Ингосстрах» оплатит «ИнфоОбороне» стоимость такого восстановления.

А. КУЛЬКОВ: Да.

А. МАКАРЕНЦЕВ: То есть, любой комплекс восстановительных работ вне зависимости от типа ошибки, которая вызвала… Это не ограничивается только резервированием.

А. ДЫХОВИЧНЫЙ: Если я прихожу в компанию, ту же самую компанию «ИнфоОборона» и говорю: не надо мне никакого страхования, просто сделайте мне сам и поддерживайте его и так далее, и просто плачу непосредственно за обслуживание этого сайта, вы же сделаете все то же самое, что нужно, я так понимаю?
А. КУЛЬКОВ: не всегда есть возможность. Есть определенные вещи, которые ограничиваются как минимум…

А. ДЫХОВИЧНЫЙ: В чем разница? Платить за страхование «Ингосстраху» или платить минимум компании…
А. КУЛЬКОВ: Это существенно дешевле.

А. МАКАРЕНЦЕВ: Предположим, вы обратились в компанию «ИнфоОборона», скажем так, с просьбой организовать некий комплекс мероприятий по техническому обслуживанию или восстановлению сайта. Это будет стоить одних денег. Но другое дело, если вы через «Ингосстрах», скажем так, оформите полис…

А. ДЫХОВИЧНЫЙ: Я просто прихожу и говорю: ребята, я пуделей стригу, мне страничка нужна. Сделайте, пожалуйста, сайт и следите за ним. Прихожу в серьезную компанию, большую, хорошую. Не обязательно «ИнфоОборона». В какую-то хорошую я прихожу и говорю: сделайте мне, пожалуйста, сайт про пуделей.
А. МАКАРЕНЦЕВ: Это разные деньги, потому что разный объем услуг. Есть полноценная поддержка интернет-ресурса, когда компания «ИнфоОборона» будет следить за любыми, скажем так, нештатными ситуациями или более того, организовывать некие штатные мероприятия обновление и так далее. И совершенно другой комплекс услуг, когда работа «ИнфоОбороны» для вас начинается тогда, когда с сайтом происходит нечто, на что вы не рассчитывали, скажем так. В этом случае вы покупаете страховку у компании «Ингосстрах». Назвать можно как угодно, поскольку сейчас «ИнфоОборона» является нашим эксклюзивным партнером на этапе запуска этой программы, да? Страховка в компании «Ингосстрах» по сути для вас это будет являться неким годовым абонементом при наступлении внештатных ситуаций на период действия страхового полиса, то бишь один год либо больше, если вы захотите продлить.

А. КУЛЬКОВ: Здесь сам термин «страхование» фактически… Вы же можете автомобиль ремонтировать после аварии, если доедете. Но в чем плюс страховки? В том, что это дешевле.

А. ДЫХОВИЧНЫЙ: Не все просто в мире интернета… С машиной все-таки как-то проще. Хорошо. Вот сайт все-таки не работает какое-то количество времени из-за хакерской атаки, и пуделей не стриг я в это время, не приходили клиенты ко мне со своими собачками. Потерял безумные деньги, совершенно нечеловеческие деньги потерял. Я могу по этой страховке предъявить какой-то иск о возмещении ущерба?
А. МАКАРЕНЦЕВ: Две ситуации возможны. Если полис страхования… вернее, условия, предложенные вам, таковы, что вам возмещается исключительно на восстановление этого ресурса, то в этом случае, если вы купили полис в «Ингосстрахе», «ИнфоОборона» проводит необходимую …(неразб), выясняет причину произошедшего. Если причины, по условиям составленного страхового договора, будут являться таковыми, что мы можем о событии говорить как о страховом случае, запускается процедура урегулирования убытка. «ИнфоОборона» проводит меры по восстановлению вашего ресурса, «Ингосстрах» платит «ИнфоОбороне» деньги за это восстановление. Вторая секция полиса: если ваш интернет-сайт по стрижке пуделей был единственным каналом продаж вашей услуги. Соответственно, вследствие компьютерной атаки, вследствие вируса, чего бы то ни было, в соответствии с договором страхования интернет-ресурс прекратил свое нормальное функционирование и, соответственно, остановилась ваша коммерческая деятельность. Если вы приобретаете программу «Бизнес…(неразб)», в этом случае вы можете рассчитывать на возмещение ваших прямых убытков, то есть вашей недополученной прибыли вследствие приостановки коммерческой деятельности.

А. ДЫХОВИЧНЫЙ: Понятно. У меня еще там простой жуткий совершенно…
А. МАКАРЕНЦЕВ: Парикмахеры простаивают…

А. ДЫХОВИЧНЫЙ: Колоссально… я придумаю…. Потери совершенно нечеловеческие… Это тоже возможно?..
А. МАКАРЕНЦЕВ: В рамках программы по страхованию перерывов в коммерческой деятельности мы готовы будем выплатить вам недополученную чистую прибыль плюс как опция возможно страхование также и от потери тех сотрудников, которые так же вынуждены были простаивать и, соответственно, получать какие-то деньги за свою работу.

А. ДЫХОВИЧНЫЙ: Ну, что же, спасибо вам. Андрей Макаренцев, куратор проекта по страхованию рисков информационных систем компании «Ингосстрах» и Александр Кульков, генеральный директор компании «ИнфоОборона» были у нас в гостях.

Ваше мнение об этом материале:

— Ваше имя
— Ваш email
— Тема

Ваш отзыв (заполняется обязательно):

Укажите код на картинке слева:

Установите трансляцию заголовков прессы на своем сайте

 Подробнее »

Получить код для трансляции заголовков прессы »