Бизнес озадачен защитой своих информационных систем. В 2022 году число кибератак и попыток их совершения существенно выросло, отмечают эксперты. С конца февраля изменился ландшафт атак, отмечает руководитель направления аналитики киберугроз компании «РТК-Солар» Дарья Кошкина. «От массовых DDoS— и веб-атак злоумышленники перешли к более сложным и точечным ударам. Преимущественно эти атаки связаны с заражением вредоносным ПО — во втором полугодии 2022 года на них пришлось почти 30% зафиксированных нами инцидентов. То есть в первые месяцы года хакеры усиленно и, можно сказать, бездумно «бомбили», теперь же развивают атаки там, где удалось проникнуть внутрь», — уточняет Дарья Кошкина.
Главный технологический эксперт «Лаборатории Касперского» Александр Гостев также отмечает агрессивность атак на российские организации. Все чаще, по его словам, злоумышленники нацелены не на получение выгоды, а на то, чтобы нанести максимальный ущерб и нарушить процессы. Особенно опасно это для объектов критической инфраструктуры и промышленности.
На фоне увеличения числа угроз и их сложности можно ожидать повышения спроса на комплексные защитные решения и страхование киберрис- ков, полагает Александр Гостев. Тем не менее в России такая услуга все еще остается нишевым продуктом, не имеющим массового потребителя, считает директор департамента андеррайтинга и перестрахования компании «Абсолют Страхование» Евгений Ильченко. «С развитием цифровизации мы ожидаем динамичного роста этого сегмента. Российские компании, ориентированные на внешний рынок, уже давно страхуют эти риски, но массово они все еще не востребованы клиентами», — подчеркнул он.
Перспективы отрасли
Общий объем страховых премий на российском рынке по направлению «Киберстрахование» может варьироваться в среднем на уровне 250–300 млн руб. в год, поделился цифрами вице-президент, директор департамента развития небанковских сервисов ПСБ Алексей Назаров. Для сравнения: в 2021-м общий объем страхового рынка в России составил около 1,8 трлн руб., по данным Центробанка РФ. Однако если применение данного инструмента станет обязательным для системно значимых организаций, то, по оценке ряда аналитиков, целевой объем премии в сегменте «Киберстрахование» может достичь примерно 10 млрд руб. в год, добавляет Алексей Назаров.
Пока доля премий в этом сегменте оценивается менее чем в 1% всех видов корпоративного страхования, говорит руководитель управления страхования финансовых рисков «АльфаСтрахования» Алина Малышева.
При этом средняя премия за полис от кибератак в 2021 году составила порядка 50 тыс. руб., приводит данные директор по рискам «СберСтрахования» Владимир Новиков, ссылаясь на Всероссийский союз страховщиков (ВСС). Это свидетельствует о превалировании относительно недорогих решений, содержащих стандартный набор угроз.
Первые общедоступные предложения появились в России в 2017 году, после того как от программ-вымогателей Wannacry и Petya пострадали более 13 тыс. компьютеров. Уже в 2020-м эксперты зафиксировали пятикратное увеличение спроса на услугу, писали СМИ со ссылкой на ВСС. В 2021 году тенденция сохранилась и спрос вырос еще на 60%, приводят результаты исследования аналитики компании «АльфаСтрахование».
Заинтересованность бизнеса
Согласно исследованию «РТК-Солар», четверть российских компаний готова тратить средства на страхование киберрисков — 6% респондентов уже пользуются такой услугой, а 21% планируют воспользоваться опцией в будущем. Опрошенные отмечают, что киберстраховка сделает компанию более привлекательной для инвесторов и поможет быстрее восстановиться после инцидента.
«Конечно, отсутствие бюджета — один из ключевых барьеров для приобретения услуги, об этом заявили 33% опрошенных. Но в текущих условиях подобный продукт, напротив, поможет сократить расходы. Восстановление после атак требует расходов, иногда значительных», — говорит Дарья Кошкина.
В основном киберстрахованием интересуются компании с высокой степенью автоматизации бизнес-процессов — торговых, производственных, логистических, отмечает Алина Малышева. Их привлекает в первую очередь страхование убытков в результате простоя бизнеса из-за киберинцидентов. Еще одна актуальная ситуация, по наблюдению эксперта, — это покрытие расходов в результате действия вирусов-шифровальщиков.
Ранее защитой от киберрисков чаще всего интересовались крупные предприятия, но в последнее время внимание проявляют и компании малого и среднего бизнеса, говорит Евгений Ильченко. По его словам, обычно полис приобретают организации, работа которых связана с обработкой и хранением данных. Лидерами в этом виде страхования являются финансовые институты. «У части компаний есть отдельные полисы по киберрискам. Но при этом большинство организаций предоставляют покрытие таких инцидентов как опцию внутри корпоративного страхования», — рассказал эксперт.
Если говорить о банковских каналах продаж, то продукт чаще предлагается именно сегменту малого и среднего бизнеса, поскольку стоимость услуги для компаний с небольшим оборотом сравнительно ниже, чем для крупного бизнеса, указывает Алексей Назаров. Для крупного же бизнеса сдерживающим фактором является ограниченная возможность страховых компаний по принятию больших денежных рисков.
Условия киберстрахования
Все страховые компании предлагают разные опции. Тем не менее наличие базовых средств защиты в организации необходимо — в противном случае полис либо не оформят, либо его цена будет очень высокой. Важно соблюдать, что называется, Security Insurance Balance, который подразумевает разумные вложения и в защиту, и в страхование, считает Дарья Кошкина: «Очевидно, что полис не защитит от кибератаки. Поэтому, прежде чем идти в страховую организацию, нужно довести до ума свою ИБ-защиту».
Как правило, полис покрывает риски, связанные с обработкой и хранением данных, например утечки или хакерские атаки. Также он включает компенсацию на восстановление деловой репутации, ухудшившейся в результате инцидента, и помощь сотрудникам или клиентам, пострадавшим из-за потери данных. Существуют программы, где утечки и другие инциденты по вине персонала (но не руководства) также входят в страховую защиту, уточняют эксперты.
А вот убытки из-за прекращения подачи электроэнергии или отключения интернета, при том что в собственных системах никаких инцидентов или нештатного функционирования не отмечалось, будут покрыты с ограничениями либо исключены совсем, привела пример Алина Малышева.
Договоры страхования киберрисков чаще всего представляют собой конструктор, где клиент может собрать из блоков подходящую для себя защиту. В «СберСтраховании» также отмечают тенденцию на подбор наполнения полисов под специфические нужды покупателя. Например, активно пользуется спросом покрытие только на случай Dos/DDos-атак.
Регулирование рынка
Пока процедура киберстрахования налажена не до конца, считает исполнительный директор «Смарт-Софт» Сергей Черномашенцев. По его словам, договоры составляются без четких стандартов, а процессы их согласования и проверки идут суперсложно. «Если появится орган, который сможет все это контролировать и регламентировать, то станет намного проще и понятнее. Когда страхование киберрисков будет организовано по принципу ОСАГО или каско, это будет означать, что рынок сформировался и все встало на свои места. Пока процесс хаотичен», — констатирует специалист.
По мнению Евгения Ильченко, для успешного развития рынка необходимо единое законодательное определение киберрисков и четкое понимание последствий для компаний при работе с персональными данными. Эксперт отмечает, что дополнительно важно работать над улучшением безопасности данных в бизнесе, как минимум использовать лицензионное ПО, дублирующие системы и обеспечить корректное хранение данных клиентов и сотрудников.
Александр Гостев в целом обращает внимание на положительную тенденцию в сфере защиты: «Мы видим, что компании больше не экономят на информационной безопасности, тренд, скорее, идет в сторону обеспечения комплексной защиты бизнеса. Все больше компаний применяют экосистемный подход, когда в рамках одной лицензии можно получить уже готовый набор инструментов для полноценной защиты всех элементов инфраструктуры».
