Киберстрахование не заменяет зрелую ИБ — но может заставить её появиться Во многих компаниях киберстрахование покупают как обычный финансовый продукт: сравнивают цену, выбирают лимит, заполняют анкету и передают полис в архив. Руководителя ИБ подключают лишь для подтверждения мер защиты. Я не считаю страхование способом купить безопасность. Но этот процесс может заставить компанию честно ответить, какие меры защиты действительно работают, сколько будет стоить остановка бизнеса и кто возьмёт управление в первые часы кризиса.

Полис передаёт деньги, а не ответственность Страховщик принимает только оговорённую часть финансовых последствий — в пределах лимитов, исключений, периодов ожидания и отдельных ограничений по видам расходов. Компания по-прежнему отвечает за восстановление услуг, уведомление регуляторов, отношения с клиентами, публичные коммуникации и исправление причин инцидента. Поэтому фраза «мы передали остаточный риск страховщику» неточна. Передать можно часть измеримого убытка. Невозможно передать способность восстановить производство, доверие рынка или управленческую ответственность.

Самая опасная часть — анкета Страховая анкета полезна, только если ответы подтверждены фактами. Когда после атаки выясняется, что многофакторная аутентификация не охватывала важные учётные записи, копии не проверялись на восстановление, а сегментация существовала только на схеме, спор возникает именно в момент выплаты. Для каждого ответа нужны владелец, дата проверки, область действия и доказательство. Требования страховщика могут выявить слабые места, но не должны автоматически становиться программой ИБ: страховщик оценивает страхуемость убытка, компания — устойчивость бизнеса.

Лимит должен следовать за сценарием Сумму полиса нельзя выбирать «по размеру компании». Сначала нужны сценарии: остановка ключевого сервиса, шифрование инфраструктуры, утечка данных, сбой поставщика, претензии клиентов.

Для каждого сценария я бы сопоставил: - простой, восстановление и ответственность перед третьими сторонами; - покрытие, исключения, отдельные лимиты и период ожидания; - заранее одобренных технических, юридических и антикризисных подрядчиков; - уведомление страховщика и доказательства для выплаты; - последствия, которые останутся у бизнеса.

Такую карту готовности должны утвердить финансовый директор, руководитель ИБ, юристы, управление рисками и владельцы критичных процессов.

Проверять нужно не полис, а совместную готовность До инцидента стоит провести учения со страховщиком, брокером и подрядчиками: кто вызывает экспертов, что требует согласования, не конфликтуют ли сроки уведомления с обязанностями перед регуляторами, где хранятся доказательства.

Рынок уже близок к 15 млрд долларов — так Munich Re оценивает 2025 год. В портфеле Allianz Commercial за первое полугодие 2025 года тяжесть случаев снизилась более чем на 50%, а частота крупных убытков — примерно на 30%.

Страховщик связывает это в том числе с инвестициями клиентов в защиту и реагирование. Но данные одного портфеля не гарантируют такого результата любой компании.

Моя позиция проста: ценность киберстрахования проявляется не в момент покупки полиса и даже не только в момент выплаты. Она возникает, когда страхование становится поводом проверить меры защиты, посчитать реальный ущерб и отрепетировать кризис до того, как он случился.

Должны ли требования страховщика влиять на программу ИБ компании — и где проходит граница такого влияния?