Глава Национальной Страховой Информационной Системы (АО “НСИС”, 100% дочка ЦБ) Николай Галушин прокомментировал, каким должно быть страхование киберрисков, чтобы эта услуга оказалась востребованной. Он выделил несколько принципов, среди которых есть добровольный характер такого страхования, наличие доказательств утечки и снятие ответственности с оператора персональных данных, если тот приложил достаточно усилий для защиты сведений. При этом Галушин утверждает, что сейчас на страховом рынке нет предложения страхования киберрисков с достаточным покрытием и лимитами. Об этом сообщила пресс-служба АО “НСИС”.
Каким должно быть страхование киберрисков?
Глава НСИС Николай Галушин перечислил принципы востребованного страхования киберрисков. При этом он подчеркнул, что сейчас на рынке нет предложений с достаточным покрытием и лимитами. В первую очередь, эксперт считает, что этот вид страхования должен носить добровольный характер. А оператор информационной системы должен иметь инструменты возмещения ущерба в связи с требованиями о возмещении ущерба со стороны третьих лиц (владельцев персональных данных). К ним может относиться и договор страхования при достаточном уровне покрытия по страховой сумме и набору рисков.
Ответственность информационной системы будет наступать после доказательства самого факта утечки персональных данных с учётом тех данных, которые уже находятся в открытом доступе. Сюда также относится информация, которую пользователь сам выложил в интернет. После подтверждения факта утечки из конкретной системы нужно доказать причинно-следственную связь между фактом утечки персональных данных и полученным ущербом лицом, чьи данные утекли в сеть. Отмечается, что ущерб должен быть только в отношении конкретного пострадавшего лица (владельца персональных данных), а не по самому факту утечки данных.
Ответственность за утечку данных
Отдельно Галушин подчеркнул, что оператора данных нужно освобождать от ответственности, если информационная система выполнила все требования регулирующих и надзорных органов. То есть, если организация приняла все регуляторные, разумные и достаточные меры для защиты персональных данных.
Из страхового покрытия нужно будет сделать только одно исключение. Страховую выплату не должны производить, если будет доказано, что утечка произошла из-за умышленных действий оператора информационной системы. Страховать информационные системы нужно на сумму максимально возможного реального ущерба, который может быть нанесен владельцам персональных данных. Если такой ёмкости нет на страховом рынке, то страховать нужно на предельную сумму ёмкости. А весь ущерб сверх этой суммы оператор информационной системы возмещаться не будет.
Галушин считает, что дополнительно нужно предусмотреть субсидиарную ответственность подрядчиков, которые осуществляли работы с инфраструктурой и программным обеспечением в области информационной безопасности (с одинаковым набором рисков и исключений).
Дополнительно эксперт отметил, что в нынешних условиях ограниченного рынка перестрахования ёмкости РНПК может оказаться недостаточно. Чтобы решить эту проблему, можно рассмотреть введение внутренней пуловой ёмкости российских страховых компаний, предоставляющих услуги страхования киберрисков. Также Галушин назвал важным то, чтобы условия страхования были синхронизированы между разными компаниями.
Оставайтесь с нами и читайте больше о российском рынке страхования на информационно-аналитическом ресурсе Calmins.com
NEO-волонтер Сергей Н.
Calmins.com ©
Источники: пресс-релиз АО “НСИС”.
