Взгляд предпринимателя: бизнес, деньги, системы, ответственность

Коротко. Управление рисками начинается не со страхования и не с технологий, а с понимания того, как предприятие фактически функционирует. Четыре вопроса (как предприятие зарабатывает деньги, как движутся деньги, от каких систем зависит бизнес и где возникает ответственность) образуют основу, на которой можно построить как техническую защиту, так и страховую программу.¹

Слишком часто начинают с готовых решений: покупают страхование, внедряют меры безопасности или заказывают аудит, не выявив, где риски возникают в действительности. В кризисе затем выясняется, что самые важные точки риска остались без внимания. Ниже четыре вопроса раскрыты так, чтобы их можно было использовать как повестку рабочего заседания правления.

1. Анализ бизнес-модели: какое событие остановило бы предприятие?

Понимание рисков начинается с бизнес-модели. Вопрос не только в том, что делает предприятие, но и в том, как оно создает ценность и каковы узловые точки этого процесса. Два внешне похожих предприятия могут нести совершенно разные риски в зависимости от того, действуют ли они как производитель, посредник, платформа или поставщик услуг.

Центральный вопрос: какое событие остановило бы деятельность предприятия быстрее всего и с наибольшим воздействием? Для производителя это может быть остановка системы управления производственной линией, для интернет-торговца перерыв в работе платежной системы или интернет-магазина, для бухгалтерского бюро недоступность данных клиентов, для логистического предприятия сбой платформы управления перевозками.

В анализе бизнес-модели нужно отдельно рассмотреть два обстоятельства.

Контроль над цепочкой создания ценности. Если предприятие зависит от программного обеспечения третьего лица, облачной услуги или логистического партнера, риск может реализоваться за пределами его систем. Атаки на цепочку поставок были в центре нескольких крупных киберинцидентов (см. дела по киберстрахованию).

Роль по отношению к другим. Если предприятие управляет деньгами, данными или имуществом клиентов, его ответственность существенно возрастает. Ущерб тогда не ограничивается собственным ущербом предприятия: добавляются требования третьих лиц, которые могут быть значительно больше. В страховании crime это означает необходимость проверить, покрывает ли договор и имущество клиента, которое предприятие хранит или которым управляет (см. страхование crime).

Практический вопросник:

• Какие три процесса приносят 80% оборота?
• Как долго предприятие может функционировать без каждого из названных процессов (час, день, неделя)?
• Каково денежное воздействие простоя продолжительностью один день и одну неделю (неполученная выручка от продаж, дополнительные расходы, договорные штрафы)?
• Хранит ли предприятие деньги, данные или имущество третьих лиц либо управляет ими? В каком объеме?

2. Где движутся деньги?

Большая часть крупного ущерба сегодня возникает не из-за сбоя систем, а из-за ошибочного направления платежей. Поэтому нужен детальный обзор платежного процесса:

• кто инициирует платеж, кто его подтверждает и какие проверки проводятся до перевода;
• может ли одно и то же лицо как инициировать, так и подтвердить платеж;
• какая часть платежей основывается на электронном письме или другом канале, легко поддающемся манипуляции;
• как проверяется изменение банковских реквизитов поставщика;
• каковы крупнейшие единичные платежи и как часто совершаются международные или внеочередные платежи.

Мошенничество со счетами и мошенничество от имени руководителя удаются именно потому, что используют существующие процессы: атакующему не нужно взламывать систему, достаточно убедить работника. Такой ущерб может не квалифицироваться как техническое нарушение, поэтому киберстрахование может не сработать, а страховщик по страхованию crime может отказать в возмещении (в выплате страхового возмещения), если договор не покрывает схемы социальной инженерии или покрывает их с низким сублимитом.

Важно и географическое измерение. Международные платежи движутся быстро и через несколько юрисдикций. Если мошенничество обнаружено поздно, деньги часто уже переведены дальше. Поэтому у предприятия должна быть готовая процедура отзыва платежа через банк (recall) и быстрого правового шага (сообщение о преступлении, при необходимости обеспечение иска), см. первые 72 часа.

3. Где находятся критические системы?

Наличие систем воспринимается как само собой разумеющееся до тех пор, пока они не перестают работать. Критическими системами являются не только серверы и программное обеспечение, но и облачные услуги, электронная почта, финансовые системы, базы данных клиентов и управление идентификацией. Скомпрометированная учетная запись электронной почты может открыть дверь как утечке данных, так и мошенничеству.

При выявлении и оценке нужно ответить на следующие вопросы:

• какие системы необходимы для предпринимательской деятельности и как долго можно функционировать без них;
• находятся ли системы под собственным контролем предприятия или делегированы поставщику услуг;
• существуют ли резервные копии, отделены ли они от основной сети и проверялось ли восстановление на практике;
• ограничен ли доступ и используется ли многофакторная аутентификация;
• кто является поставщиками услуг, каковы их требования к безопасности и как распределена ответственность в договоре.

Анализ критических систем напрямую связан с киберстрахованием. Страховщики оценивают техническую зрелость предприятия уже при заключении договора. Если подтвержденные в заявлении меры (например, многофакторная аутентификация или проверенное резервное копирование) в действительности отсутствовали, возникают два отдельных правовых риска: нарушение преддоговорной обязанности по уведомлению, которое может дать страховщику право отступить от договора (VÕS § 441, § 442), и нарушение согласованного в договоре требования безопасности, при котором страховщик может освободиться от обязанности исполнения или уменьшить страховое возмещение лишь в той мере, в какой нарушение повлияло на наступление страхового случая или на размер ущерба (VÕS § 452 ч. 2; RKTKo 2-22-2313/65).² Последствия в этих двух случаях различны, и их нельзя смешивать (см. основания отказа в возмещении).

4. Где возникают риски ответственности?

Риск ответственности возникает там, где деятельность предприятия затрагивает других: клиентов, партнеров, инвесторов или общественность. В современной среде почти любой значимый инцидент может привести к требованиям третьих лиц.

• Утечка данных: требования клиентов, надзорное производство, возможный штраф, репутационный ущерб.
• Договорная ответственность: если услуга прерывается или поставка задерживается, партнеры могут требовать возмещения ущерба или договорного штрафа. Многие договоры страхования исключают принятую по договору ответственность, которая не вытекала бы из закона (см. дело P.F. Chang's).
• Ответственность руководства: если выяснится, что риск был предвидимым, но не был снижен, ответственность может перейти на правление (ÄS § 187, § 315).³ В сфере применения Закона о кибербезопасности роль правления отдельно подчеркнута законом (KüTS § 6¹).⁴

Выявление и оценка рисков ответственности должны охватывать договорные обязательства, регуляторные требования и лежащую на правлении обязанность проявлять прилежание (заботливость и осмотрительность). Лишь тогда можно оценить роль страхования D&O и его соотношение с киберстрахованием и страхованием crime.

5. От четырех вопросов к решениям

Бизнес-модель, денежные потоки, системы и ответственность образуют единое целое, которое нельзя рассматривать по частям. Когда они продуманы, можно принимать обоснованные решения:

Следующим шагом являются выявление и оценка рисков на практике, где те же вопросы переносятся на уровень процессов.

6. Пример: три предприятия, три профиля риска

Производственное предприятие. Ценность создается на производственной линии, которой управляют промышленная автоматика и ERP. Критическим событием является остановка линии (пожар, поломка оборудования, кибератака). Деньги движутся в виде крупных платежей поставщикам. Ответственность возникает из-за недостатков продукции и задержек поставок. Акцент программы: имущество и перерыв в деятельности, перерыв в деятельности в рамках киберстрахования, ответственность за продукцию, страхование crime с защитой от мошеннического платежного указания.

Предприятие электронной торговли. Ценность создается в интернет-магазине и платежных потоках; весь бизнес находится на платформах третьих лиц. Критическим событием является перерыв в работе интернет-магазина или платежного решения и утечка данных клиентов. Деньги движутся в виде множества мелких платежей; правила карточных платежей влекут за собой требования карточных платежных систем. Акцент программы: киберстрахование (перерыв в деятельности, утечка данных, сборы карточных платежных систем), договор с поставщиками услуг, перерыв в цепочке поставок.

Бухгалтерское бюро или бюро по управлению активами. Ценность создается в знаниях людей и данных клиентов; бюро управляет деньгами или данными клиента. Критическим событием является утечка данных клиентов или злоупотребление деньгами клиента. Ответственность возникает в результате профессиональной ошибки и мошенничества работника. Акцент программы: страхование профессиональной ответственности, страхование crime со страховой защитой имущества клиента, киберстрахование, D&O.

Три предприятия могут быть одинакового размера и уплачивать одинаковые страховые взносы (страховые премии), но их программы должны быть совершенно разными.

7. Четыре вопроса для заседания правления

По каждому из четырех основных вопросов правлению стоило бы раз в год записать ответ в одном предложении:

1. Бизнес-модель: «Наш бизнес быстрее всего остановит … и это обошлось бы нам примерно в … в день».
2. Денежные потоки: «Крупнейший единичный платеж составляет … и его проверяет …».
3. Системы: «Критическими системами являются … и они восстанавливаются за … часов; последний тест восстановления проводился …».
4. Ответственность: «Крупнейшим реалистичным требованием против нас было бы … и оно поступило бы от …».

Если на какое-либо из этих предложений ответить не удается, это первая задача до следующего продления страхования.

Связанные страницы

• Выявление и оценка рисков на практике
• Взгляд брокера и юриста
• Контрольные вопросы для руководства
• Страхование от перерыва в деятельности

Примечания