киберстрахование: что оно покрывает, кому это нужно

Киберстрахование предлагает финансовую защиту и поддержку в случае кибератаки, утечки данных или других инцидентов, связанных с киберпространством. По иронии судьбы, безопасность, которую страхование обеспечивает держателям полисов, контрастирует с меняющимся, динамичным состоянием рынка киберстрахования в целом.

Рынок киберстрахования в настоящее время переживает состояние нестабильности из-за нескольких факторов и продолжающихся изменений в ландшафте рисков.

Ключевые факторы, способствующие динамичному состоянию киберстрахования

Изменение векторов атаки

Постоянно развивающийся и расширяющийся ландшафт киберугроз создает серьезные проблемы для страховщиков. Киберпреступники разрабатывают все более изощренные тактики, используя передовые методы и технологии. В результате страховщики должны постоянно оценивать и корректировать свои модели рисков, предложения по страхованию и структуры ценообразования для эффективного противодействия возникающим угрозам.

Меняющаяся нормативная среда

Нормативно-правовая база, касающаяся кибербезопасности и конфиденциальности данных, постоянно развивается. Во всем мире вводятся новые законы и нормативные акты, налагающие на организации более строгие обязательства по защите персональных данных и сообщению о нарушениях. Эти нормативные изменения влияют на требования и ожидания к киберстрахованию, приводя к корректировкам условий полиса и ценообразования.

Изменение профилей рисков

По мере того, как предприятия внедряют новые технологии и инициативы по цифровой трансформации, их профили рисков меняются. Новые технологии, такие как облачные вычисления, Интернет вещей (IoT) и искусственный интеллект, создают новые уязвимости и потенциальные киберриски. Страховщики должны постоянно оценивать эти меняющиеся профили рисков, чтобы обеспечить надлежащее покрытие и ценообразование, а также опережать возникающие угрозы.

Отсутствие исторических данных

Относительно короткая история рынка киберстрахования затрудняет для страховщиков полагаться на обширные исторические данные для точной оценки рисков и установления премий. Ограниченные данные о киберинцидентах и претензиях затрудняют точную количественную оценку и прогнозирование убытков, что приводит к неопределенности в ценообразовании и условиях покрытия.

Что покрывает киберстрахование?

Киберстрахование обеспечивает покрытие целого ряда киберрисков и связанных с ними расходов. Вот некоторые ключевые области, которые обычно покрываются полисами киберстрахования:
Расходы на утечку данных: расходы, связанные с управлением утечкой данных и восстановлением после нее, включая судебные расследования, уведомление пострадавших лиц, кредитный мониторинг, связи с общественностью и судебные издержки.
Страхование ответственности за киберзащиту: покрытие судебных издержек, расчетов и судебных решений, связанных с претензиями третьих лиц, вытекающими из киберин-инцидента, такими как нарушения конфиденциальности, диффамация или нарушение прав интеллектуальной собственности.
Прерывание бизнеса: возмещение потери дохода и дополнительных расходов, понесенных в результате киберин-инцидента, который нарушает нормальные бизнес-операции.
Вымогательство и программы-вымогатели: покрытие платежей за выкуп или расходов, связанных с реагированием на попытки вымогательства или атаки программ-вымогателей.
Восстановление цифровых активов: покрытие расходов, связанных с восстановлением или заменой цифровых активов, включая данные и компьютерные системы.

Что не покрывается киберстрахованием?

Хотя киберстрахование обеспечивает ценную защиту, важно понимать его ограничения. Вот некоторые распространенные исключения или ограничения, с которыми вы можете столкнуться:

Известные уязвимости: Киберстрахование обычно не покрывает убытки, возникающие в результате известных уязвимостей или слабых мест в системе безопасности, которые не были устранены надлежащим образом.

Преднамеренные действия: Ущерб, причиненный в результате преднамеренных или мошеннических действий застрахованной стороны, как правило, исключается.

Предыдущие действия: Некоторые полисы могут исключать покрытие киберинцидентов, произошедших до даты вступления полиса в силу.

Терроризм и поддерживаемые государством кибератаки: Киберстрахование может исключать ущерб, возникший в результате военных действий, терроризма или аналогичных событий.

События, не связанные с кибербезопасностью: Ущерб, причиненный событиями, не связанными с кибербезопасностью, такими как кража физического имущества или стихийные бедствия, как правило, не покрывается киберстрахованием.

Почему страховщики хотят исключить поддерживаемые государством кибератаки из полисов киберстрахования

В августе 2022 года известный страховой рынок Lloyd’s of London сделал важное объявление, которое может повлиять на рынок киберстрахования. Начиная с 2023 года, Lloyd’s введет исключения из киберстрахования для покрытия того, что он считает “катастрофическими” кибератаками, поддерживаемыми государством. Хотя Lloyd’s по-прежнему поддерживает предложение страховки от кибератак, она признает, что риски, связанные с киберпространством, постоянно развиваются. В результате компания принимает меры предосторожности, требуя от своих страховых групп включать соответствующие положения, исключающие ответственность за убытки, возникающие в результате кибератак, поддерживаемых государством, в соответствии с конкретными требованиями.

Решение обусловлено растущим признанием в страховой отрасли того, что поддерживаемые государством кибератаки создают уникальные и серьезные проблемы для страхового рынка. В своем бюллетене Lloyd’s подчеркивает необходимость того, чтобы страховщики рассматривали возможность поддерживаемых государством атак, происходящих за пределами традиционных сценариев военного времени с применением физической силы. Огромный ущерб, который могут нанести эти атаки, и их потенциальное распространение создают системный риск, аналогичный страховым компаниям, что делает необходимым эффективное устранение этих рисков.

Сложности кибератак, поддерживаемых государством

В отличие от обычных киберугроз, исходящих от отдельных хакеров или преступных организаций, атаки, спонсируемые государством, происходят по совершенно другой траектории и с другими мотивами. Они часто осуществляются национальными государствами, стремящимися продвигать свои политические, экономические или военные интересы. Эти злоумышленники могут располагать огромными ресурсами, сложными техниками и доступом к передовым киберинструментам, что делает их способными наносить существенный и широкомасштабный ущерб.

Последствия атак, поддерживаемых государством, могут выходить за рамки отдельных компаний и отраслей, потенциально затрагивая критически важную инфраструктуру, правительственные учреждения и даже целые нации. Такие атаки могут нарушить работу финансовых систем, отключить основные службы и скомпрометировать конфиденциальные данные в беспрецедентных масштабах, что приведет к значительным финансовым потерям.

Обеспечение соответствующих стандартов

Для защиты своих клиентов и поддержания стабильного рынка киберстрахования Lloyd’s подчеркивает важность обеспечения того, чтобы все синдикаты, разрабатывающие политики кибератак, делали это в соответствии с соответствующим стандартом. Четкие формулировки в страховых полисах необходимы для четкого определения объема страхового покрытия и четкого определения исключений. Учитывая сложный характер кибератак, поддерживаемых государством, и их потенциальные юридические последствия, Lloyd’s призывает к тщательному юридическому пересмотру формулировок политики, чтобы убедиться, что они достаточно надежны и способны противостоять возникающим сложностям.

Случай с печеньем Oreo и кибератаками, поддерживаемыми государством

На аналогичной ноте в ноябре прошлого года было достигнуто урегулирование по иску на 100 000 долларов между Zurich, мировым страховым гигантом, и Mondelēz International, мировым продовольственным брендом, производящим печенье Oreo и крекеры Ritz. Судебный процесс, который вращался вокруг требования Mondelez к Цюриху о возмещении убытков, понесенных ими в результате печально известных атак NotPetya в 2018 году, может изменить рынок киберстрахования.

Иск был подан на основании отказа Цюриха в удовлетворении претензий Mondelez после того, как вредоносная программа NotPetya заблокировала 1700 ее серверов и ошеломляющие 24 000 ноутбуков, в результате чего корпорация остановилась, а ущерб превысил 100 миллионов долларов. Атаки NotPetya 2017 года были связаны с аффилированными с Россией субъектами государственной угрозы, и страховой гигант Zurich отклонил иск Mondelez, сославшись на исключение в их контракте “актов войны”.

Ясно, что то, жертвами чего стали Mondelez и многие другие корпорации, было не актом войны, а “сопутствующим ущербом” в гораздо более масштабной геополитической войне, к которой они не были причастны, сказал Джеймс Льюис, директор Программы стратегических технологий Центра стратегических и международных исследований.

“Нам нужно переосмыслить, что означает акт войны в киберпространстве, когда дело доходит до страхования”, – сказал Льюис. “Нынешние определения пришли из 19 века, когда у нас были пираты, военно-морские силы и каперы”.

Как поддерживаемое государством исключение может повлиять на киберстрахование

Чтобы защитить себя от огромных выплат, некоторые страховщики указали, что они будут исключать покрытие атак, поддерживаемых государством, в полисах, начиная с определенного момента в 2023 году. Проблема такого подхода в том, что он может иметь разрушительные последствия для индустрии киберстрахования, поскольку компании не увидят преимуществ в страховых взносах, учитывая огромный объем спонсируемой государством киберактивности.

Кэролайн Томпсон, глава отдела андеррайтинга в Cowbell Cyber, поставщике киберстрахования для малого и среднего бизнеса (SMBS), отмечает, что двусмысленность в формулировке политики в отношении “военных действий” расчистила путь к урегулированию Монделеза. Это, объяснила она, должно послужить предупреждением об осторожности для андеррайтеров и страховых компаний. Если есть что-то, с чем все согласны на рынке киберстрахования, так это то, что прозрачность и ясность являются ключом к успешной политике.

Кому нужно киберстрахование?

В современном взаимосвязанном мире практически каждый бизнес, использующий цифровые системы и обрабатывающий конфиденциальные данные, может воспользоваться киберстрахованием. Вот несколько примеров отраслей, которые обычно отдают приоритет киберстрахованию:

Здравоохранение: медицинские практики, больницы и поставщики медицинских услуг, которые хранят и передают защищенную медицинскую информацию (PHI).
Финансовые услуги: банки, кредитные союзы, страховщики и другие финансовые учреждения, которые обрабатывают конфиденциальные финансовые данные.
Розничная торговля и электронная коммерция: онлайн-магазины и предприятия, которые обрабатывают платежную информацию клиентов.
Профессиональные услуги: юридические фирмы, бухгалтерские фирмы и консалтинговые компании, которые обрабатывают данные клиентов.
Технологические компании: разработчики программного обеспечения, поставщики ИТ-услуг и технологические стартапы, которые управляют конфиденциальной информацией или предоставляют технологические услуги.