Киберстрахование, crime и D&O: взаимодействие и границы

Коротко. Киберстрахование, страхование crime и страхование D&O функционально различны: первое отвечает на вопрос «что произошло с системами», второе на вопрос «куда пропали деньги», третье на вопрос «кто отвечает». Реальный инцидент, однако, перемещается между ними. Серые зоны возникают прежде всего при мошенничестве с использованием социальной инженерии, перерыве в деятельности, разграничении прямого и косвенного ущерба и исключении военного риска. Если определения не совпадают, исключения накладываются друг на друга или расширения отсутствуют, ущерб может оказаться между двух стульев.¹

Содержательное рассмотрение видов страхования приведено на страницах киберстрахование, страхование crime и страхование D&O. Эта страница сосредоточена на границах между ними.

1. Какой договор что покрывает?

Основой разграничения являются характер ущерба и его правовая квалификация.

Киберстрахование сосредоточено на технических и операционных рисках, вытекающих из сбоев ИТ-систем или атак на них:

• расходы на восстановление систем и данных;
• расходы на форензику и расследование инцидента;
• ущерб от перерыва в деятельности (если это согласовано, см. VÕS § 476 ч. 4);²
• расходы, связанные с утечкой данных (уведомление, колл-центр, мониторинг кредитной истории, правовая помощь);
• требования третьих лиц за нарушение защиты данных и сетевой безопасности;
• часто также расходы на кризисную коммуникацию, расходы, связанные с вымогательством, и расходы на регуляторные производства.

Страхование crime сосредоточено на прямом имущественном ущербе, вытекающем из мошенничества или присвоения:

• присвоение или мошенничество, совершенные работником (employee theft, employee dishonesty);
• мошенническое платежное указание и социальная инженерия (fraudulent instruction, social engineering);
• компьютерное мошенничество и мошенничество с денежными переводами (computer fraud, funds transfer fraud);
• подделка и манипулирование платежными поручениями;
• часто также имущество клиента, которое страхователь хранит или которым управляет.

Страхование D&O не покрывает ни технический, ни прямой имущественный ущерб предприятия, а покрывает требования, предъявленные к членам правления и совета:

• расходы на защиту (правовая помощь в гражданском, административном и уголовном производстве в соответствии с договором и VÕS § 511 ч. 1–2);³
• требования участников, акционеров, кредиторов и управляющего в деле о банкротстве;
• расходы на регуляторные производства;
• ответственность за раскрытие ложной информации или за ошибки управления.

Упрощенная логика:

Пример. Предприятие становится жертвой программы-вымогателя; системы останавливаются. Киберстрахование покрывает восстановление и перерыв в деятельности. Если одновременно деньги переводятся мошенникам, это может относиться к страхованию crime. Если позднее инвесторы предъявляют требование к правлению из-за недостаточного управления рисками, активируется страхование D&O.

2. Серые зоны и конфликты

Теоретическое разграничение ясно, однако на практике возникают серые зоны. Они являются основным источником споров.

2.1. Мошенничество с использованием киберсредств

В схеме социальной инженерии, когда работника вынуждают совершить платеж, страховщик по киберстрахованию может утверждать, что речь шла не об атаке на систему, а о введении человека в заблуждение. Страховщик по страхованию crime может утверждать, что ущерб не был «прямым», поскольку платеж совершил сам работник. Судебная практика США разделилась: в делах Medidata (второй округ, 2018) и American Tooling Center (шестой округ, 2018) суды пришли к выводу, что страховая защита от компьютерного мошенничества сработала, а в деле Apache (пятый округ, 2016) суд пришел к противоположному выводу (см. судебные дела по страхованию crime).

С точки зрения эстонского права важно, что неясность в разграничении страхового случая в типовом условии толкуется не в пользу лица, использующего условие (VÕS § 39).⁴ Однако это не создает страховой защиты, если договор ясно сформулирован так, что платеж, введенный самим работником, не является компьютерным мошенничеством, а отдельная страховая защита от социальной инженерии отсутствует.

2.2. Перерыв в деятельности

Если системы останавливаются из-за кибератаки, это киберриск. Если перерыв вытекает из мошенничества (например, из отсутствия денег для совершения платежей) или из сбоя в цепочке поставок, возникает вопрос, относится ли он к киберстрахованию или к страхованию crime. Страхование crime, как правило, не покрывает перерыв в деятельности.

2.3. Прямой и косвенный ущерб

Страхование crime обычно покрывает только прямой имущественный ущерб. Если предприятие платит мошеннику 500 000 евро, это прямой ущерб. Однако к нему добавляются расходы на расследование, аудит систем, договорные штрафы партнерам и процентные расходы. Страхование crime может покрыть только первоначальный платеж (в зависимости от того, содержит ли договор расширение на расходы на расследование), а страховщик по киберстрахованию может утверждать, что технической атаки не было. В судебной практике США понятие «прямого ущерба» толковалось и широко: в деле Cargill прямо вытекающими из мошенничества работника были признаны и дополнительные расходы на перевозку в размере 29 миллионов долларов (см. судебные дела по страхованию crime).

2.4. Ответственность руководства

Если инцидент приводит к требованию к правлению, это риск D&O. Однако договор D&O может содержать исключение киберинцидента или утечки данных, исходя из того, что они покрыты киберстрахованием; киберстрахование, в свою очередь, не покрывает личную ответственность руководителей. Кроме того, страховщик может оспорить размер страхового возмещения, утверждая, что случай был вызван умыслом или сознательным принятием риска.

2.5. Конфликты между страховщиками

Один страховщик может утверждать, что ущерб относится к другому договору. Тогда предприятию приходится сначала самому нести расходы, а спор разрешать позднее. При многократном страховании страховщики по эстонскому праву отвечают солидарно (VÕS § 486), однако это предполагает, что оба договора покрывают один и тот же интерес.⁵

3. Проблема «между двух стульев»

Практическим выражением серых зон является ситуация, когда ущерб не квалифицируется однозначно ни под один договор. Это происходит прежде всего по трем причинам:

1. определения договоров не совпадают;
2. исключения накладываются друг на друга;
3. необходимые расширения отсутствуют.

Пример. Предприятие несет ущерб из-за кибермошенничества, у которого возможна геополитическая подоплека. Киберстрахование исключает кибероперации, поддерживаемые государством, страхование crime исключает косвенный ущерб, а страхование D&O не покрывает прямой денежный ущерб. Значительная часть ущерба остается без защиты. Об исключениях военного риска см. военный риск.

4. Сознательное формирование границ

Эти проблемы не являются неизбежными. Сознательное формирование границ означает:

• определения согласованы: «компьютерная система», «мошенничество», «прямой ущерб», «застрахованное лицо», «требование» означают во всех договорах одно и то же или по меньшей мере не оставляют между собой пробела;
• исключения не создают пробелов: исключение военного риска во всех договорах сформулировано одинаково, а кибертерроризм отграничен от войны между государствами; киберисключение в договоре D&O не исключает личную ответственность руководителей;
• существенные риски покрыты расширениями: страховая защита от социальной инженерии в договоре crime или в договоре киберстрахования с достаточным сублимитом; перерыв в деятельности при простое ИТ; расходы на расследование; имущество клиента.

Практическая проверка:

5. Три практических вопроса для проверки согласованности договоров

1. Означает ли одно и то же слово во всех договорах одно и то же? Сравните определения «компьютерной системы», «мошенничества», «ущерба», «требования» и «застрахованного лица». Если договор киберстрахования определяет компьютерную систему уже, чем договор crime, мошеннический платеж через систему поставщика услуг может оказаться между двумя договорами.

2. Ссылаются ли исключения друг на друга? Ищите формулировки вроде «ущерб, покрытый другим страхованием» или «за исключением объема, покрытого киберстрахованием». Если два договора ссылаются друг на друга, каждый страховщик может утверждать, что отвечает другой.

3. Совпадают ли триггеры и периоды? Если договор киберстрахования основан на возникновении ущерба, договор crime на его обнаружении, а договор D&O на предъявлении требования, одно и то же событие может распределиться между разными страховыми периодами. Проверьте ретроактивные даты и продленные периоды уведомления, особенно при смене страховщика.

Эти три вопроса разумно задать брокеру письменно перед каждым продлением.

6. Итог

Границы трех видов страхования теоретически ясны, но на практике размыты. Каждый договор покрывает разные типы рисков, однако одно и то же событие может затронуть все три. Для предприятия это означает, что страховую программу нельзя рассматривать фрагментарно. Нужен целостный подход, учитывающий связи между договорами; его описывают страницы предотвращение пробелов в страховой защите и стратегия страхового требования.

Связанные страницы

• Сценарии на основе практики
• Интегрированная страховая программа
• Киберстрахование
• Страхование crime
• Страхование D&O
• Военный риск

Примечания