Рост общих сборов в сегменте киберстрахования в РФ в ближайшие годы может превысить 50%

6 марта. FINMARKET.RU - Рост общих сборов по киберстрахованию в РФ в ближайшие годы может составить от 41% до более 53,8%, такой прогноз представили эксперты страхового брокера Mainsgroup в исследовании на основании результатов опроса 37 представителей страховых компаний, страховых брокеров и страхователей.

Подавляющее большинство респондентов - 94,8% - считают, что отечественный рынок киберстрахования в ближайшие годы будет расти. При этом среди страховых брокеров и страховых компаний в этом уверены 100% участников. По оценке темпов роста сборов в этой линии бизнеса мнения разделились, сдержанных прогнозов оказалось больше.

В том, что их компании уже несли убытки из-за киберинцедентов, признались 12,8% опрошенных, доля страховавших такие риски участников - 12,5%.

По данным, приведенным в исследовании, число киберпреступлений в РФ за период с 2014 по 2022 год увеличилось в 46 раз. Основными последствиями успешных атак на бизнес стали утечка конфиденциальной информации (41%) и нарушение основной деятельности (37%). Следствия кибератак на частных лиц - утечка конфиденциальной информации (69%) и прямые финансовые потери (32%).

Также данные опроса показали, что лимиты покрытия по договорам киберстрахования в целом по рынку составляют от 100-200 млн рублей до 2 млрд рублей (в зависимости от компании и наполнения пакета). Подавляющее число таких действующих договоров имеют лимиты до 500 млн рублей.

Набор рисков, включаемых в договор киберстрахования, у каждой компании свой и меняется в зависимости от потребностей клиентов. Как правило, в него входят ущерб, причиненный вследствие кибератак, потери баз данных, утечки персональных данных, кибервымогательство, потеря денежных средств, перерыв в деятельности (приостановка производственных и бизнес-процессов).

При этом, как правило, таким полисом не покрывается ущерб, связанный с форс-мажорными обстоятельствами, использованием нелицензионного ПО, умышленными либо непреднамеренными действиями сотрудников компании-клиента, техническими сбоями и иными ситуациями.

В некоторых случаях допускается включение в договор киберстрахования ущерба, причиненного неосторожностью или даже умышленными действиями сотрудника клиента. Такое расширение увеличивает стоимость договора для клиента в среднем на 15-20%, в отдельных случаях - до 40%.

"Выплат по страховым случаям пока было немного, в основном они связаны с приостановками коммерческой или производственной деятельности, возникшими из-за кибервоздействия (ошибка в программном коде, вредоносное ПО и другие) и повлекшими убытки. Пока данных явно недостаточно для того, чтобы говорить о каких-то тенденциях", отмечают авторы исследования.

У бизнеса есть сомнения

Как показал опрос, к киберрискам представители бизнеса относятся крайне серьезно и считают их реальной угрозой. В зависимости от сферы деятельности, наиболее критичными рисками они считают потерю (утечку) данных или приостановку коммерческих и производственных процессов.

При этом к киберстрахованию как способу защиты бизнес пока относится сдержанно. По мнению скептиков, это пока недостаточно прозрачный вид страхования, нет значимых кейсов по выплатам. представителей бизнеса также устроила бы большая прозрачность подходов к страхованию кибероисков.

Исследователи к перечню сдерживающих спрос факторов добавляют свой список, в составе которого: нежелание компаний-клиентов допускать страховщиков к данным о своей информационной защите для оценки рисков; отсутствие законодательной базы для обязательного страхования киберрисков; отсутствие понятного покрытия по договорам; отсутствие достаточных емкостей для этой линии бизнеса. Наконец, что немаловажно, - высокая стоимость полисов.

"Расходы на страхование сопоставимы, а иногда превышают расходы на информационную безопасность; в условиях ограниченности бюджетов это делает такую покупку крайне проблематичной", отмечают аналитики.

Кроме того, по мнению исследователей, назрела необходимость создания единого центра компетенций по андеррайтингу для данного вида страхования. Требуется создание единой шкалы оценки рискозащищенности компаний, на базе которой будет производиться андеррайтинг и предоставляться страховой лимит.

"Вопрос недостаточности страхового лимита можно закрыть с помощью сострахования или механизма создания страхового киберпула", считают авторы исследования. В этом случае необходимо будет "выработать общие подходы к оценке компаний и андеррайтингу страховых рисков, а также создать типовые правила страхования киберрисков".

Есть вопросы у IT-компании

Глава АО "Национальная страховая информационная система" (НСИС, дочерняя компания ЦБ) Николай Галушин считает, что пока страхователи не находят достойных ответов со стороны страховщиков на свой запрос, если речь идет о существенном объеме рисков. Его позиция опирается на многолетний опыт работы в страховании и полученный опыт за период создания IT-компании.

Он заявил "Интерфаксу", что "по-настоящему серьезно страховать киберриски можно только в том случае, когда на обеих сторонах (страхователя и страховщика) есть достаточная компетенция, чтобы задавать вопросы, получать ответы, трансформировать их в рекомендации и стоимость страхования, искать приемлемую емкость и принимать участие в устранении кибер инцидента, а не ожидать документов по убытку. Пока этого нет". Как нет для развития аппетита к таким рискам, опыта, квалификации, страховой емкости.

АО "НСИС" еще год назад задалось целью найти на рынке для себя полис киберзащиты, но не смогло этого сделать.

"Есть отдельные компании, которые что-то (какие-то объемы риска) готовы на себе нести, "а дальше все упирается в ограничения по перестрахованию, тарифам, условиям, набору исключений и реального понимания, какие меры принимаются внутри компании в области информационной безопасности, - сказал Галушин.- База АИС страхования НСИС обслуживает, включая обработку, хранение и глубину этого хранения, практически все население страны. В этой связи предлагаемые по киберстрахованию лимиты в 10, 20, 50 млн рублей страхового покрытия - это вообще про что?!".

Компания НСИС, по словам Галушина, тратит в год несколько сот миллионов рублей только "на лицензии в области ИБ. Помимо этого есть собственная служба, работающая в режиме 365х7х24, есть системы многоуровневого контроля доступа, мониторинга нехарактерного поведения пользователей, средства защиты информации, постоянное обучение всего персонала с аттестацией по итогам получения новых знаний, повышение квалификации у внешних вендоров и другие необходимые для обеспечения безопасности статьи".

Кроме того, глава НСИС полагает, что у страховой отрасли пока нет ответов на базовые вопросы страхователей:что именно будет покрывать киберстрахование, чему поможет выплата?

"Лимит может быть использован на восстановление репутации и поможет финансировать рекламные рассылки для восстановления имиджа компании, или использован на покупку нового "железа", на восстановление ПО, на восстановление целостности информации? Вразумительных ответов нет", - заключил Галушин.

А по линии страхования гражданской ответственности в результате кибератак клиентам следует надо учесть:"никакие штрафы покрываться страхованием не будут", добавил он.

По данным страхового брокера Mainsgroup, качественное исследование с оформлением экспертных интервью среди представителей страховых компаний (в том числе таких как СОГАЗ, АльфаСтрахование, Ингосстрах, ВСК, Сбербанк страхование, Зетта Страхование) проводилось среди компаний по кибербезопасности (BI.ZONE, Intact, Б-152 и других), а также страхователей по (Стройтрансгаз, ЦКР-ИТ, Happy Phone и других).

Вопросами выработки единообразных подходов и стандартов в этой линии бизнеса занимается созданная рабочая группа Всероссийского союза страховщиков (ВСС) по киберстрахованию.

Председатель Банка России Эльвира Набиуллина в ходе февральского выступления на форуме "Киберстрахование в финансах" назвала киберстрахование "молодой отраслью" . Она добавила, что на начальном этапе ЦБ может оказывать методическую поддержку в развитии этого вида страхования.