Ландшафт рисков: кибер, мошенничество и ответственность правления

Коротко. За десять лет картина рисков предприятия изменилась принципиально. Ущерб уже не является преимущественно физическим: он состоит в недоступности данных, платежах на неверный счет и последующих требованиях. Один инцидент может одновременно привести в действие киберриск, риск crime и риск D&O. Классическое страхование имущества и ответственности не рассчитано на такую ситуацию, а страховая программа, составленная из отдельно купленных договоров, часто оставляет непокрытой именно самую дорогую часть ущерба.¹

1. Почему традиционного страхования уже недостаточно

Страхование имущества и ответственности сложилось в то время, когда риски были разграничены четче. Страхование имущества было сосредоточено на гибели или повреждении вещи (пожар, ущерб от воды, кража), а страхование ответственности на классических случаях ответственности, например причинении вреда здоровью третьего лица или ущерба его имуществу. Описание страхового случая и связанные с ним исключения отражают эту логику до сих пор.

Типичный сегодняшний ущерб выглядит иначе.

• Ущерб не является физическим. Удаление данных, шифрование систем или утрата доступа могут не квалифицироваться как «гибель или повреждение вещи» в смысле страхования имущества. В международной судебной практике этот вопрос решался то в пользу страхователя, то в пользу страховщика; результат каждый раз определяла формулировка договора (см. дела по киберстрахованию).
• Мошенничество не является технической неисправностью. Если работник сам вводит платежное поручение, потому что его убедили, что банковский счет поставщика изменился, сам платеж не является «взломом» платежной системы предприятия, даже если схема началась с компрометации учетной записи электронной почты. От формулировки страховой защиты от компьютерного мошенничества зависит, покрывается ли такой ущерб.
• Ущерб многослоен. Из одного события могут возникнуть перерыв в деятельности, договорные требования, надзорное производство, штраф и репутационный ущерб. Каждый слой может подпадать под другой договор страхования или остаться непокрытым.
• Риск движется по цепочке поставок. Атака на поставщика ИТ-услуг может причинить ущерб клиенту, который не был целью атаки и собственные системы которого были в порядке.

На практике это означает четыре простые истины: страхование имущества, как правило, не покрывает киберущерб, общее страхование ответственности, как правило, не покрывает утечку данных, страхование crime не покрывает автоматически все схемы социальной инженерии (social engineering), а страхование D&O не покрывает собственный технический или прямой денежный ущерб предприятия. Если страховая программа не выстроена сознательно, ущерб остается непокрытым не потому, что страхования не было, а потому, что оно было неправильно структурировано.

Эстонское право договора страхования предоставляет страхователю существенную защиту: закон исходит из того, что страховщик несет расходы, вытекающие из страхового случая, а ограничения страховой защиты должны быть ясными.² Государственный суд неоднократно подчеркивал, что скрытое в типовом условии ограничение может не стать частью договора и что неясное типовое условие толкуется против его составителя.³ Эта защита помогает в споре, но не заменяет наличия страховой защиты: если сам страховой случай определен узко и ясно, толкование не создает страховой защиты, которой в договоре нет.

2. Цифровизация и зависимость от ИТ

Почти все основные функции предприятия (бухгалтерия, расчеты, коммуникация с клиентами, управление цепочкой поставок, планирование производства) работают в цифровой среде. Даже кратковременный простой может означать значительный перерыв в деятельности. Кроме того, предприятие зависит не только от собственных систем, но и от поставщиков облачных услуг, программных платформ и поставщиков управляемых ИТ-услуг. Таким образом, риск может реализоваться вне непосредственного контроля предприятия.

С точки зрения страхования здесь важны два вывода.

Во-первых, классическое страхование от перерыва в деятельности в большинстве случаев связано с физическим ущербом имуществу: перерыв должен вытекать из гибели или повреждения застрахованного имущества. Простой ИТ-системы без физического ущерба остается вне такой страховой защиты, если договор не предусматривает иного. По эстонскому праву упущенная выгода в страховании от убытков возмещается только по отдельному соглашению (VÕS § 476 ч. 4), поэтому страховую защиту от перерыва в деятельности всегда нужно четко согласовывать.⁴

Во-вторых, перерыв в цепочке поставок (contingent business interruption) является самостоятельной страховой защитой, о которой нужно договариваться отдельно: покрываются ли только названные поставщики услуг или все поставщики ИТ-услуг, покрываются ли облачные услуги и каков период ожидания (waiting period) до начала действия страховой защиты.

3. Эволюция мошенничества: социальная инженерия и мошенничество со счетами

Мошенничество сместилось от технических атак к манипулированию поведением людей. Две наиболее распространенные схемы следующие.

• Мошенничество со счетами (invoice fraud, payment diversion): злоумышленник следит за перепиской предприятия или поставщика и в нужный момент присылает сообщение об изменении банковского счета. Департамент государственных информационных систем описывает схему именно так: поддельный счет отличается от настоящего главным образом данными банковского счета, а преступники часто предварительно взламывают электронную почту партнера или предприятия.⁵
• Мошенничество от имени руководителя (CEO fraud, fake president): финансовому работнику от имени руководителя направляется срочное и конфиденциальное распоряжение сделать перевод для «стратегической сделки».

В конце обеих схем платежное поручение вводит и подтверждает собственный работник предприятия. Это не означает, что в систему не проникают: мошенничество со счетами часто начинается с компрометации учетной записи электронной почты предприятия или партнера, как отмечает и RIA, и заканчивается лишь авторизованным платежом. Именно поэтому в страховании возникают споры. Страховщик по киберстрахованию может утверждать, что речь шла не об атаке на систему, а о человеческой ошибке; страховщик по страхованию crime может утверждать, что речь шла не о «прямом» ущербе или что ущерб возник не от использования компьютера, а от решения работника. Судебная практика США и Канады по этому вопросу расходится (см. судебные дела по страхованию crime). С точки зрения уголовного права такие деяния являются мошенничеством или компьютерным мошенничеством (KarS § 209, § 213), однако страховой случай определяется договором страхования, а не уголовно-правовой квалификацией.⁶

4. Рост управленческих рисков: NIS2, защита персональных данных и инвесторы

Регуляторная среда сделала кибербезопасность и управление рисками вопросом правления.

Закон о кибербезопасности. Директива NIS2 транспонирована в Эстонии изменениями Закона о кибербезопасности, вступившими в силу 01.01.2026.⁷ Субъект, подпадающий под действие закона, должен назначить члена правления, ответственного за кибербезопасность, который проходит соответствующее обучение; если этого не сделано, ответственность несут все члены правления (KüTS § 6¹). Об инциденте со значительным воздействием Департаменту государственных информационных систем нужно представить первичное уведомление не позднее чем через 24 часа, а уведомление об инциденте не позднее чем через 72 часа (KüTS § 8). За нарушение со стороны особо важного субъекта штраф может достигать 10 миллионов евро или 2% мирового годового оборота, а для важного субъекта 7 миллионов евро или 1,4% (KüTS § 18², § 18³).⁸

Защита персональных данных. О нарушении, связанном с персональными данными, нужно уведомить Инспекцию по защите данных без неоправданной задержки и по возможности в течение 72 часов, за исключением случая, когда нарушение вряд ли создает угрозу правам и свободам физических лиц (ст. 33 п. 1 общего регламента о защите данных); обработчик уведомляет контролера без неоправданной задержки (ст. 33 п. 2).⁹

Право обществ. Член правления должен исполнять обязанности с прилежанием надлежащего предпринимателя и отвечает за ущерб, причиненный нарушением обязанностей; чтобы освободиться от ответственности, он должен доказать, что действовал с прилежанием (ÄS § 187, § 315).¹⁰ При оценке задним числом вопрос состоит в том, был ли риск предвидимым и приняло ли правление разумные меры. Недостатки кибербезопасности рассматриваются уже не просто как техническая проблема, а как возможное нарушение обязанности проявлять прилежание (заботливость и осмотрительность).

Инвесторы и кредиторы. Если предприятие раскрывало информацию о своих рисках, после инцидента инвесторы могут утверждать, что информация была неполной или вводящей в заблуждение. В международной практике за утечкой данных неоднократно следовали иски по ценным бумагам и производные иски против руководителей (см. дела по D&O).

5. Цепочка рисков: как одно событие движется между тремя видами страхования

Типичная цепочка событий может быть следующей:

1. злоумышленник захватывает учетную запись электронной почты финансового работника (киберриск);
2. через эту учетную запись партнеру или собственной бухгалтерии предприятия направляется поддельное платежное поручение, и деньги переводятся на счет злоумышленника (риск crime);
3. в ходе расследования выясняется, что из учетной записи утекли и данные клиентов; нужно уведомить надзорный орган и клиентов (киберриск, регуляторный риск);
4. клиенты и партнеры предъявляют требования, деятельность предприятия нарушена (риск ответственности и перерыва в деятельности);
5. участники или акционеры, а позднее, возможно, управляющий в деле о банкротстве спрашивают, почему не было многофакторной аутентификации и контроля платежей (риск D&O).

В такой ситуации одновременно могут применяться киберстрахование (форензика, восстановление, уведомление, ответственность за утечку данных), страхование crime (мошенническое платежное поручение) и страхование D&O (требование к руководителям). Одновременно возникают вопросы, составляющие суть страховых споров: какой договор покрывает какую часть ущерба, был ли ущерб прямым или косвенным, прерывает ли действие работника причинную связь, исполнило ли правление обязанность проявлять прилежание и приводит ли возможная государственная подоплека атаки в действие исключение военного риска (см. военный риск).

Взаимосвязь трех видов страхования подробно описана на странице взаимодействие киберстрахования, страхования crime и D&O, а цепочку иллюстрируют сценарии на основе практики.

6. Многослойный ущерб и три вопроса правлению

Многослойный ущерб полезно продумать через три измерения информационной безопасности, поскольку это делает технический риск понятным для правления и помогает позднее распределить ущерб по видам страхования:

• доступность: доступны ли системы и данные в нужное время (программа-вымогатель, отказ в обслуживании, простой облачной услуги; главным образом киберстрахование и перерыв в деятельности);
• целостность: являются ли данные и платежные поручения правильными и неизмененными (мошеннический платеж, поддельный счет, манипулирование главной книгой; главным образом страхование crime);
• конфиденциальность: имеют ли доступ к данным только уполномоченные лица (утечка данных, кража данных инсайдером; киберстрахование и ответственность перед третьими лицами).

За всеми тремя измерениями стоит вопрос о том, было ли управление организовано с должным прилежанием. Это слой D&O, который часто активируется лишь спустя месяцы или годы.

7. Что это означает для предприятия

1. При покупке страхования нужно смотреть по сценариям, а не по видам договоров. По каждому существенному сценарию нужно спросить, какой договор его покрывает, с каким лимитом и сублимитом и какие исключения могут применяться.
2. Управление рисками и страхование являются одной системой. Страховщики все больше оценивают фактический уровень безопасности и внутренний контроль предприятия. Если представленная в заявлении информация не соответствует действительности, страховщик на установленных законом условиях может отступить от договора (VÕS § 441, § 442).¹¹
3. Документирование является защитой. Обоснования решений правления, анализов рисков и выбора страхования впоследствии являются главным доказательством того, что правление действовало с прилежанием.
4. Готовность к кризису является частью страховой защиты. Своевременное уведомление, уменьшение ущерба и сохранение доказательств являются обязанностями, вытекающими из закона и договора (VÕS § 448, § 488).¹²

Связанные страницы

• Выявление и оценка потребности в страховании
• Интегрированная страховая программа
• Взаимодействие киберстрахования, страхования crime и D&O
• Киберстрахование
• Страхование crime
• Страхование D&O

Примечания