Перспективы развития киберстрахования

Анализ состояния российского рынка киберстрахования свидетельствует о том, что уровень его развития пока остается недостаточным. При значительном количестве действующих предприятий число заключаемых договоров киберстрахования исчисляется лишь сотнями. Для сравнения, имущественное страхование имеет существенно более высокий уровень проникновения. При этом в условиях цифровизации экономики и постоянного роста количества киберугроз потребность в страховой защите информационных рисков становится все более актуальной.

ЭВОЛЮЦИЯ СТРАХОВАНИЯ КИБЕРРИСКОВ

За последние годы рынок стра­хования киберрисков существенно эволюционировал. Если первоначаль­но страховщики предлагали ограни­ченные по объему покрытия страхо­вые продукты, то в настоящее время сформированы комплексные про­граммы, предусматривающие защиту от широкого спектра киберрисков и большое количество дополнитель­ных сервисов.

Вместе с тем, достигнутый уровень развития нельзя считать достаточ­ным. Небольшое количество заклю­чаемых договоров свидетельствует о том, что потенциал данного сегмен­та страхового рынка реализован лишь частично.

Одним из ключевых направлений дальнейшего развития, по нашему мнению, является увеличение страхо­вой емкости рынка. В настоящее время страхование киберрисков осуществля­ется ограниченным числом крупных страховых организаций и нескольких относительно небольших, специализи­рующихся преимущественно на пере­страховании.

Совокупная страховая емкость с уче­том обязательной цессии в Российской национальной перестраховочной компании (РНПК) составляет в районе 3 млрд руб. на один риск, что для крупных промышленных предприятий зачастую оказывается недостаточным. В этой связи было бы целесообразно расширять участие страховщиков и пе­рестраховщиков в данном сегменте пу­тем увеличения количества компаний, предлагающих страхование киберри­сков, а также увеличения емкостей текущих участников рынка.

Небольшое количество заключаемых договоров свидетельствует о том, что потенциал данного сегмента страхового рынка реализован лишь частично

Не менее важной проблемой оста­ется недостаточная осведомленность представителей бизнеса о возмож­ностях страхования киберрисков, а те руководители и собственники предприятий, которые знают о воз­можностях страхования, по-прежнему не рассматривают данный инструмент в качестве элемента системы управле­ния рисками.

В связи с этим особое значение при­обретает проведение информацион­но-просветительской работы, включая конференции, специализированные форумы, образовательные программы и иные мероприятия, направленные на популяризацию страхования кибер­рисков, чем мы на регулярной основе в настоящий момент и занимаемся.

СТРАТЕГИЧЕСКОЕ ЗНАЧЕНИЕ

В долгосрочной перспективе пред­ставляется целесообразным обе­спечить широкое распространение киберстрахования среди российских предприятий, уделяя особое внимание владельцам объектов критической информационной инфраструктуры. Для данной категории организаций своевременное восстановление дея­тельности после киберинцидента име­ет стратегическое значение, поскольку от непрерывности их функционирова­ния зависит стабильность отдельных отраслей экономики и обеспечение жизненно важных процессов.

Современный подход к управлению киберрисками должен основываться на понимании того, что абсолютная за­щищенность информационных систем недостижима. Независимо от уровня технической защиты сохраняется веро­ятность успешной реализации кибера­так. Следовательно, система управле­ния рисками должна предусматривать не только предотвращение инциден­тов, но и механизмы минимизации их последствий, включая финансовую компенсацию, направленную на опера­тивное восстановление деятельности организации.

Система управления рисками должна предусматривать не только предотвращение инцидентов, но и механизмы минимизации их последствий

При этом эффективность страховой защиты во многом зависит от уров­ня подготовки самих страхователей. Практика показывает, что отдельные организации недостаточно внимания уделяют вопросам резервного копиро­вания данных, тестированию процедур восстановления информации и ре­гулярному аудиту информационной безопасности. Отсутствие подобных мер существенно увеличивает масштаб возможного ущерба при реализации киберрисков.

В связи с этим проведение регуляр­ного аудита информационной без­опасности и организация надежной системы резервного копирования и последующего восстановления должны рассматриваться как обяза­тельные элементы корпоративного управления.

Перспективным направлением развития страхования киберрисков представляется трансформация роли страховщика. Помимо выплаты стра­хового возмещения, страховые органи­зации могут обеспечивать комплекс­ное сопровождение страхователя при наступлении страхового случая. Такой подход предполагает привлечение профильных специалистов для выяв­ления причин инцидента, локализации угрозы, восстановления информацион­ной инфраструктуры и минимизации последствий кибератаки.

Подобная модель позволяет значи­тельно сократить сроки восстановле­ния деятельности предприятия и по­высить эффективность урегулирования страховых случаев.

ВЕКТОР КИБЕРЗАЩИТЫ

Основным вектором развития кибер­защищенности в стране на текущий момент является работа по предпола­гаемому введению обя­зательного финансового обеспечения компании владельцев объектов критической информа­ционной инфраструк­туры (КИИ) первой, второй и третьей катего­рии, как это определено в рамках 187-ФЗ.

В качестве таких инструментов могут ис­пользоваться договоры страхования, банковские гарантии, либо иные формы финан­сового обеспечения, позволяющие гарантировать наличие необходимых финансовых ресурсов для восстанов­ления функционирования объектов после киберинцидентов.

Своевременное восста­новление деятельности после киберинцидента имеет стратегическое значение, поскольку от непрерывности их функ­ционирования зависит стабильность отдельных отраслей экономики и обеспечение жизненно важных процессов.

Введение обязательного финансового обеспече­ния способно обеспе­чить ряд существенных преимуществ.

Во-первых, страховщики будут проводить пред­варительную оценку уровня информационной безопасности организа­ций при принятии риска на страхование,

что создаст дополнительные стимулы для модернизации информационных систем, устранения критических уязвимостей и по­вышения общего уровня киберзащиты.

Во-вторых, наличие заранее сформированных финансовых ресурсов

позволит оперативно оплачивать восстано­вительные мероприятия без привлечения экстренной государственной поддержки, либо поиска дополнительных источников финансирования.

Кроме того, страховое покрытие це­лесообразно распространять не только на расходы по восстановлению инфор­мационных систем, но и на услов­но-постоянные затраты организаций в период простоя, включая выплату заработной платы персоналу и иные обязательные расходы.

Такой подход позволит сохранить устойчивость деятельности предприя­тий и минимизировать социально-эко­номические последствия масштабных киберинцидентов.

Следует отметить, что страховой рынок уже располагает необходимыми методическими и практическими ин­струментами для реализации подобных механизмов. Разработаны подходы к оценке ущерба, сформированы ме­тодики определения страховых сумм, накоплен опыт урегулирования стра­ховых случаев в рамках добровольного страхования киберрисков.

Несмотря на существующие дискус­сии относительно целесообразности обязательного финансового обеспече­ния, потенциальные социально-эконо­мические последствия крупных кибе­ратак значительно превышают затраты на формирование системы страховой защиты. Поэтому противопоставление инвестиций в информационную безо­пасность и страхование представляется необоснованным. Наиболее эффек­тивной является комплексная модель управления киберрисками, сочетаю­щая технические средства защиты с ме­ханизмами финансовой компенсации возможного ущерба с использованием страховых механизмов.

Таким образом, представляется обоснованным поэтапное внедрение обязательного финансового обеспече­ния владельцев объектов критической информационной инфраструктуры.

На первоначальном этапе соответ­ствующие требования могут быть распространены на организации, обладающие наиболее высоким уровнем зрелости в сфере управления рисками. В дальнейшем данный меха­низм может быть поэтапно расширен на другие отрасли экономики с учетом специфики их деятельности и уровня развития информационной инфра­структуры.

Реализация указанных мер позволит повысить устойчивость национальной экономики к современным киберугро­зам и обеспечить более эффективное восстановление деятельности органи­заций в случае реализации киберри­сков.