Страхование информационных рисков

Гражданским кодексом (ст. 211) устанавливается, что риск случайной гибели или случайного повреждения имущества (информационных ресурсов и систем) несет его собственник. Следовательно, собственник может застраховать информационные ресурсы и системы как принадлежащее ему имущество. Кроме этого, собственник информационных ресурсов несет обязательства перед пользователями и потребителями соответствующих услуг за достоверность предоставляемой информации и может также застраховать свою ответственность.

Доктрина информационной безопасности РФ определила создание системы страхования информационных рисков юридических и физических лиц одним из экономических методов обеспечения информационной безопасности РФ.

Страховой случай

К страховым случаям можно отнести уничтожение или повреждение застрахованных активов, описанных выше, вследствие наступления следующих событий:

-         Действие вирусов, червей и троянских коней. Это самый распространенный вид информационных угроз, с которым сталкиваются по разным данным от 85 до 93% всех компаний. Эти же угрозы приносят и максимальные убытки для компаний.

-         Компьютерные атаки со стороны внешних злоумышленников (хакеров). Надо заметить, что некоторые страховые компании (например, ОАО "Ингосстрах") относят к этому событию не только сами атаки, но и угрозы их совершения.

-         Хищение денежных средств в электронной форме внешними злоумышленниками. Такое хищение может происходить как с помощью сфальсифицированного финансового поручения посланного электронным способом страхователю или от имени страхователя, так и путем модификации программного обеспечения (например, атака "салями") и даже путем непосредственного ввода команд, например, в системе "Интернет-банк".

Страхование информационных рисков

-         Несанкционированные действия со стороны собственных сотрудников компании.

-         Сбои систем по причине ошибок при их проектировании, разработке, создании, установке, настройке и эксплуатации. В данное событие очень четко вписываются различные ошибки персонала (в т.ч. и непреднамеренные), которые сводят на нет все мероприятия по защите корпоративных ресурсов.

-         Страховым случаем также является временное прекращение деятельности вследствие любого из вышеперечисленных страховых случаев.

Процедура страхования информационных рисков

Страхование реализуется в виде последовательного выполнения 5 обязательных шагов:

-         переговоры, определяющие условия страхования

-         разработка и согласование предложений по страхованию

-         проведение экспертизы страхователя

-         выполнение рекомендаций, полученных в результате экспертизы

-         подписание договора о страховании.

Прежде чем страховая компания примет на себя риски страхователя, она должна убедиться, что сеть страхуемой компании не является дырявым решетом, и первая же атака не приведет к наступлению страхового случая. Другими словами, непременным условием страхования информационных рисков является проведение специальной экспертизы по анализу рисков страхового объекта. Эта экспертиза, по-русски звучащая также как и по-английски - "сюрвей" (от английского "survey" - "осмотр"), проводится экспертами в области информационной безопасности, которые и выносят свой вердикт об уровне защищенности страхуемой компании.

Особенность этой экспертизы в том, что совершается она независимыми специалистами, неработающими ни в страхуемой, ни в страховой компании. Считается, что это позволит страховой компании получить более точную картину о страхователе, а последнему - оценить свою систему защиты с точки зрения независимого незаинтересованного эксперта. Надо помнить, что привлечение российских экспертов обходится в несколько раз дешевле их западных собратьев, предпочитающих почасовую оплату труда. Половина стоимости такого сюрвея компенсируется страховой компании при заключении соответствующего договора страхования.