Единая методика ВСС: как будут оценивать ущерб от кибератак

Всероссийский союз страховщиков (ВСС) подготовил проект единой методики, предназначенной для определения страхового ущерба при наступлении страхового случая вследствие компьютерной атаки. Документ уже направлен в Минцифры РФ, сообщил «Интерфаксу» источник на страховом рынке, знакомый с содержанием проекта.

Инициатива важна для рынка, на котором страхование цифровых рисков пока не имеет единых правил оценки потерь. Унифицированный подход может сделать условия договоров понятнее для компаний, страховщиков, банков и иных участников финансовой системы. Для бизнеса, работающего с клиентскими данными, расчетами, кредитами, ипотекой, лизингом и инвестициями, скорость восстановления ИТ-систем после инцидента становится критическим фактором устойчивости.

Какие вопросы охватывает проект методики

Проект определяет базовые принципы, от которых зависят структура договоров киберстрахования, перечень рисков и порядок урегулирования убытков. Как пояснил собеседник агентства:

«Проект документа содержит концептуальные подходы к определению базовых условий, влияющих на структуру договоров киберстрахования и связанных с определением перечня рисков, а также ключевые подходы к процессу урегулирования убытков. Единая методика в случае ее утверждения устранит почву для разных споров, которые неизбежно возникают при столкновении различных подходов в понимании процессов, затягивают сроки оформления выплат».

На практике единые ориентиры способны сократить разногласия о составе ущерба и ускорить принятие решений по выплатам. Компаниям, которые оценивают защиту цифровых активов, может быть полезно Киберстрахование: такой инструмент помогает заранее определить финансовые механизмы реагирования на последствия атак.

По словам источника, специалисты также прорабатывают концепцию вмененного киберстрахования для объектов критической инфраструктуры, однако пока речь идет об идее. Разрабатываемая методика в дальнейшем может войти в эту концепцию.

Четыре направления возмещаемых убытков

Проект предусматривает закрепление общих подходов к определению страхового случая и состава компенсируемых потерь по четырем ключевым направлениям. Среди них — риски, связанные с имуществом, включая электронные данные и программы, гражданская ответственность перед третьими лицами, финансовые риски и потери от перерыва в хозяйственной деятельности.

«В перечень предложено включить риски имуществу, включая электронные данные и программы, риски гражданской ответственности за ущерб третьим лицам, финансовые риски (непредвиденных расходов на урегулирование инцидента — ИФ), убытки от перерыва хозяйственной деятельности — пояснил он. — Ключевой принцип методики — создание условий для незамедлительного восстановления технологической инфраструктуры хозяйствующего субъекта за счет страхового возмещения. Реализация этого принципа осуществляется закреплением в методике расширенного перечня расходов, подлежащих возмещению в приоритетном порядке».

В частности, авторы готовы включить в приоритетные расходы диагностику и устранение последствий атаки, привлечение профильных экспертов специализированных организаций с надлежащими лицензиями. Также предлагается учитывать оплату сверхурочной работы сотрудников страхователя, которые участвуют в восстановительных работах во внеурочное время.

Такой подход особенно актуален для организаций, где простой цифровой инфраструктуры влияет на платежи, выдачу кредитов, ипотеку, лизинг и инвестиции. В этих сегментах страхование должно учитывать не только прямые затраты, но и необходимость быстро вернуть в рабочее состояние технологические процессы.

Как единые стандарты могут повлиять на урегулирование

Источник считает, что предложенная модель позволит страхователю снижать продолжительность простоя, не выводя из оборота значительные суммы для ликвидации последствий киберинцидента.

«Предложенный ВСС подход позволит страхователю минимизировать простой деятельности без отвлечения значительных финансовых средств из оборота, — отметил источник. — Для внедрения предложенного проекта методики не потребуется внесение изменений в законодательство, не предполагаются дополнительные расходы бюджетов всех уровней. Методика может быть принята ВСС как саморегулируемой организацией на уровне собственного стандарта, обязательного для исполнения всеми страховщиками».

Потребность в общем методическом документе страховщики объясняют тем, что сегодня порядок оценки вреда от компьютерных атак не унифицирован. Поэтому проект фактически создается «с чистого листа». Подходы, используемые при страховании имущества юридических лиц либо ответственности, не отражают в полной мере особенности цифровых активов и не решают весь спектр вопросов, возникающих в киберстраховании.

Для сравнения: в ОСАГО уже действует единая методика расходов на восстановительный ремонт для целей страхования, утвержденная Банком России. Владельцы автомобилей могут Купить полис ОСАГО, а опыт этого сегмента показывает, почему рынку необходимы понятные и сопоставимые правила оценки ущерба.

Какие сложности возникают при оценке последствий кибератак

Одной из проблем остается отсутствие общих стандартов как у страховщиков, так и у специалистов по информационной безопасности. Дополнительные трудности создает разрозненность действий и ориентиров при устранении последствий компьютерных атак. В итоге страхование сталкивается с неодинаковой трактовкой затрат на восстановление данных, упущенной выгоды и ответственности за разглашение информации.

«В частности, затруднения для страховщиков вызывает отсутствие единых стандартов в их подходах и подходах специалистов по информбезопасности. Кроме того, мешает разрозненность действий, ориентиров при работе с последствиями компьютерных атак. Нет четких критериев оценки ущерба, особенно в части расходов на восстановление данных, упущенной выгоды, ответственности за разглашение данных в результате кибератаки. Все это затрудняет объективную оценку обстоятельств происшествия и оперативное реагирование на инциденты», — сказал собеседник агентства.

Отдельно он отметил неопределенность юридического статуса экспертных заключений, которые предоставляются по факту киберинцидента. Совокупность этих обстоятельств влияет на сроки страхового урегулирования и может приводить к спорным ситуациям между страховщиками и страхователями по договору киберстрахования.

На какую практику опирается ВСС

В письме ВСС указано, что предложения сформированы с учетом опыта унификации подходов в разных сегментах страхового рынка. Помимо ОСАГО, единые принципы применяются в рамках двух федеральных законов — об обязательном страховании ответственности перевозчиков перед пассажирами (ОСГОП), обязательном страховании ответственности владельцев опасных объектов в случае аварии (ОСОПО). Схожая модель оценки ущерба использовалась и при подготовке отраслевых стандартов страхования в связи с ликвидацией аварийных разливов нефти.

Проект методики ВСС была разработан по поручению вице-премьера Дмитрия Григоренко. Документ готовился в рамках плана мероприятий стратегии развития отрасли на период до 2025 года, утвержденного правительством РФ. Предложения ВСС связаны с планами разработки вмененного страхования для субъектов критической инфраструктуры.

Сейчас Минцифры совместно с Минфином, ЦБ и ВСС продолжают доработку концепции и предполагают возможность пилотного тестирования, добавил собеседник агентства. ВСС также рассчитывает провести рабочие встречи с Банком России, чтобы синхронизировать проект новой методики с регуляторными подходами. Результат этой работы может создать более прозрачные правила для страхового рынка, банков, компаний и клиентов, чьи финансовые процессы зависят от защищенности цифровой среды.