Начальник управления страхования ответственности «Ингосстраха» Дмитрий Шишкин описал типичное наполнение полиса киберстрахования. Компании обычно выбирают комплексную защиту от кибератак, вредоносного ПО, технических сбоев и ошибок сотрудников. В число покрываемых последствий могут входить убытки из-за остановки бизнеса, расходы на восстановление данных, хищение электронных денежных средств и ущерб деловой репутации.
Управляющий RTM Group Евгений Царев объяснил, почему юристу недостаточно разбираться только в страховом праве. «Здесь юрист работает на стыке страхового права, IT-безопасности и регулирования данных», — сказал он.
По словам Царева, без понимания типовых кибератак, устройства информационных систем и цифровой форензики сложно оценить условия полиса, подтвердить факт инцидента и обосновать размер ущерба перед страховщиком. То, что остается за рамками покрытия, по его словам, зачастую важнее того, что в него включено: «Многие полисы покрывают в основном мнимые риски — малореализуемые или сложно доказываемые атаки». Утечки по вине сотрудников, предупредил он, почти никогда не включаются в покрытие, а штрафы регуляторов и действия самого страхователя остаются за рамками страховой защиты в принципе.
Основатель компании «КиберОснова» Василий Сеничев показал, насколько сильно могут различаться условия страховщиков. Изучив опубликованные правила нескольких страховщиков, Сеничев обратил внимание на исключения: «Штрафы госорганов не покрываются, это прямо записано, например, в правилах СберСтрахования и "Зетта Страхования"». Подход к ущербу, причинённому умышленными действиями сотрудников, различается. По словам Сеничева, СберСтрахование возмещает его только при наличии специального условия в договоре. У «Зетты» такие действия работников включены в перечень застрахованных рисков.
«Поэтому ответ на вопрос, покрыта ли утечка по вине сотрудника, лежит в конкретном договоре, и юристу лучше найти его до инцидента», — заключил он.
Советник зампреда комитета Госдумы по финансовому рынку, руководитель направления GR «АльфаСтрахования» Ирина Данилина отдельно обратила внимание на риск отказа в выплате из-за грубой неосторожности страхователя.
Если компания знала о критической уязвимости и сознательно игнорировала предписания регуляторов, страховщик откажет в выплате, сославшись на принцип собственной вины страхователя. Данилина также отметила значимость страхования убытков от остановки бизнеса. По её словам, в отдельных программах на компенсацию таких потерь может приходиться до 87,5% страхового лимита.
Момент наступления страхового случая — зона риска скорее процедурного характера, чем технического. Сеничев предупредил об одной из самых дорогих ошибок после атаки – преждевременном восстановлении систем. «Страховая платит по доказательствам, и собирают их в первые часы», – отметил он. Если начать восстановление до фиксации состояния систем, можно уничтожить важные цифровые следы. Как пояснил эксперт, «восстановленная система уже ничего не докажет». Сроки уведомления страховщика задает конкретный договор — от 48 часов до трех рабочих дней.
Закон обязывает оператора за сутки сообщить в Роскомнадзор об инциденте, за трое суток — о результатах внутреннего расследования.
За неуведомление юрлицу грозит штраф от одного до трех миллионов рублей, а значит, по наблюдению Сеничева, «первую официальную версию инцидента, скорее всего, получит регулятор», а не страховая компания.
Председатель коллегии адвокатов «Жамкочян и партнёры» Каро Жамкочян считает, что юрист должен подключаться к работе в первые часы после киберинцидента, а не после отказа страховщика в выплате. Его задача – помочь собрать доказательства, которые подтвердят обстоятельства атаки и размер причинённого ущерба.
Раскрытие информации страховщику создает для бизнеса собственный контур юридических рисков, не менее серьезный, чем сам киберинцидент. Царев обратил внимание на противоречие: для заключения договора и получения выплаты страхователю приходится передавать сведения о своей системе защиты и её уязвимостях. Это создаёт риск утечки конфиденциальных данных, «в том числе через перестраховщиков, даже при наличии NDA». Кроме того, информация об инциденте может быть использована регуляторами или пострадавшими клиентами как косвенное доказательство того, что компания знала о проблемах с безопасностью.
Он также напомнил: выплата напрямую зависит от соблюдения требований страховщика к защищенности — при нарушении процедур ИБ или защиты персональных данных страховщик вправе отказать или уменьшить выплату. Отдельный вопрос — административные штрафы за утечки персональных данных. Они, как правило, исключаются из страхового покрытия, а возможность их возмещения ограничена правовыми требованиями.
«Получается, что в существующем виде киберстрахование не снимает часть рисков, а создает новые», — резюмировал он.
Отдельный практический нюанс связан с комплексными продуктами, где вместе с полисом клиент получает услуги ИБ-подрядчика для расследования инцидента. Специалист по связям с государственными органами «СерчИнформ» Дмитрий Вощуков рекомендует заранее проверять условия привлечения подрядчиков по информационной безопасности. В частности, необходимо выяснить, какие требования ФСТЭК применяются к договору и выполняемым работам.
Если услуги относятся к лицензируемой деятельности по технической защите конфиденциальной информации, следует проверить наличие соответствующей лицензии у исполнителя. Это поможет избежать дополнительных правовых рисков при расследовании инцидента.
Руководитель SkyCapital Дмитрий Галкин рекомендует юристам вести три направления работы отдельно: урегулирование страхового случая, уведомление регуляторов и защиту интересов компании в спорах с пострадавшими клиентами. У каждого направления свои сроки, документы и правовые последствия.
Смешение этих треков, по его наблюдению, и становится источником большинства судебных конфликтов впоследствии.
Средние лимиты покрытия удвоились за год, но, как заметила Данилина, без системного регулирования этот рост остается хаотичным, а андеррайтинг (процедура глубокой оценки рисков) — непрозрачным: страховщики действуют вслепую, не имея единых стандартов оценки рисков.
Поэтому при выборе полиса бизнесу стоит оценивать не только страховой лимит, но и исключения из покрытия, требования к защите данных и порядок действий при инциденте. Чем раньше юрист проверит эти условия, тем меньше вероятность, что после атаки компания столкнётся с неожиданным отказом в выплате.
Изображение создано Magnific, www.magnific.com
