КиберОСАГО: страховка от киберрисков — новый обязательный платеж, или реальная забота о бизнесе?

В последнее время в медийном пространстве наблюдается тенденция к продвижению инициативы о введении обязательного страхования киберрисков, которую пытаются продать как меру «повышения безопасности» и необходимый инструмент риск‑менеджмента.

Сможет ли киберстраховка стать реальной защитой для бизнеса, кому она необходима, а когда киберстрахование превращается в бесполезную статью расходов?

Есть темы, где можно долго спорить о нюансах. А есть темы, которые для меня выглядят не продуманными даже в крупную клетку. Понятно за чей счёт и не очевидно в чьих интересах. Обязательное страхование киберрисков — как раз из таких. Его пытаются продавать как меру «повышения безопасности» и возможность покрыть непредвиденные расходы за счет страховой компании. Но на самом деле, так называемый финансовый щит в виде киберстраховки — это, возможно, про попытку компенсировать издержки в результате противоправного действия, а не про реальную защиту бизнеса и его клиентов от киберугроз.

Почему идея введения обязательного «киберОСАГО» — это скорее дополнительная нагрузка на бизнес, чем защита? Начнём с простого. Повлияет ли обязательная страховка на уровень киберпреступности и на общий ущерб в киберсреде? Нет. Повлияет ли она на безопасность и на затраты на безопасность, которые несут владельцы данных? Тоже нет. Полис не делает утечки менее вероятными, не отменяет фишинг и не отучает мошенника зарабатывать. Он, возможно, поменяет правила игры после того, как событие уже свершилось, и как это в итоге заработает пока не ясно.

ОСАГО не лечит лихачество

Сравнение с автострахованием здесь хорошо подходит. Введение ОСАГО не уменьшило аварийность на дорогах. Оно не убрало преступления и нарушения. Оно просто цивилизовало отношения потерпевшего и виновника — при условии, что потерпевший и виновник не злоумышленники. А как только злоумышленники появляются, рядом тут же возникает новая ниша: мошенничество со страховками. Это отдельный вид преступности. И если перенести эту логику в киберсферу, я почти уверен, что обязательное киберстрахование создаст ещё одну отрасль незаконного обогащения. Не вместо кибермошенничества, а поверх него. При этом не очевидно, что такая страховка поможет сделать урегулирование убытков от кибермошенничества более простым и цивилизованным.

Когда страхование могло бы быть полезным?

Давайте порассуждаем: для каких видов киберрисков сегодня действительно имеет смысл покупать полис?

1. Как ни странно, самое сложное в киберстраховании — это не оценка ущерба от взлома или утечки данных, а доказательство вины. Если компания потеряла данные или у неё встало производство — убытки посчитать можно и нужно, и здесь страховка работает прозрачно. Но как только мы переходим к ответственности перед третьими лицами (например, клиентами, пострадавшими от утечки), рынок сталкивается с фундаментальной проблемой.
2. Недостаточно просто зафиксировать факт утечки. Нужно юридически безупречно доказать, что ущерб клиента наступил именно из‑за этого конкретного инцидента и больше ни из‑за чего. Звучит как детективный сюжет, но на практике построить такую цепочку сегодня практически нереально. Мы искали прецеденты — их нет.
3. В итоге компании рассуждают прагматично: гораздо дешевле и надёжнее локализовать проблему и постараться скрыть следы, чем платить за полис, который, возможно, никогда не сработает. Ведь даже если факт утечки будет доказан, квалифицировать её как прямую причину ущерба для потерпевшей стороны — задача со звёздочкой даже для известной певицы.

Если включить фантазию, рабочая модель защиты могла бы выглядеть несколько иначе: не «платим, потому что виновата конкретная компания», а аккумулируем деньги в общественно контролируемом фонде компенсационных выплат. И из этого фонда, независимо от того, кто допустил утечку, выплачиваем пострадавшим от атак, связанных с утечками. А компания, допустившая доказанную утечку, получает повышающий коэффициент на продление этого полиса на следующий страховой период.

Это действительно могло бы стать инструментом, который спасает невиновных людей и невиновные компании от последствий мошенничества. Но тут же возникает обратная сторона. Если причинно‑следственную связь доказать трудно, неизбежно начнутся злоупотребления. Появятся случаи, когда «ущерб» станут оформлять уже мошенники. То есть вместе с механизмом компенсации вырастет стимул «стать пострадавшим». Да и скрыть факт утечки зачастую дешевле, чем её предотвратить…

Я не понимаю, зачем всё это делать обязательным именно для компаний как будто бы «ради их спасения». Компании, которые умеют считать риски, как правило, и так страхуются, и киберугрозы тут не исключение.

История «киберугроза может привести к такому ущербу, что компания без страховой выплаты не сможет существовать» звучит как оправдывающая легенда. Я пока с трудом верю в такую проактивную заботу о бизнесе: сначала заставить всех купить полис, чтобы потом кого‑то “спасти”. Куда правдоподобнее версия, что обязательность нужна для компенсаций пострадавшей стороне — как ОСАГО, только в киберсреде, чтобы возмещать ущерб пострадавшим и закрывать вопрос штрафов и претензий.

Страховка обязательна, если вы можете представить сценарий

Речь должна идти не про требования законодательства, а про зрелое решение менеджмента.

«Киберстрахование — это не альтернатива информационной безопасности и не щит. Это инструмент управления убытками, который работает уже после того, как инцидент произошёл».

Информационная безопасность — это обязательная гигиена современного бизнеса. Кто‑то обеспечит её собственными силами, кто‑то создаст отдельное подразделение. Но важно понимать: сам по себе отдел ИБ не гарантирует безопасность. Более того, иногда его наличие создаёт ложное чувство защищённости, и компания начинает нарушать собственную «цифровую гигиену» сильнее, чем раньше, думая, что теперь их кто‑то прикроет.

Итог: примета вместо защиты