Киберстрахование: зачем бизнесу платить за защиту до атаки

По статистике компании “Бастион” количество кибератак в 2024 году увеличилось на 20%. Они стали реальной угрозой не только для компаний финансового сектора, но и для промышленных предприятий. Восстановление после них обходится бизнесу в десятки миллионов рублей. Поделимся своим опытом и расскажем, зачем бизнесу стоит обратить внимание на киберстрахование и как это может помочь в случае возникновения инцидента.

Что такое киберриски

Компании не могли просчитать потенциальные убытки, связанные с киберинцидентом, его последствиями, в том числе и репутационными, а также со стоимостью восстановления инфраструктуры для нормального функционирования организации. Большинство компаний просто не располагали методиками для расчета таких убытков.

Помимо этого, в России практически отсутствовала судебная практика по возмещению ущерба в связи с утечкой информации из организации. Не было прецедентов, которые бы четко определяли размеры возмещения, процедуры расследования или критерии ответственности. Страховые компании не могли опираться на установленные правовые нормы, так как сама правовая база для регулирования киберрисков отсутствовала.

Оценка киберрисков необходима бизнесу, чтобы понимать сколько стоит вкладывать в информационную безопасность, чтобы кибератаки были менее вероятны и ущерб от них был меньше, но, и чтобы не платить за это спокойствие двойную, а то и тройную цену.

В поиске такого баланса становится крайне актуальным вопрос страхования, потому даже самая совершенная система безопасности уязвима и не гарантирует на 100%, что инцидент не возникнет. Кибер‑страхование является эффективным дополнением комплексного подхода к выстраиванию ИБ‑инфраструктуры.

Самые масштабные киберугрозы для бизнеса

Основываясь на личном опыте, можно привести несколько серьезных угроз, которые впоследствии способны повлиять на процессы внутри компании:

1. Кибератаки и вредоносное ПО. Финансовая оценка здесь прямолинейна. Остановили работу на сутки — считается упущенная выручка. Промышленные предприятия работают в непрерывном цикле и знают стоимость остановки деятельности. Онлайн‑сервисы, маркетплейсы, операторы связи, финансовые организации точно знают, сколько стоит простой их инфраструктуры. Но сложнее оценить ущерб, связанный с восстановлением нормального функционирования организации. Сюда могут войти расходы на закупку дополнительных решений или услуг третьих лиц, для восстановления инфраструктуры и информационных систем.
2. Утечка персональных данных. Штраф неизбежен по закону, его нельзя включить в страховое покрытие. Зато можно получить компенсацию за ущерб от самого инцидента: расследование, зачистка периметра от злоумышленников, восстановление инфраструктуры. Также сюда могут войти расходы на иски контрагентов, репутационный ущерб и т.д.
3. Утечка коммерческой тайны. Разработки, бизнес‑процессы, данные о себестоимости и ценообразовании могут быть скомпрометированы. Оценить такой ущерб сложно, но, если у вас есть договоры с контрагентами, где зафиксированные обязательства о неразглашении — их можно включить в страховое покрытие.

Также можно застраховать ущерб и в случае инцидента на стороне внешних подрядчиков организации. Часто у заказчика нет экспертизы, чтобы проверить подрядчика на уязвимости, но именно он несет юридические и операционные последствия в случае атаки.

Что нужно страховать в первую очередь

Не всегда имеет смысл делать комплексный страховой полис без приоритизации — это дорого и часто неоправданно. Лучше сосредоточиться на наиболее уязвимых элементах инфраструктуры. Организация должна понять, что для нее наиболее критично, и на базе этого строить стратегию защиты.

Для организаций с удаленным обслуживанием клиентов ключевая зона риска — web или мобильное приложение. Его недоступность означает остановку обслуживания клиентов и удар по репутации. При этом сбой в части внутренней инфраструктуры (например, бэк‑офисе) может быть временно компенсирован без критических потерь.

Для производственных компаний критична бесперебойная работа основного производства. Его остановка может повлечь срывы поставок, неустойки и прямые убытки. Административные процессы, в отличие от этого, чаще допускают паузы и восстановление без существенных последствий.

Страхование должно покрывать прежде всего именно критичные бизнес‑функции, простои и восстановление которых влекут максимальные убытки. Идентифицируйте их — и выстроите защиту адресно, без избыточных расходов.

Сколько стоит восстановление после атаки

Многие компании учитывают только прямой ущерб — потери выручки в период простоя. Но в ряде случаев гораздо значительнее оказываются косвенные издержки, связанные с восстановлением ИТ‑инфраструктуры и расследованием инцидента.

Расследование инцидента — первый шаг. Необходимо выяснить, как произошла атака, какие данные были скомпрометированы, и где система дала сбой. Такие услуги предоставляют компании вроде Positive Technologies, лаборатории Касперского, F.A.C.C.T. Стоимость — от 5‑6 миллионов рублей и выше для большинства клиентов.

Второй этап — восстановление ИТ‑инфраструктуры, например, настройка серверов или переустановка систем безопасности. Это обходится компаниям в сумму, способную превысить стоимость расследования в несколько раз.

Пока идет восстановление и закрепление результата, на 3–6 месяцев закупаются временные решения для защиты от повторного возникновения инцидента. Эти меры также требуют значительных затрат — от нескольких миллионов рублей.

Суммарные затраты на расследование, восстановление и временные решения могут составить десятки миллионов рублей — не считая прямых убытков. Сегодня компании страхуют не только потери, но и стоимость устранения последствий. Комплексный страховой продукт должен покрывать все эти аспекты.

Кто в компании должен заниматься киберстрахованием

В зрелых компаниях, где уже случались цифровые инциденты, за киберстрахование отвечают риск‑менеджеры или финансисты. Для них это часть интегрированной системы управления бизнес‑рисками.

Страхование киберрисков обходится в несколько процентов от суммы покрытия. Эти расходы дают бизнесу гарантию того, что в случае атаки последствия будут оперативно и финансово управляемыми.

Как определить бюджет на защиту

После оцифровки киберрисков компании получают расчет ожидаемых убытков. На основе этих данных определяется обоснованный бюджет на информационную безопасность. Перерасход — так же опасен, как и недофинансирование: можно вложить миллиарды, не получив соразмерного эффекта.

Верный расчет строится на двух переменных: вероятности инцидента и масштабах потенциального ущерба. Их произведение определяет необходимый уровень инвестиций в защиту.

Если бюджет на защиту существенно превышает расчетный риск, это признак неэффективности инвестиций. Если он ниже — требуется либо усиление ИБ‑мер.

Что происходит с рынком киберстрахования в России

По личному опыту можно разделить несколько периодов изменений на рынке. До 2014 года киберстрахование в России было скорее маркетинговым инструментом, чем реальным продуктом. Вендоры информационных систем включали страховку в техническое задание как бесплатное дополнение для убеждения заказчиков.

2014–2020 годы стали периодом первых попыток создания полноценных страховых продуктов. Страховые компании начали разрабатывать специализированные полисы, но спрос оставался крайне низким. Большинство компаний не понимали масштаб киберугроз и не были готовы платить за защиту от гипотетических рисков. Атаки в основном направлялись против финансовых организаций с целью прямого хищения средств.

В 2020–2022 годы, когда банки выстроили эшелонированную защиту, хакеры переключились на атаки через социальную инженерию, нацеливаясь на конкретных клиентов. Параллельно появились хакеры‑активисты, которые выбирали случайные цели для демонстрации своих способностей, не планируя нанести серьезный ущерб конкретным организациям.

Одновременно происходила цифровизация бизнеса. С 2020 года развиваются Госуслуги, курьерские службы, онлайн‑магазины и сервисы. Бизнес стал критически зависим от цифровой инфраструктуры.

С 2022 года ситуация изменилась кардинально. Российские компании столкнулись с целенаправленными кибератаками. Даже промышленные объекты, которых раньше никто не трогал, начали подвергаться атакам.

Оцифровка убытков позволила компаниям точно рассчитывать потери от киберинцидентов. Когда 70–90% оборота проходит через цифровые каналы, легко определить стоимость каждого часа простоя системы. Появились четкие методики оценки прямого и косвенного ущерба от атак.

После резонансных атак и реальных убытков компании начали рассматривать страхование как практический инструмент снижения последствий, а не как формальное требование в техзадании. Это привело к резкому росту спроса на киберстрахование со стороны всех секторов экономики.

Повышение корпоративной зрелости проявилось в том, что компании начали системно работать с рисками. Они стали фиксировать уязвимости и выстраивать отношения с ИТ‑подрядчиками на основе требований безопасности.

В условиях, когда большинство бизнес‑процессов проходит через информационные технологии, киберстрахование стало обязательной частью корпоративного риск‑менеджмента.

Что пока не страхуют, но скоро начнут

Сегодня существует проблема внешних подрядчиков, которая остается основным пробелом в текущих страховых продуктах. Сторонние организации для разработки и поддержки информационных систем могут оставлять в системах уязвимости или проблемы безопасности. Компания‑заказчик зачастую не имеет достаточной экспертизы для проверки качества защиты.

После внедрения системы именно заказчик будет нести полную ответственность за возникшие инциденты, даже если они произошли из‑за ошибок внешнего разработчика.

Сейчас страховые компании не покрывают риски, связанные с деятельностью ИТ‑подрядчиков. Но в ближайшие 1–2 года появятся специализированные продукты, которые будут включать ответственность за внешний ИТ‑контур и покрывать ущерб от уязвимостей, внесенных третьими лицами.

Рынок будет развиваться не только по охвату клиентов, но и по глубине покрытия сценариев — от простых случаев прямого ущерба до сложных цепочек взаимодействия с подрядчиками и поставщиками ИТ‑услуг.

Киберстрахование переходит из разряда экзотики в статус обязательного инструмента для любого бизнеса.

Перспективы развития киберстрахования до 2030 года

Киберстрахование как полноценный продукт существует в России всего 2–3 года, что делает рынок крайне молодым. В каждой страховой компании пока разный набор услуг и подходов к оценке рисков.

Через 2 года следует ожидать стандартизации отрасли. Страховые продукты станут похожи на ОСАГО и КАСКО — появятся единые стандарты покрытия, типовые условия договоров и регулярная практика выплат.

Рынок разделится на два сегмента. Малый и средний бизнес получит доступ к готовым страховым решениям — простым в оформлении и стандартизированным по условиям. Крупные компании будут приобретать персонализированные комплексные продукты с индивидуальной настройкой под специфику их деятельности.

Рост будет обеспечен двумя факторами: повышением корпоративной зрелости компаний в управлении ИТ‑рисками и появлением регуляторных требований к обязательному страхованию критически важных систем в отдельных отраслях.