Евгений Уфимцев, РСА: «Киберстрахование — "ОСАГО для бизнеса"»

Текущая ситуация и проблематика страхования киберрисков

Ежедневно на информационные российские ресурсы фиксируется более 170 комплексных компьютерных атак — согласно данным Национального координационного центра по компьютерным инцидентам. За 2022 г. общее число кибератак выросло на 21% (по сравнению с 2021 г.). В основном кибератакам подвергались госорганы, крупные финансовые организации, предприятия промышленности и медиаиндустрии. Также растёт число утечек и кражи информации и множество других происшествий, связанных с компьютерными системами. Вероятно, в дальнейшем их объёмы будут только расти.
 

Источник: «Ростелеком Солар».

Киберриски можно охарактеризовать как потенциальные угрозы, связанные с использованием компьютерных сетей, систем и данных.

Существует множество способов классификации киберрисков, и вот одна из них:

1.    Риск утечки конфиденциальной информации.
2.    Риск потери или недоступности важных данных.
3.    Риск использования неполной или искажённой информации.
4.    Риск неправомочной скрытой эксплуатации информационно-вычислительных ресурсов (например, при создании бот-сети).
5.    Риск распространения во внешней среде информации, угрожающей репутации организации.

Часть киберрисков можно застраховать. Например, таргетированные компьютерные атаки, внедрение вредоносных компьютерных программ, технические сбои, а также непреднамеренные ошибки персонала.

Поскольку охват киберстрахованием во многих странах все ещё мал по сравнению с большинством других страховых продуктов, его роль в борьбе с нарастающими киберугрозами сложно оценить количественно. Однако влияние, которое оказывают кибератаки на людей и бизнес, очень заметно. Поэтому страховые компании разрабатывают сервисы, которые смогли бы обеспечить защиту. Польза этих разработок видна по выплатам, которые страховщики делают по инцидентам в киберпространстве.
 
Барьеры развития киберстрахования

В то же время любое страхование основывается на статистике и актуарных расчётах. В случае с киберсферой такие расчёты сделать сложно, поскольку статистических данных по страховым случаям крайне мало. Этот факт становится барьером на пути развития киберстрахования. Нет общих для страховщиков стандартов по формированию продукта. Каждая компания опирается на свою экспертизу и предлагает свой вариант киберстрахования, то есть в каждом случае надо тщательно изучать условия, расширения и исключения из покрытия.

Также барьером является и отсутствие должного регулирования — не существует единого законодательного определения таких рисков. Процессы данного вида страхования также не отлажены, нет рекомендаций по составлению договоров, что значительно осложняет процесс их согласования. Необходимо провести работы по формированию законодательного регулирования и правоприменительной практики, в том числе в части налогообложения потенциальных страховых выплат по утрате или ущербу нематериальным активам, информации.
 

Источник: «Ростелеком Солар».

Ещё один фактор — сложности при оценке рисков останавливают как бизнес от страхования, так и страховщиков от предложения клиентам защиты. Помимо сложного андеррайтинга для защиты от киберрисков страховым компаниям требуется определённая инфраструктура: она нужна для расследования инцидента и минимизации его последствий.

Объёмы и потенциал развития рынка

Общий объём страховых премий в сегменте киберстрахования за 2022 г., по оценке ВСС, составляет около 750 млн р. в России. По мнению экспертов, в будущем он может вырасти до 10 млрд р. в год. На данный момент доля премий в этом сегменте составляет менее 1% от всех видов корпоративного страхования. При этом средняя премия за полис от кибератак в 2021 г. составляла около 50 тыс. р., а в 2022 г. эта сумма вероятнее всего выросла.
 

Источник: ВСС.

Страховые компании предлагают разные опции для защиты от киберугроз — единообразых продуктов сейчас нет. Для оформления полиса страхователю необходимо иметь базовые средства защиты от киберугроз, ведь страхование защищает от последствий, а не от самих атак. Нужно соблюдать баланс между защитой своей компьютерной системы и страхованием от реализовавшегося риска.

Как правило, полис покрывает риски, связанные с обработкой и хранением данных, например, утечки или хакерские атаки. Также он включает компенсацию на восстановление деловой репутации, ухудшившейся в результате инцидента, и помощь сотрудникам или клиентам, пострадавшим из-за потери данных. Существуют программы, где утечки и другие инциденты по вине персонала также входят в страховую защиту. Договоры страхования киберрисков чаще всего представляют собой конструктор — клиент может собрать подходящую для себя защиту из различных опций.

Пример эффективной цифровизации на страховом рынке — это внедрение электронного полиса ОСАГО, удалённого урегулирования убытков и возможность перенесения всех процессов по этому виду страхования полностью в дистанционный режим. Страховые компании, пройдя путь диджитализации ОСАГО, уже готовы к новым продуктам в цифровом формате.

В 2022 г. компанией «Ростелеком Солар» был проведён опрос 400 коммерческих и государственных предприятий. Всего 6% респондентов сообщили, что уже имеют страховой полис, защищающий от киберрисков, а 21% планирует его оформить. При этом 2/3 из них — это финансовые и IT-компании. 38% застрахованных отметили, что страхование действительно ускорило процесс их восстановления после реализации киберриска, а 60% внедрили этот инструмент для повышения уровня защищённости компании.

Для потенциальных клиентов киберстрахования существует ряд барьеров, которые останавливают их от приобретения полиса. Наиболее важный из них — это неготовность выделить бюджет на услугу киберстрахования. Многие представители бизнеса пока не понимают ценность этого вида страхования и не могут, хотя 2022 г. показал важность такой защиты. По данным Правительства РФ, за 2022 г. число атак на автоматизированные системы управления увеличилось почти в два раза по сравнению с 2021 г. Вероятно, в ближайшие годы ценность киберстрахования в глазах компаний будет расти.

Обеспечение «цифрового суверенитета»: взаимосвязь со страхованием киберрисков

Однако киберстрахование крайне актуально не только для отдельных компаний, но и для всей экономики в целом. Набирающее в последние годы понятие «цифрового суверенитета» неразрывно связано с понятием страхования киберрисков. Информационная безопасность была включена в перечень приоритетов Стратегии национальной безопасности России в 2021 г. В защите нуждаются и государственные компании, и правительственные органы, и крупные федеральные промышленные предприятия, облачные сервисы и все остальные составляющие современного государства.

В этой связи встаёт острая необходимость создания пулов страховых компаний. С 2020 г. Российский антитеррористический страховой пул включает в том числе защиту от кибертерроризма. Из-за растущей потребности в киберстраховании в последние годы РАТСП сконцентрировался на создании хорошего продукта именно в этом сегменте. Однако понятия кибертерроризма и киберугроз все же несколько различаются. Поэтому создание страхового пула от киберугроз и обеспечение перестраховочной защиты все ещё является актуальным.

Крайне сложным представляется вопрос перестрахования этих рисков. Причины — малоизученность, низкая мотивация к принятию перестрахования этих рисков в связи со спецификой сегмента, отсутствие возможности перестрахования за рубеж. Стандартные виды испытывают проблемы с перестрахованием на зарубежных рынках, а в данном случае это усложняется ещё и сильными особенностями сегмента.

Возможно уже в ближайшем будущем киберстрахование, как и ОСАГО для автомобиля, станет неотъемлемой частью бизнеса. Покупая автомобиль и оформляя на него полис ОСАГО, владелец может быть уверен, что убытки будут возмещены. Так же и киберстрахование даёт уверенность владельцам и руководителям бизнеса в том, что в случае «кибер-аварии» страховая компания путём выплат поможет быстро и эффективно восстановить работу бизнеса.