Сценарии рисков: от вымогателя до геополитической кибератаки

Коротко. Современные риски реализуются не в одном измерении, а как цепочка событий, в которой переплетаются технический инцидент, финансовый ущерб и ответственность руководства. Ниже приведены пять сценариев, основанных на международной практике и реалистичных в эстонских условиях. По каждому сценарию показано, какой договор какую часть ущерба покрывает и где может возникнуть пробел.¹ Сценарии обобщены и не описывают случай какого-либо конкретного предприятия.

Сценарий 1. Программа-вымогатель, мошенничество и ответственность правления

Ход событий

Производственное предприятие среднего размера становится жертвой программы-вымогателя. Атакующие шифруют серверы, а также подключенные к сети резервные копии; производство останавливается. Одновременно финансовый отдел получает электронные письма, которые выглядят как письма ИТ-отдела и содержат просьбу срочно оплатить «услугу по восстановлению данных». В действительности это отдельное мошенничество.

Предприятие производит платеж, однако данные не восстанавливаются. Выясняется, что резервное копирование не работало и восстановление займет недели. Производство стоит, клиенты предъявляют договорные требования, страдает репутация. Через несколько месяцев участники или акционеры предъявляют требование к правлению, утверждая, что меры кибербезопасности были недостаточными, резервное копирование не соответствовало обычному уровню, а управление рисками было ненадлежащим.

Взгляд со стороны страхования

Урок

Один инцидент порождает три вида ущерба. Если договор crime не покрывает мошенническое платежное указание, договор киберстрахования не покрывает финансовый ущерб, а договор D&O покрывает только ответственность, платеж остается на предприятии. Одновременно ненадлежащее резервное копирование является как технической, так и правовой проблемой: если в заявлении на страхование подтверждалось проверенное и изолированное резервное копирование, страховщик может сослаться на нарушение преддоговорной обязанности по уведомлению (VÕS § 441, § 442) или на нарушение обязанности проявлять прилежание (VÕS § 445, § 452 ч. 2).³

Сценарий 2. Атака на цепочку поставок

Ход событий

Предприятие использует облачную учетную систему международного поставщика программного обеспечения. Через обновление программного обеспечения в систему поставщика услуг внедряется вредоносный код, который распространяется на всех клиентов. Системы предприятия компрометируются, атакующие получают доступ к финансовым данным и информации о клиентах. Учетные записи предприятия используются для дальнейших атак на партнеров.

Последствия: временное отключение и восстановление систем, утечка данных клиентов, требования партнеров, надзорное производство в связи с нарушением защиты данных.

Взгляд со стороны страхования

• Киберстрахование покрывает технические расходы и возможный перерыв в деятельности. Вопрос в том, охватывает ли определение «компьютерной системы» системы поставщика услуг и срабатывает ли страховая защита от перерыва в деятельности и тогда, когда остановилась система поставщика услуг, а не собственная система предприятия (dependent / contingent business interruption).
• Риск crime возникает, если атакующие используют системы предприятия для мошенничества и причиняют денежный ущерб.
• Риск D&O реализуется, если инвесторы утверждают, что правление не оценило риски цепочки поставок, если надзорный орган оценивает деятельность руководства или если клиенты предъявляют требования к правлению.
• Исключение военного риска: если атака приписывается государственной группировке, страховщик может сослаться на исключение. Это может затронуть как киберстрахование, так и страхование crime (см. военный риск).

Регресс к поставщику услуг

Если страховщик возмещает ущерб, требование к поставщику услуг переходит к страховщику в объеме возмещенного (VÕS § 492).⁴ Ограничение ответственности в договоре об оказании услуг может обесценить это требование. Поэтому ограничения ответственности и обязанности по страхованию в критических договорах об оказании услуг нужно обсуждать вместе со страховой программой.

Урок

Предприятию не обязательно быть прямой целью, чтобы понести значительный ущерб. В международной практике воздействие инцидентов в цепочке поставок достигало сотен миллионов (см. дела по киберстрахованию, Clorox против Cognizant и Netgain).

Сценарий 3. Утечка данных и требование инвесторов

Ход событий

На предприятии, оказывающем финансовые услуги, происходит утечка персональных и финансовых данных клиентов. Расследование показывает, что меры безопасности не были актуальными, а многофакторная аутентификация отсутствовала. Предприятие уведомляет Инспекцию по защите данных и клиентов. Следуют надзорное производство и возможный штраф, требования клиентов о возмещении ущерба, репутационный ущерб и уход клиентов. Инвесторы предъявляют требование к правлению, утверждая, что риски кибербезопасности были известны, правление недостаточно инвестировало в меры безопасности, а раскрытая информация о рисках была неполной.

Взгляд со стороны страхования

• Киберстрахование обычно покрывает расходы, связанные с утечкой данных: уведомление, форензику, правовую помощь, возможный перерыв в деятельности и в определенной мере требования клиентов. Страхуемость штрафов зависит от договора и применимого права; многие договоры покрывают штрафы только в той мере, в какой они по закону подлежат страхованию.
• Страхование D&O может покрыть требование инвесторов и расходы правления на защиту, если требование предъявлено в течение страхового периода (или продленного периода уведомления), касается застрахованного лица и не подпадает под исключения (например, киберисключение или исключение ранее известных обстоятельств); расходы на защиту могут зависеть от согласия страховщика и часто уменьшают лимит. Центральный вопрос состоит в том, исполнило ли правление обязанность проявлять прилежание (заботливость и осмотрительность) и был ли риск предсказуемым. Член правления сам должен доказать, что действовал с прилежанием надлежащего предпринимателя (ÄS § 187).⁵
• Страхование crime в этом сценарии, как правило, не срабатывает, поскольку отсутствует прямой имущественный ущерб, вытекающий из мошенничества. Оно становится актуальным, если утекшие данные используются для дальнейшего мошенничества.

Риск раскрытия информации. Если предприятие недостаточно раскрывало свои киберриски, это может усилить требование инвесторов. В международной практике за утечками данных следовали иски по ценным бумагам (см. дела D&O, Equifax и Yahoo).

Сроки уведомления

Ответственный обработчик должен уведомить надзорный орган о нарушении, связанном с персональными данными, без неоправданной задержки и, по возможности, в течение 72 часов после того, как ему стало известно о нарушении, за исключением случая, когда нарушение вряд ли создаст риск для прав и свобод физических лиц (общий регламент о защите персональных данных, ст. 33 п. 1).⁶ Если предприятие подпадает под сферу применения Закона о кибербезопасности, об инциденте со значительным воздействием нужно представить Департаменту государственных информационных систем первичное уведомление в течение 24 часов и уведомление об инциденте в течение 72 часов (KüTS § 8).⁷ Страховщика нужно уведомить незамедлительно, а в страховании ответственности о требовании в течение одной недели (VÕS § 448, § 514).⁸

Сценарий 4. Внутреннее мошенничество и ответственность руководства

Ход событий

Главный бухгалтер оптового предприятия, проработавший на предприятии 12 лет, ведет реестр поставщиков, делает бухгалтерские проводки и составляет платежные файлы, которые финансовый директор подтверждает через банк, не просматривая подтверждающие документы. В течение трех лет он направляет фиктивным поставщикам в общей сложности значительную сумму. Мошенничество обнаруживается в ходе проверки аудитора. Представитель нового собственника в совете спрашивает, почему правление не обеспечило разделение ролей.

Взгляд со стороны страхования

• Страхование crime (нечестность работника) покрывает непосредственно присвоенные суммы, если ущерб был обнаружен в течение страхового периода и возник после ретроактивной даты. Если договор основан на обнаружении, а предприятие в промежутке сменило страховщика, нужно проверить, покрыт ли более ранний ущерб.
• Расходы на расследование (судебно-бухгалтерское расследование) покрываются только в том случае, если договор содержит соответствующее расширение.
• Страхование D&O срабатывает, если предприятие или участники предъявляют требование к членам правления из-за ненадлежащего надзора. Проверьте исключение требований застрахованных лиц друг к другу и изъятия из него.
• Требование к причинителю вреда сохраняется; после возмещения оно переходит к страховщику (VÕS § 492).⁴

Урок

Длительное внутреннее мошенничество означает, что ущерб распределяется между несколькими страховыми периодами. Триггер (обнаружение или возникновение ущерба), ретроактивная дата и оговорка об объединении случаев определяют, какая часть ущерба покрыта.

Сценарий 5. Геополитическая кибератака

Ход событий

Предприятие, оказывающее услуги энергетическому сектору, становится жертвой разрушительного вредоносного программного обеспечения в то время, когда в регионе наблюдается повышенная геополитическая напряженность. Государственные учреждения публично связывают атаку с разведывательной службой иностранного государства. Системы предприятия простаивают две недели.

Взгляд со стороны страхования

• Киберстрахование: страховщик оценивает, применяется ли исключение государственных киберопераций. Решающее значение имеет формулировка исключения: требует ли оно действий самого государства, причинения ущерба важным государственным функциям и как доказывается атрибуция (официальная атрибуция государством, оценка страховщика, оценка суда).
• Страхование имущества: вероятно, исключает киберущерб или требует физического ущерба.
• Страхование D&O: если инвесторы утверждают, что правление не учло известный геополитический риск, страхование D&O может покрыть расходы на защиту, однако это не само собой разумеется: решающими являются триггер договора, застрахованное лицо, исключения, согласие страховщика на расходы и лимит; исключение военных действий в договоре D&O обычно уже, однако его формулировку все равно нужно прочитать.

Урок

В Балтийском регионе геополитический риск является практическим. Формулировку исключения военного риска нужно согласовать на переговорах до наступления ущерба и унифицировать во всех договорах. См. военный риск и инциденты в странах Балтии.

Что показывают сценарии в совокупности

1. Риски не линейны. Событие начинается как технический инцидент, переходит в финансовый ущерб и заканчивается ответственностью руководства.
2. Программа должна быть интегрированной. Определения договоров должны быть согласованы, исключения не должны создавать пробелов, а критические риски должны быть покрыты достаточными лимитами.
3. Наибольший риск состоит в многоплановом воздействии инцидента. Программа-вымогатель может привести к мошенничеству и ответственности правления, атака на цепочку поставок может затронуть всю организацию, а утечка данных может перерасти в требование инвесторов.
4. Документированные решения правления являются защитой. Во всех пяти сценариях задним числом спрашивают, был ли риск известен и какие меры были приняты.

Эти сценарии можно использовать и как основу для симуляций.

Связанные страницы

• Взаимодействие и границы
• Предотвращение пробелов в страховой защите
• Первые 24–72 часа
• Симуляции
• Сборник дел

Примечания