«Страхование не должно подменять требования к информационной безопасности»

Киберугрозы становятся постоянным бизнес-риском для российских компаний, а атаки все чаще нацелены на остановку работы предприятий. О том, какие механизмы защиты доступны в РФ и как российским компаниям может помочь страхование цифровых рисков, «Ъ-Review» в преддверии первой конференции по страхованию «Сбера» «Страхование 2030. Технологии будущего для людей» рассказала директор корпоративного страхования «СберСтрахования» Зара Геворкян.

— С развитием технологий растут и риски кибератак, механизмы которых по уровню воздействия быстро прогрессируют. Уязвимость компании зависит не только от отрасли и размера бизнеса, но и от зрелости информационной безопасности, уровня ее цифровизации, а также от организации доступа к системам и скорости реагирования.

Если раньше ключевой задачей в области риск-менеджмента было нивелирование традиционных экономических рисков — имущественных и финансовых потерь в результате пожаров, затоплений и других происшествий, то сейчас компании серьезно задумываются о кибербезопасности. Это во многом связано с изменением характера цифровых угроз, первоочередной целью которых все чаще становятся полное поражение инфраструктуры и остановка производства. При этом одной кибератакой, как правило, дело не заканчивается — они бывают массированными и долгими, могут повторяться.

В дальнейшем по мере цифровизации и автоматизации бизнеса значение киберустойчивости будет расти. А динамика числа атак будет зависеть от развития защитных технологий и изменения тактики злоумышленников.

— Самый большой риск для компаний — потеря прибыли и репутации. Ведь последствия кибератак не ограничиваются утечкой данных. Они могут включать финансовые потери, репутационный ущерб, претензии клиентов и контрагентов, остановку производства и нарушение цепочек поставок. Для промышленности особенно опасны атаки, которые нарушают работу производственных систем. Восстановление инфраструктуры может потребовать длительной остановки предприятия.

— Киберустойчивость начинается с базовых мер защиты — регулярных обновлений программного обеспечения, контроля доступа, многофакторной аутентификации, резервного копирования и обучения сотрудников цифровой гигиене, потому что происходит очень много фишинговых атак, рассчитанных на человеческий фактор.

Понятно, что у больших компаний больше возможностей по обеспечению кибербезопасности, у них есть специализированные ИТ-службы, они вместе с партнерами ведут мониторинг своих уязвимостей, работают над предотвращением атак и минимизацией ущерба, если они все-таки случаются. Для малого бизнеса этот процесс сложнее, потому что нет необходимой экспертизы.

— К сожалению, полностью предотвратить кибератаки невозможно, они постоянно совершенствуются. Страхование дополняет информационную безопасность и покрывает остаточные риски, которые сохраняются даже при наличии защитных мер, помогая управлять финансовыми последствиями. В зависимости от условий договора киберстрахование может включать возмещение расходов на восстановление данных и систем, убытков от простоя, потерь от хищения средств и ответственности перед третьими лицами.

Дополнительную ценность дают превентивные сервисы: мониторинг внешнего цифрового контура, выявление уязвимостей и помощь профильных специалистов при инциденте. Ведь для нивелирования возможного ущерба важна работа над минимизацией киберрисков.

— Все достаточно индивидуально. Потому что в отличие от других классических видов страхования киберстрахование — достаточно молодое направление, где пока нет единой методики оценки и урегулирования убытков. Для определения условий для конкретного клиента проводится оценка защищенности его инфраструктуры и потенциальных рисков, исходя из которых определяются условия страхования и тариф.

— Спрос потихоньку растет, но он не коррелирует с динамикой атак. В России, по нашей оценке, от цифровых атак пока застраховано менее 0,1% компаний. По моему мнению, для малого и среднего бизнеса страхование может быть особенно полезно благодаря доступу к профильной экспертизе и помощи в реагировании, которых зачастую нет внутри компании. Для крупного бизнеса актуальны защита сложной ИТ-инфраструктуры, снижение последствий длительных простоев и управление рисками, связанными с подрядчиками и цепочками поставок.

Наиболее критична такая защита для компаний, сильно зависящих от цифровых систем, работающих с большими массивами данных или несущих значительные потери при остановке деятельности.

Но пока развитие рынка киберстрахования сдерживают недостаточная осведомленность бизнеса, сложность оценки рисков и условий страхования, а также отсутствие единых подходов к оценке защищенности компаний от атак. Для расширения рынка важно сделать страхование понятнее и доступнее, в том числе за счет сочетания полисов с превентивными сервисами.

— Помимо этого, в российском законодательстве произошли изменения, которые увеличивают штраф за утечку персональных данных, что накладывает на компании дополнительную нагрузку.

С одной стороны, если такое страхование станет обязательным, это будет накладывать определенные обязательства и дополнительные затраты на бизнес. С другой — те люди, чьи персональные данные были украдены, смогут получить компенсацию в обязательном порядке. В этом плане я поддерживаю инициативу. Такой механизм не только обеспечивает людей выплатами, но также может повысить ответственность операторов за обращение с персональными данными и создать дополнительные стимулы для инвестиций в защиту информации. Но важно понимать, что страхование не должно подменять требования к информационной безопасности или превращаться в способ компенсировать последствия систематического несоблюдения правил защиты данных.

Чтобы эта инициатива заработала, нужен комплексный подход. Вместе с требованием о страховании государство должно стимулировать компании усиливать свою киберустойчивость и инвестировать в культуру безопасности. Это могут быть налоговые льготы, отраслевые программы поддержки или другие экономические стимулы. Без усиления защиты со стороны бизнеса страхование окажется бесполезным, так как не будет менять ситуацию.

Также для практической реализации необходимо определить круг обязанных страховаться операторов, состав покрываемых рисков, лимиты ответственности и порядок установления факта утечки. Кроме того, нужно согласовать механизмы подтверждения ущерба, определения пострадавших и организации выплат.

— Один из ключевых факторов развития рынка — повышение осведомленности бизнеса об экономических последствиях кибератак. Компаниям важно оценивать не только вероятность инцидента, но и стоимость простоя, восстановления систем и потери клиентов. Важно развивать превентивную составляющую страхования. Более высокий уровень информационной безопасности может учитываться при оценке риска и определении условий страхования.

Мы, со своей стороны, как страховщик не просто предлагаем полис, а объединяем наши услуги в комплексные продукты, которые позволяют, во-первых, мониторить состояние инфраструктуры, оценивать в зависимости от этого состояния уровень рисков и предлагать подходящий тариф. А в случае если происходит кибератака, мы подключаем своих партнеров для того, чтобы максимально быстро отреагировать и нивелировать ущерб. То есть развитие сотрудничества страховщиков и компаний в сфере информационной безопасности помогает объединить финансовую защиту с мониторингом, реагированием и восстановлением.