Киберстрахование в России существует уже несколько лет, но малый и средний бизнес им почти не пользуется. Про страховку обычно вспоминают после того, как что-то случилось. С машиной после ДТП, с квартирой после потопа, с компьютерами после письма о том, что файлы зашифрованы. Ниже объясняем, как устроено страхование киберрисков, почему раньше оно было неудобным и что поменялось.
Что покрывает киберстрахование
Кибер полис защищает от финансовых последствий атаки. Точный состав покрытия зависит от страховщика и программы, но обычно в него входят несколько видов расходов.
- Восстановление систем и данных. Работа специалистов, которые поднимают серверы, восстанавливают базы и проверяют, что злоумышленник ушёл.
- Расследование инцидента. Нужно понять, как вошли и что успели сделать. Без этого повторная атака почти гарантирована.
- Убытки от простоя. Пока не работают учёт и отгрузки, компания теряет выручку. По опыту 4sec, типичный простой после шифрования длится около недели.
- Ответственность перед третьими лицами. Претензии клиентов и партнёров, чьи данные пострадали.
Многие полисы не покрывают административные штрафы. Если компания обрабатывает персональные данные, этот риск стоит оценить отдельно, так как штраф за утечку для юридического лица начинается от 3 млн ₽ (Право.ру).
Масштаб убытков, от которых защищает страховка, понятен из цифр. По нашему опыту, средний ущерб малого и среднего бизнеса от одного инцидента составляет 2-5 млн ₽. По данным F6, обычные суммы выкупа в 2025 году составляли 4-40 млн ₽ (Anti-Malware.ru).
Почему страхование от кибератак раньше не работало
Когда мы начали заниматься страхованием, нас удивило одно противоречие. Страховщики хотят продавать такие полисы, клиентам они интересны, а рынок остаётся маленьким. Причин несколько.
Сложный вход
У большинства небольших компаний защита слабая или её нет совсем. Страховщику нужно понять, кого он страхует, поэтому клиент заполнял подробную анкету, а иногда заказывал аудит. Для компании с одним ИТ-специалистом это недели работы ради того, чтобы просто получить предложение.
Высокая цена
Без дорогого аудита страховщик не может оценить риск точно. Неопределённость он закладывает в тариф. В итоге полис становится невыгодным как раз для тех, кому он нужнее всего.
Непрозрачное урегулирование
Договор заключается на основании заявления, которое клиент заполнил в начале. Решение о выплате тоже принимают с учётом этих данных. Но за год инфраструктура меняется. Появились новые серверы, ушёл администратор, сменился подрядчик. Если после атаки выясняется, что реальность не совпадает с анкетой, начинается спор. Клиент не уверен, что деньги вообще заплатят, и не покупает.
Нет привычки страховаться
Есть и причина глубже. Самый большой рынок киберстрахования сложился в США, где бизнес давно привык страховать почти любой риск сам. В России многие ключевые риски исторически закрывало государство, поэтому привычки платить за страховку у собственника нет. Бизнес это тоже люди, и на компанию они переносят ту же логику.
Что изменилось
Главная идея новых продуктов простая. Если встроить в страховку сервис, который постоянно следит за состоянием инфраструктуры, то три старые проблемы решаются одновременно.
- Не нужна анкета. Страховщик видит реальное состояние защиты по данным сервиса, а не по заявлению клиента.
- Риск становится ниже. Сервис помогает закрывать уязвимости и защищает серверы, поэтому тариф может быть выгоднее.
- Урегулирование прозрачнее. Решение о выплате опирается на актуальные данные, а не на анкету годичной давности.
Так устроен Кибер-Инго Смарт, который 4sec сделал вместе с СПАО «Ингосстрах». Внутри полиса работает платформа 4sec, а оформление занимает 2-3 дня без анкет. Покрытие до 500 млн ₽, стоимость от 375 000 ₽ в год. Страховка здесь работает не только по принципу «держите деньги». Её задача в том, чтобы до страхового случая не дошло, а если он всё же случился, команда 4sec помогает с реагированием и восстановлением. Как устроена выплата при неудачном восстановлении, описано на странице финансовой гарантии.
Страховка плюс восстановление
Для клиентов платформы 4sec действует финансовая гарантия. Если после шифровальщика данные не восстановлены из копий сервиса за 48 часов, Ингосстрах выплачивает компенсацию.
Когда киберстрахование имеет смысл
Полис нужен не всем. Он оправдан в нескольких ситуациях.
- Неделя простоя для вас критична. Если остановка учёта и отгрузок на 7 дней означает потерю крупных клиентов, страховка покрывает то, что не вернут никакие копии.
- Резерва на инцидент нет. Ущерб в 2-5 млн ₽ компания с оборотом в десятки миллионов переживёт с трудом.
- Этого требуют партнёры. Крупные заказчики всё чаще спрашивают подрядчиков о защите, и полис отвечает на этот вопрос.
Страховка не заменяет резервные копии и защиту. Деньги после атаки не вернут ушедших клиентов и не восстановят данные сами. Поэтому лучше всего работает связка из защиты, восстановления и полиса.
Как не получить отказ в выплате
Большинство споров со страховщиком можно предотвратить ещё до инцидента. Вот что мы советуем.
- Уведомите страховщика в срок. В договоре указано, за какое время нужно сообщить о событии. Пропущенный срок даёт основание для отказа.
- Устраняйте известные уязвимости. Если сервис сообщил о дыре, а компания месяцами её не закрывала, это аргумент против выплаты.
- Сохраните следы атаки. Не перезагружайте серверы и не запускайте «очистку» до прихода специалистов. Расследование нужно и вам, и страховщику. Порядок первых действий мы описали в статье о том, что делать, если взломали сервер.
- Не платите выкуп без согласования. Решение о выкупе стоит обсудить со страховщиком и командой реагирования. Почему платить часто бессмысленно, мы объясняли в статье о выкупе хакерам.
- Прочитайте исключения. Узнайте заранее, что полис не покрывает, чтобы не узнать об этом после атаки.
Киберстрахование в России перестаёт быть экзотикой, когда полис оформляется за дни, а не за месяцы, и когда клиент понимает, за что ему заплатят. Чем раньше вы познакомитесь с ним, тем меньше шансов, что в корпоративном чате появится сообщение «коллеги, ничего не открывайте».