НСИС предложила создать концепцию единой методологии оценки киберготовности организаций на основе ГОСТа

Национальная страховая информационная система (НСИС) предлагает в рамках развития системы страхования киберрисков в РФ создать концепцию единой методологии оценки киберготовности организаций, базирующейся на актуальных национальных стандартах. Об этом сообщила НСИС со ссылкой на выступление директора по информационной безопасности компании Алексея Янова в ходе форума "CNews Forum Кейсы: Опыт ИТ-лидеров 2026".

"Как показывают экспертные обсуждения на рынке, одной из ключевых проблем, сдерживающих развитие киберстрахования, является "размытость" критериев оценки риска. Разные страховщики используют собственные опросники и методики, что приводит к субъективизму при расчете премии и, главное, к сложностям в перестраховании и урегулировании убытков", - отметил Янов.

В НСИС предлагают внедрить в практику страховщиков обязательный или добровольный (в зависимости от масштаба риска) стандарт оценки на основе ГОСТ Р 57580 ("Безопасность финансовых (банковских) операций"). Как заметил Янов, ГОСТ Р 57580.1 уже зарекомендовал себя как надежный инструмент оценки технического состояния информационной безопасности, на него опирается Банк России в своих нормативных документах. "Предлагается доработать стандарт (или создать на его основе отраслевой чек-лист), убрав узкую банковскую специфику (эквайринг и т.д.), для применения во всех секторах экономики (промышленность, МСП, ритейл)", - уточнил представитель НСИС.

По его словам, такой подход обеспечит прозрачное ценообразование: страховая премия будет привязана к объективной цифре, рассчитываемой по единой формуле, что критически важно для перестрахования (снижение споров между страховщиками). "Таргетирование рисков может быть устроено следующим способом: крупные предприятия с большими страховыми суммами будут проходить потоковую (on-line) оценку через SIEM-системы и телеметрию, а для МСП будет достаточно периодического прохождения чек-листа (самооценки)", - привел пример Янов.

При этом будет обеспечено оперативное урегулирование убытков: при наступлении страхового случая у экспертов будет четкая "база нормального состояния" ("слепок" соответствия ГОСТу до атаки), что позволит в разы быстрее фиксировать факт взлома, оценивать ущерб и отсекать мошенничество.

"Одновременно будет происходить стимулирование безопасности - внедрение такого подхода заставит страхователей реально подтягивать уровень киберзащиты, так как "плохая оценка" будет означать высокий тариф или отказ в покрытии", - заключил Янов.