Сколько стоит безопасность: во сколько «Винлабу» обошлась бы страховка от хакерской атаки
Эксперты отмечают общий рост числа хакеров, совершающих кибератаки на российские компании и государственные структуры: только за первую половину 2025 года атаки совершили 95 хакерских группировок, тогда как за весь 2024 год таких группировок было только около 40.
14 июля все алкомаркеты сети «Винлаб» закрылись «по техническим причинам, также прекратили работать приложение и сайт компании. 16 июля владеющий сетью холдинг Novabev Group сообщил, что причиной этого стала кибератака хакеров, которые требуют выкуп. Компания не намерена вести переговоры с киберпреступниками. Как в будущем снизить потери от киберрисков, разбираемся вместе.
Актуальность страхования от киберрисков растет
Кибератаки становятся неотъемлемой частью жизни бизнеса, число инцидентов и разрушительность растет с каждым годом, особенно в 2024 и 2025 годах. Эксперты страхового рынка отмечают рост количества случаев, которые связаны с приостановкой хозяйственной деятельности компаний, вызванных сторонним вмешательством. В будущем эти проблемы будут актуальны не только для крупных компаний, но и для представителей среднего и даже малого бизнеса.
Если раньше предприятия чаще рассматривали в качестве основных рисков при страховании имущества пожары, взрывы, наводнения, с недавнего времени — атаки БПЛА, то в этом году наблюдается переломный момент. О киберстраховании в этом году активно говорят страховщики, IT‑компании, лидеры сфера кибербезопасности, уже есть первые значимые страховые сделки.
Думаю, мы находимся в точке, когда рост нового сегмента страхового рынка пойдет под более крутым углом. Уже сегодня можно сравнить киберстрахование со страхованием имущества юридических лиц, перерыва в производстве, гражданской ответственности по частотности событий и последствиям.
Все стремительно меняется: кибератаки становятся в один ряд с пожарами, наводнениями и другими рисками, чаще свойственными имущественному страхованию. Объем, природа рукотворного возникновения кибератак не менее опасны.
Рынок имущественного страхования юридических лиц в прошлом году составил 150,9 млрд рублей, а этом году превысит 163 млрд, думаю, к аналогичным абсолютным ориентирам в будущем будет стремиться объем рынка киберстрахования.
Рассылка: как вести бизнес в России
Пять полезных писем пришлем сразу после подписки. В них — бизнес‑идеи, готовые промпты для нейросетей, советы, как выбрать налоговый режим и получать пассивный доход
В какую сумму «Винлабу» обошелся бы договор киберстрахования?
Сегодня стоимость покрытия по каждому из рисков может разниться от страховщика к страховщику в зависимости от его риск‑аппетита и андеррайтинговой политики. По данным статистики, собранной Mains, стоимость покрытия риска до 1,5 млрд рублей может составить от 15 до 50 млн рублей в зависимости от условий страхования.
От чего защищает киберстрахование
Сейчас в типичном договоре киберстрахования можно предусмотреть достаточно широкий набор рисков: ответственность перед третьими лицами за утечку персональных данных, убытки из‑за перерыва в производственных и бизнес‑процессах, вызванного киберинцидентами (в т. ч. недополученная прибыль, расходы на восстановление IT‑инфраструктуры, сверхурочные выплаты сотрудникам и т. д.), причинение ущерба движимому либо недвижимому имуществу или окружающей среде, кража денежных средств, возникновение расходов на расследование инцидента и ликвидацию его последствий (восстановление репутации, восстановление утраченных данных, юридическое сопровождение, судебные издержки и т. д.).
На какую сумму страхового покрытия может рассчитывать ритейл
Как такового жесткого лимита не существует. Размер покрытия зависит от массы факторов: набора рисков, включенных в договор, вероятности их возникновения и возможного ущерба, состояния IT‑инфраструктуры компании, ее защищенности, географической распределенности и многого другого.
В целом по рынку можно сказать, что сейчас заключаются договоры с покрытием до 2 млрд рублей (по основной массе договоров покрытие находится в пределах 200‑500 млн). Однако если по итогам андеррайтинга экспертная оценка рисков компании превысит 2 млрд, то договор с ней будет заключен на озвученную андеррайтером сумму.
Факт причинения ущерба и его размер установит эксперт, но иногда можно обойтись и без него
В общем случае факт причинения ущерба и его размер устанавливается экспертизой. У каждой страховой компании сейчас своя методика оценки размера ущерба, поэтому и страховые выплаты у разных страховщиков могут заметно различаться.
Однако в ряде случаев страховщики могут принимать и предоставляемые страхователями данные о размере ущерба. Например, при страховании ответственности перед третьими лицами за утечку персональных данных подтверждением размера ущерба может стать решение суда или досудебное соглашение страхователя с третьим лицом о выплате компенсации за утечку персональных данных.
Застраховаться можно при любом состоянии IT‑системы, но есть нюансы
Страховщик не вправе требовать от страхователя принятия каких‑либо мер кибербезопасности как условия заключения договора страхования от киберрисков. Но при этом страхователь должен учитывать два важных обстоятельства.
Первое: уровень защищенности IT‑системы напрямую влияет на размер страховой премии. Чем слабее защита, тем выше вероятность возникновения киберрисков и соответственно тем выше страховая премия.
Второе: если в результате расследования киберинцидента будет выявлено, что он произошел в т. ч. из‑за отсутствия необходимых и достаточных действий компании по обеспечению собственной кибербезопасности, этот случай может быть признан нестраховым и в выплате страховой суммы может быть отказано.
Поэтому я рекомендовал бы еще до заключения договора провести полный аудит IT‑системы и обеспечения ее безопасности, принять необходимые меры и уже после этого обращаться к страховщику — это даст некоторую экономию на страховой премии и повысит шанс на получение выплат по договору при наступлении страхового случая.
О чем нужно помнить, собираясь заплатить выкуп
Если компания намерена заплатить хакерам выкуп, обязательно нужно сообщить об этом страховой компании. Но при этом нужно понимать, что сумма выкупа не может быть включена в покрытие, т. к. в соответствии с законодательством невозможно страхование противоправного интереса, эту сумму возмещать не будут. Вместе с тем страховщик может возместить расходы, связанные с кибервымогательством, например, расходы на определение реальности угрозы данным и системам, или на ограничение либо прекращение атаки.
Необязательно страховаться от всех рисков сразу
Как и в любом другом виде страхования, страхователь сам может определить набор рисков, которые включаются в договор. Но при таком подходе с ущербом из‑за рисков, которых нет в договоре, компания будет разбираться своими силами.
