ИБ-риски застраховали на $2,5 млрд
Страховая корпорация AIG озвучила оценку, демонстрирующую рост внимания бизнес-сообщества к киберугрозам. По данным компании, на страхование киберрисков в 2014 г. в мире было потрачено примерно $2,5 млрд. Согласно результатам Глобального исследования PwC по вопросам обеспечения информационной безопасности, опубликованного в 2015 г., более половины (51%) респондентов утверждают, что приобрели полис страхования киберрисков в 2014 г. Для сравнения, в 2013 г. их доля составила 45%. «Все чаще крупные клиенты при принятии решения о сотрудничестве требуют от своих партнеров наличия полиса страхования киберрисков, осознавая, что их данные постоянно находятся под угрозой и нуждаются в защите», — отметил Владимир Кремер, руководитель отдела страхования финансовых рисков AIG в России. Партнеры в этом контексте — компании, с которыми существуют договоренности о сотрудничестве и есть любые элементы ИКТ в общем пользовании, в частности, это касается и компаний, предоставляющих ИТ-услуги на аутсорсинге, провайдеров облачных сервисов и депозиториев.
Киберстрахование на российском рынке почти отсутствует, а среди страховщиков соответствующие предложения есть у AIG, страховой компании «Арсеналъ». Страхование киберрисков — это отдельное направление деятельности, внутри которого рассматриваются различные риски, например риск успешной реализации DDoS-атаки (обычно полис возмещает только первоочередные расходы компании на восстановление работоспособности — то есть не компенсирует реальные потери); упущенная выгода от действий киберпреступников и отказа оборудования (основные покупатели таких полисов — ритейлеры); регрессное страхование (например, инсайдер украл данные клиентов, некоторые из которых потом подали на компанию в суд, и в этом случае страховка покроет судебные издержки).
По данным компании Group-IB, число DDoS-атак постепенно сходит на нет, уступая место атакам на системы ДБО и внутренние системы финансовых организаций в связи со значительно большими объемами средств, получаемых при тех же затратах и усилиях. За 2014 г. количество целевых атак, инициируемых группировками на постсоветском пространстве, существенно возросло. «Крупнейшие компании российского финансового сектора, в том числе банки, входящие в топ-20, традиционно считающиеся хорошо защищенными, подверглись атакам за прошедший год. Этот факт вызывает особое беспокойство в связи с тем, что речь идет не о предприятиях малого или среднего бизнеса, а об известных корпорациях с хорошим менеджментом и политикой информационной безопасности, с современными системами защиты. Негативный тренд, замеченный нами, — у абсолютного большинства этих компаний не было плана реагирования на случай обнаружения целевой атаки», — отметил Илья Сачков, генеральный директор компании Group-IB.
Наталья Касперская, генеральный директор InfoWatch и сооснователь «Лаборатории Касперского», привела неутешительную статистику: более 80% респондентов исследования, проведенного InfoWatch, признались, что утечки данных в их компаниях были инициированы сотрудниками, а не сторонними лицами. Другой опрос показал, что около 50% сотрудников при увольнении забирают с собой конфиденциальные документы, в том числе клиентские базы, командные разработки. Все перечисленные тренды заставляют бизнес-сообщество внимательнее относиться к киберстрахованию.
«Страхование киберрисков будет расти в сегменте крупного бизнеса, это несомненно. Однако кибер-страхование как форма передачи риска останется лишь дополнительным инструментом в общей картине управления рисками ИБ. Большинство рисков будет по-прежнему снижаться посредством использования различных технических средств защиты и административных механизмов, например обучения офисного персонала», — комментирует вице-президент по корпоративным продажам и развитию бизнеса «Лаборатории Касперского» Вениамин Левцов.
«Важнейшей тенденцией на глобальном рынке ИБ, на мой взгляд, является рост бизнеса MSSP (Managed Security Service Provider). Заказчики уже начали передавать риски, связанные с нарушением ИБ, третьей стороне, которая во многих случаях отвечает за широчайший спектр параметров: от контроля настроек сетевых устройств до разбора инцидентов, — отмечает Вениамин Левцов. — Возникает класс компаний, основным бизнесом которых является комплексное обеспечение ИБ их заказчиков. Довольно органичным представляется страхования рисков профессиональной деятельности MSSP, от которого один шаг — до страхования рисков, связанных с ИБ и для их заказчиков». Рынку могла бы очень помочь законодательная инициатива, обязывающая крупнейших операторов персональных данных или хотя бы ГИС страховаться от ряда рисков, включая последствия утечек данных или простоя интернет-площадок в результате DDoS-атак, считает эксперт.
