НСИС предложил единый стандарт оценки киберготовности для страхования

Единая методология для оценки киберрисков

Национальная страховая информационная система рассматривает создание единой методологии оценки киберготовности организаций как важный этап развития системы страхования киберрисков в РФ. Инициативу представил директор по информационной безопасности Национальной страховой информационной системы (НСИС) Алексей Янов на форуме «CNews Forum Кейсы: Опыт ИТ-лидеров 2026».

Общий стандарт важен для компаний из разных отраслей: финансового сектора, где работают банки, кредиты, ипотека и инвестиции, а также промышленности, ритейла и МСП. Для бизнеса страхование цифровых угроз становится частью финансовой устойчивости наряду с контролем операционных рисков, а для лизинга и банков особенно значима сопоставимая оценка защищенности.

«Как показывают экспертные обсуждения на рынке, одной из ключевых проблем, сдерживающих развитие киберстрахования, является „размытость“ критериев оценки риска. Разные страховщики используют собственные опросники и методики, что приводит к субъективизму при расчете премии и, главное, к сложностям в перестраховании и урегулировании убытков», — отметил А.Янов.

Базой может стать серия ГОСТ Р 57580.x

Алексей Янов предложил применять в практике страховщиков обязательный или добровольный, в зависимости от масштаба риска, стандарт оценки на основе ГОСТ Р 57580.x из серии «Безопасность финансовых (банковских) операций». ГОСТ Р 57580.1 уже подтвердил надежность как инструмент оценки технического состояния ИБ: Банк России использует его в нормативных документах.

Предлагается адаптировать стандарт либо подготовить отраслевой чек-лист на его основе. Из него планируется исключить узкую банковскую специфику, включая эквайринг и т.д., чтобы подход можно было применять во всех секторах экономики: промышленности, МСП и ритейле. Это позволит унифицировать страхование, когда банки, компании, выдающие кредиты, участники рынка ипотеки, лизинга и инвестиций используют понятные параметры оценки рисков.

Защитить цифровые активы и ответственность организации помогает Киберстрахование. При этом единая методология способна сделать расчет тарифа более обоснованным как для страховщика, так и для страхователя.

Оценка без раскрытия чувствительных данных

Отдельное место в концепции занимает принцип «черного ящика». Автоматизированная система не должна передавать страховщику чувствительные сведения: события информационной безопасности, настройки средств защиты и т.д. Вместо этого она будет формировать интегральную динамическую оценку уровня защиты на базе ГОСТ 57580.2.

Такой механизм поддерживает прозрачное ценообразование в страховании: страховая премия привязывается к объективной цифре, рассчитанной по единой формуле. Это критически важно для перестрахования, поскольку помогает снижать количество споров между страховщиками. Сопоставимые данные будут полезны и организациям, работающим с финансами, где банки, кредиты, ипотека, лизинг и инвестиции требуют взвешенного управления риском.

Разный формат контроля для крупного бизнеса и МСП

Таргетирование рисков может быть организовано по масштабу компании. Крупные предприятия с большими страховыми суммами будут проходить потоковую on-line оценку через SIEM-системы и телеметрию. Для МСП достаточно периодически заполнять чек-лист в формате самооценки. Такой подход делает страхование киберрисков применимым для разных категорий бизнеса.

В случае страхового события эксперты получат четкую «базу нормального состояния» — слепок соответствия ГОСТу до атаки. Это позволит в разы быстрее подтвердить факт взлома, оценить ущерб и отсечь мошенничество. Внедрение методологии также будет стимулировать кибербезопасность: «плохая оценка» означает высокий тариф или отказ в покрытии, резюмировал Алексей Янов.

Для организаций финансового рынка, включая МСП, актуальна и услуга Страхование МФО и КПК: она дополняет системный подход к управлению рисками, когда страхование, кредиты и инвестиции требуют надежной защиты процессов и данных.