Эксперты обсудили страхование киберрисков: «Мы не защищаем от рисков, мы снимаем последствия»
2 октября в рамках ежегодного форума по информационной безопасности и ИТ GISDAYS состоялся круглый стол «Страхование киберрисков». Модератором выступил управляющий директор «РК Страховой Брокер» Иван Еремеев. В дискуссии приняли участие заместитель генерального директора по информационным технологиям и кибербезопасности АО «Невский экологический оператор» Александр Васильев, исполнительный директор СберСтрахования Владимир Шилин, финансовый директор МГС Групп Галина Кочергина, вице-президент по информационной безопасности Банка «Дом РФ» Дмитрий Никишов, советник ООО «Кучер, Максименко и партнеры» Роман Садовский, а также руководитель группы защиты инфраструктурных IT-решений «Газинформсервис» Сергей Полунин.
«Прожарка» вместо докладов
Формат дискуссии модератор Иван Еремеев назвал «прожаркой»: без презентаций и докладов, с открытым и порой провокационным диалогом. Участники разделились на две условные команды — «бизнес» и «страховщики», а Сергей Полунин из «Газинформсервиса» выступил в роли «джокера», следящего за балансом в споре.
Страхование как «остаточный риск»
Ключевым вопросом стало определение роли страхования в системе управления киберрисками. Владимир Шилин из СберСтрахования подчеркнул: «Мы не страхуем риски, мы помогаем снять последствия наступивших инцидентов. Если вас пробили, то мы вот этот остаточный риск берем на страхование».
Он отметил, что природа киберрисков принципиально отличается от традиционных — вероятность наступления того или иного события практически невозможно рассчитать. «Мы до сих пор не имеем большого объема статистики, и оценить вероятность того, наступит ли цифровой риск или не наступит, мы, к сожалению, не можем. Мы лишь уверены в том, что он точно произойдет».
«Застраховать можно кого угодно — вопрос в условиях»
Бурную дискуссию вызвал вопрос о том, будет ли страховщик работать с компанией, у которой отсутствуют базовые процессы информационной безопасности. Владимир Шилин ответил, что в сегменте малого и среднего бизнеса страховщики предлагают лимитированные решения с минимальным набором требований, чтобы «компания малого бизнеса не упала». Однако для крупных организаций, где последствия могут измеряться миллиардами, подход иной: «Ребята, мы не в казино».
Модератор Иван Еремеев резюмировал: «Застраховать можно кого угодно. Вопрос, на каких условиях». Он пояснил, что, если риск оценивается как экстремально высокий, стоимость полиса может составить и 99% от потенциального лимита возмещения, но, очевидно, что ни один бизнес на это не пойдет, поэтому правильнее начинать с базовой «кибергигены», прежде чем говорить о страховании.
Промышленность и цепочки поставок
Галина Кочергина из МГС Групп рассказала, что с начала 2026 года атаки на промышленность носят не разовый характер, а их рост составил около 30%. «Любая кибератака может остановить производство. Даже вот как мы сейчас обсуждаем на час, при этом потери могут составлять сотни миллионов рублей». Она задала вопрос, можно ли застраховать инцидент у поставщика или подрядчика, который остановит конвейер.
Роман Садовский подтвердил, что это возможно: ключевых поставщиков можно поименовать в полисе, либо указать общее определение, покрывающее сбои в работе систем подрядчиков. Владимир Шилин добавил, что включение в покрытие цепочки поставок увеличивает стоимость полиса, но речь идет о «не каких-то диких деньгах» — обычно такие риски оцениваются в 1-1,5% от страховой суммы.
Вопрос доверия: «Деньги-то заплатят?»
Дмитрий Никишов из Банка «Дом РФ» выразил скепсис, характерный для многих представителей бизнеса: «За 15 лет работы в банках вот сидел и думал, когда бы меня хоть раз спасла бы страховка лично перед топ-менеджментом. И я не нашел таких случаев». По его мнению, для ЦИСа страховка не решает проблему репутации после инцидента, а страховщики не всегда понимают терминологию и векторы угроз кибербезопасности.
Он также поднял вопрос о «серой зоне»: что произойдет, если компания заявила в анкете о наличии патч-менеджмента, но инцидент произошел через непропатченный сервер. Роман Садовский дал юридический комментарий: заявление на страхование — это документ, который можно и нужно править. «Вы должны дать подтверждение только по тем параметрам, за которые вы можете ручаться». Если есть сомнительные зоны, их нужно аккуратно отработать в заявлении, чтобы при урегулировании страховщик не отказал в выплате.
Владимир Шилин добавил, что для крупных клиентов страховщики прописывают четкие сценарии выплат: «Наша задача сделать так, чтобы мы действительно за это платили, потому что у нас, как у страховщиков, сейчас репутация не очень». Он отметил, что урегулирование убытка и фиксация факта инцидента должны быть четко прописаны в договоре, чтобы избежать разночтений.
Рынок киберстрахования в России: цифры и факты
Во вступительном слове модератор привел ключевые данные о российском рынке киберстрахования:
- Продукт: страхование киберрисков существует на рынке уже 10 лет и покрывает практически любые расходы и убытки от кибератак, кибервымогательства, воздействия вирусов, технических сбоев и т. д.
- Рынок: порядка 10 активных страховщиков, емкость позволяет застраховаться на сумму 2-3 млрд рублей.
- Практика: до 300 корпоративных полисов, порядка 8 случаев урегулирования убытков, выплаты более 200 млн рублей.
Круглый стол завершился без финального вердикта — как и предполагал формат «прожарки». Однако дискуссия наглядно показала: рынок киберстрахования в России уже сформирован, но требует большего взаимопонимания между бизнесом, страховщиками и ИБ-специалистами.
