Основные виды рисков в кибер-пространстве

Управление рисками в киберпространстве

Ни дня не проходит без сообщений о новых киберугрозах, исходящих из «вредоносного пространства» — онлайновой среды, где обитают группы хакеров, преступные организации и шпионские центры.

Поскольку хакеры, киберпреступники и государства неимоверно увеличивают традиционные риски безопасности, становится ясно, что бизнес-риски, связанные с операциями в киберпространстве, быстро превращаются в главную заботу руководителей компаний.

Сегодня CIO, директора по информационной безопасности (CISO) и другие лица, занимающиеся практической работой с информацией, обязаны сообщать и объяснять корпоративные риски, связанные с действиями предприятия в киберпространстве.

В большинстве организаций мира получающие широкую известность вторжения в сети, финансовые потери и более строгое государственное регулирование привлекли внимание к информационной безопасности. В результате акционерам требуются гарантии, что конфиденциальные сведения надежно защищены.

«Вредоносное пространство» и реальный мир

Вредоносное пространство — это процветающий рынок для желающих делать деньги, быть замеченным, вызвать общественные беспорядки или нанести удар по корпорациям и правительствам посредством кибератак. Привлекательность бизнеса во вредоносном пространстве отчасти связана с его анонимностью, благодаря которой риск быть пойманным намного меньше, чем для преступников «реального мира».

В киберпространстве легче спрятаться, и поле деятельности там гораздо динамичнее с точки зрения нарушения работы ПО, персонала и систем. Более того, существует проблема с дифференциацией законов и правил в зависимости от юрисдикции, которая может сделать преследование киберпреступников весьма трудным делом.

При этом время, необходимое для подготовки киберпреступлений, сокращается, а потенциальные выгоды растут. Мировая киберпреступность прекрасно организована, ее профессиональный уровень растет. Она столь же инновационна и стратегически ориентирована, как многие легитимные компании, ее финансовые возможности постоянно расширяются с ростом онлайновой экономики.

Сложилась экосистема «вредоносного пространства», обеспечивающая широчайшие возможности сотрудничества и обладающая рынками, на которых продают и покупают знания и инструменты, позволяющие выбрать цель и произвести кибератаку. Каждая хакерская группа, преступная организация и шпионский центр по всему миру имеет сейчас доступ к мощным инструментам и приемам для идентификации, фокусирования усилий и атаки.

Расширение управления рисками

Если практика кибербезопасности и управления рисками в значительной мере фокусируется на обеспечении защиты через управление известными рисками и их контроль, то киберустойчивость требует, чтобы все компании независимо от размера готовились уже сейчас. Чтобы выдержать и смягчить негативные последствия активности в киберпространстве, организации должны расширить управление рисками, включив в него киберустойчивость.

Теперь, когда всё, начиная с управления цепочками поставок и заканчивая привлечением клиентов, переносится в облака, действия в киберпространстве будут иметь самые серьезные последствия в случае выхода систем из строя.

Защита правительств и предприятий для обеспечения устойчивости является категорическим требованием.

Киберустойчивость предполагает сбалансированный подход, при котором защищены как организации, так и их сотрудники, но при этом обеспечиваются открытость и безопасность коммерческой деятельности и обмена информацией.

К сожалению, риск, связанный с ведением бизнеса в киберпространстве, не всегда позволяет добиться этого.

Чтобы достичь киберустойчивости, управление рисками должно включать обеспечение конфиденциальности, целостности и доступности данных.

В то же время организациям, сколь бы устойчивы они ни были, следует признать реальность и растущие масштабы побочных последствий активности в киберпространстве, в том числе коммерческих, репутационных и финансовых рисков.

Кибербезопасность: свистать всех наверх!

Высшее руководство (предпочтительно, чтобы это был генеральный или главный операционный директор) должно возглавить перемены, используя координацию действий и организуя сотрудничество, что позволит подготовиться к непредвиденным событиям.

Предприятие должно обладать гибкостью, чтобы эффективно предотвращать, выявлять и реагировать. Это касается не только инцидентов, но и последствий кибератак. Необходимо создать команду реагирования на инциденты, состоящую из представителей всех департаментов организации.

Она разработает планы действий, которые следует предпринять до и после инцидента.

Эта команда должна быть оснащена и подготовлена таким образом, чтобы быстро реагировать на инцидент, поддерживая связь со всеми подразделениями, с потенциальными пострадавшими, с акционерами и регулирующими органами.

Борьба со сложными угрозами

В ближайшее десятилетие разнообразие и сложность угроз кибербезопасности значительно возрастут. Компании должны подготовиться к этому уже сейчас, иначе будет поздно. Как я отмечал выше, управление исходящим из киберпространства риском должно выходить за пределы информационной безопасности и включать риски для репутации с учётом принадлежащих сотрудникам устройств и внешних поставщиков.

Готовясь противостоять этим все более сложным угрозам, компаниям следует действовать по трем основным направлениям.

Внутренние угрозы. Технологии не только предоставляют предприятиям новые возможности, но и увеличивают потенциальный риск. Особенно когда компания не вполне отдаёт себе отчет, какие последствия для безопасности будет иметь приобретение или развертывание того или иного продукта.

Добавьте к этому злонамеренных инсайдеров, и риски значительно возрастут. Следует периодически рассматривать влияние цепочки поставок на бизнес и привносимые ею риски.

Необходимо усилить политики и процедуры в отношении приносимого сотрудниками ПО, а также используемые ими при регистрации пароли; с самого начала следует анализировать влияние каждого нового поставщика на безопасность.

Предприятиям следовало бы применить метод, используемый правительствами — единый ситуационно обусловленный подход, при котором заранее создаются инструменты для мониторинга, выявления и устранения проблемных зон в реальном времени.

Сотрудничество и обмен информацией об атаках с заслуживающими доверия правоохранительными органами и партнерами по бизнесу помогут снизить риск, создаваемый внешними угрозами.

Угрозы со стороны регулирующих органов.

Соблюдение требований регуляторов, выполнение предписаний, расширяющееся сотрудничество частного и государственного секторов, раскрытие информации о принимаемых мерах защиты — всем этим следует управлять в рамках управления информационной безопасностью и подготовки отчетов. Необходимо заготовить и протестировать процедуры реагирования на инциденты. Кроме того, ужесточите предъявляемые к партнерам требования в области безопасности.

Программа киберустойчивости

Сегодня организации действуют в мире, который становится все более кибернетическим, и с рисками, исходящими из киберпространства, традиционное управление уже не справляется.

Для создания киберустойчивости на базе заблаговременной готовности необходимо расширить управление корпоративными рисками.

Организации не могут в одинаковой степени контролировать возникающие риски безопасности, от киберугроз до угроз со стороны инсайдеров.

Всеобъемлющая программа кибербезопасности использует отраслевые стандарты и передовой опыт для защиты систем и выявления потенциальных проблем, а также собирает информацию об актуальных угрозах и позволяет своевременно реагировать и восстанавливать работоспособность. Использование подхода на основе устойчивости при применении стандартов и практики обеспечения кибербезопасности открывает возможности для более полного и экономичного управления кибер-рисками, чем одно только соблюдение требований регуляторов.

Используя реалистичный, широкий, основанный на сотрудничестве подход к кибербезопасности и киберустойчивости, правительственные органы, регуляторы, старшие руководители компаний и специалисты по информационной безопасности сумеют понять истинную природу киберугроз и реагировать на них быстро и адекватно.

Источник: http://ligainternet.ru/publications/publication.php?ID=2170

Кибербезопасность и приватность: управление рисками для предприятия

Уникальный подход корпорации Microsoft к вопросам безопасности и приватности поможет защитить вас и ваших клиентов от современных угроз в области кибербезопасности.

В наши дни безопасность и приватность больше не относятся исключительно к сфере ИТ. Как недавно показали многие крупномасштабные взломы систем безопасности, последствия таких взломов могут выходить далеко за рамки расходов на устранение проблемы.

Такие проблемы могут подорвать доверие, которое вам удалось завоевать среди своих клиентов, нанести непоправимый ущерб имиджу вашего бренда и отрицательно сказаться на деятельности вашей компании.

Руководители современных компаний понимают, что поощрение культуры обеспечения безопасности и защиты приватности должно стать первостепенной задачей для всей компании и основной целью на уровне деловой деятельности. Однако внедрение принципов обеспечения безопасности в компании может оказаться сложной задачей в современную эпоху цифровых технологий.

Новые возможности мобильных технологий, социальных сетей, бизнес-аналитики и технологические достижения в сфере облачных технологий привнесли с собой массу новых сложностей в отношении обеспечения безопасности. Современные руководители, принимающие технологические решения, сталкиваются с большим количеством сложностей в ходе перехода к «цифровому предприятию», включая поддержание:

• независимости данных — по мере роста популярности новых инициатив в отношении рабочего места, таких как BYOD (принеси с собой свое устройство) и «работа из любого места», предприятиям приходится принимать дополнительные меры для защиты своих данных. Предприятия изыскивают новые методы эффективного использования как новых инноваций, так и предыдущих инвестиций с целью поддержания контроля над своими данными и интеллектуальной собственностью по мере перехода персонала к использованию облачных технологий;
• доверия — помимо проблем защиты собственных данных предприятия сталкиваются с критически важными задачами обеспечения безопасности данных своих клиентов. В современном мире, где клиенты обладают новыми возможностями, довольно просто потерять доверие и лояльность, особенно когда под угрозой оказывается конфиденциальность данных клиента. Когда в компании происходит утечка данных, выгоды, полученные за счет перехода к цифровым технологиям, могут быть мгновенно нивелированы. В результате может пострадать ваша репутация — что приведет к потере доверия и лояльности клиентуры. Например, недавнее исследование показало, что половина клиентов, которые совершают покупки в праздничный период, намерены избегать магазинов, которые пострадали от хакеров, что приведет к миллионным убыткам для таких предприятий в виде упущенной выгоды;
• безопасности — помимо опасностей в отношении лояльности клиентов и репутации бренда (которые обычно наиболее сложно восстановить), организациям, которые не имеют комплексной стратегии обеспечения безопасности, угрожают риски потери критически важной интеллектуальной собственности, которая обеспечивает их конкурентоспособность на рынке. Кибератаки и взломы систем могут также приводить к потере рыночной доли и прибыли и оказывать долгосрочное воздействие помимо возникновения юридической ответственности и потерь рабочих мест, которые традиционно связаны с крупными случаями взломов компьютерных систем.

С целью упреждения современных рисков в области безопасности каждому предприятию следует сформировать культуру обеспечения безопасности.

Внедрение такой ответственности требует активных усилий со стороны всех подразделений компании, чтобы безопасность стала фундаментальным элементом организационной культуры. Больше нельзя не обращать внимания на этот критически важный элемент защиты сотрудников и клиентов.

Имеются ли у вашей организации необходимые системы и партнеры, которые помогут воплотить в жизнь ваше видение обеспечения безопасности?

Ваш технологический партнер должен иметь комплексное видение в отношении обеспечения безопасности и защиты приватности — он должен защищать вас и ваших клиентов, при этом постоянно внедряя инновации и занимая ведущие позиции в отрасли в отношении внедрения новейших технологий в сфере кибербезопасности.

Корпорация Microsoft придерживается принципов прозрачности, конфиденциальности и внедрения передовых практик обеспечения безопасности, которые необходимы, чтобы интегрировать принципы обеспечения безопасности в ДНК вашей компании.

Мы осуществили крупные инвестиции в современную надежную компьютерную платформу корпоративного уровня и предлагаем нашим клиентам богатый опыт в области обеспечения безопасности с целью предоставления защиты, обнаружения угроз в области безопасности и реагирования на них.

И наконец, мы превентивно боремся с преступлениями в киберпространстве и активно сотрудничаем с правительственными и с правительственными организациями и регуляторами с целью повышения уровня кибербезопасности.

Культура безопасности и защиты приватности

Прозрачность наших методов обеспечения безопасности, защиты приватности и соблюдения нормативных требований помогает нам защищать информацию наших клиентов.

Наши центры по обеспечению прозрачности работы предоставляют соответствующим государственным органам возможность просматривать исходные коды наших ключевых продуктов, чтобы они могли убедиться в целостности программного обеспечения и отсутствии каких-либо «закладок».

Корпорация Microsoft не предоставляет государственным органам прямой и неограниченный доступ к данным наших клиентов, равно как и наши ключи шифрования или возможность взломать нашу систему шифрования. Если государственный орган запрашивает данные клиента, ему необходимо пройти соответствующую юридическую процедуру, и наш отдел соблюдения нормативных требований отслеживает правомерность таких запросов.

Для корпорации Microsoft безопасность является фундаментальным принципом работы компании и неотъемлемой частью процесса разработки ПО и ведения деловой деятельности.

В качестве ведущего мирового сторонника внедрения принципов обеспечения безопасности мы разработали широко используемый в ИТ-отрасли Жизненный цикл разработки безопасного ПО с целью обеспечения принципиального подхода к построению безопасного программного обеспечения корпоративного уровня.

Мы также распространяем принципы и практики обеспечения безопасности на наши операции в облачной среде, обеспечивая комплексное видение обеспечения безопасности в облаке.

Продукты и услуги корпоративного уровня

В мире, где мобильные и облачные технологии выходят на передний план, наши сотрудники получили возможность работать из любого места, и ваши данные могут находиться в любой точке планеты. Идея периметра безопасности больше не работает.

Ваши данные постоянно подвергаются риску, поэтому организациям следует применять ориентированный на данные подход к обеспечению безопасности.

За счет применения первоклассных возможностей мирового уровня, которые включают шифрование, многофакторную проверку подлинности, управление доступом и встроенные средства управления процессами соблюдения нормативных требований, безопасность является неотъемлемым элементом наших продуктов — корпорация Microsoft помогает защищать вас и ваших клиентов.

Корпорация Microsoft осуществляла огромные инвестиции в создание по-настоящему корпоративной платформы для своих продуктов и услуг на протяжении многих лет. Мы создали одну из самых крупныхоблачных инфраструктур в мире и одну из самых обширных сетевых структур в мире, которые обеспечивают работу более 200 защищенных онлайн-служб.

Наш обширный опыт в области защиты конфиденциальности и обеспечения безопасности основан на том, что мы являемся компанией, которая озабочена такими же глобальными проблемами обеспечения безопасности, что и наши клиенты.

Мы тоже вынуждены успевать за развитием вредоносного ПО, хакерской деятельности и промышленного шпионажа, и в этом нам помогает использование самых новейших технологий в сфере безопасности.

Центр реагирования на проблемы в области безопасности Microsoft Security Response Center, в котором работают самые опытные в мире специалисты в области безопасности, определяет и отслеживает случаи нарушения безопасности, реагирует на них и помогает в их разрешении.

Мы постоянно внедряем результаты нашей операционной деятельности в качестве международной корпорации, в наши продукты и предоставляем наш первоклассный международный опыт в сфере обеспечения безопасности нашим клиентам посредством служб, которые помогают компаниям защищать данные, обнаруживать проблемы в сфере безопасности и реагировать на них.

Важность кибербезопасности и совместная работа

По мере все большей интеграции технологий в нашу жизнь и в методы ведения бизнеса обеспечение безопасности должно становиться краеугольным камнем такой трансформации.

Масштабы преступной деятельности в киберпространстве постоянно растут и оказывают огромное влияние на компании и частных лиц в форме финансового мошенничества, онлайн-эксплуатации детей, вредоносного ПО, бот-сетей и незаконного ПО и иных продуктов. Защита предприятий и уязвимых групп населения в сети Интернет является ключевой областью деятельности корпорации Microsoft.

Собрав воедино лучших специалистов в области технологий и юриспруденции, высококлассные средства криминалистики и бизнес-анализа (а также установив партнерские отношения с американскими и международными правоохранительными органами и прочими отраслевыми экспертами), наш Центр кибербезопасности и подразделение цифровых преступлений ведут непосредственную борьбу с киберпреступниками. В результате (к сентябрю 2014 года) корпорации Microsoft удалось разоблачить 12 крупных бот-сетей. Помимо этого, наше сотрудничество с государственными агентствами по всему миру помогло обнаружить и разоблачить более 20 000 незаконных аптек, продающих опасные поддельные лекарства.

Сочетание нашего опыта в области государственных нормативных практик с техническими знаниями помогает нам сотрудничать с государственными органами, многосторонними организациями, отраслевыми и некоммерческими группами по всему миру с целью повышения уровня кибербезопасности во всей глобальной экосистеме.

Мы также тесно сотрудничаем с поставщиками средств защиты информации посредством программы Microsoft Active Protections Program, чтобы предоставлять таким защиты для клиентов.

И наконец, в нашем отчете Security Intelligence Reportмы предоставляем анализ текущих угроз и комплексные рекомендации, которые помогают компаниям управлять изменяющимися рисками.

По мере перехода на цифровые технологии компаниям необходимо обеспечивать интеграцию средств обеспечения безопасности и защиты конфиденциальности в свои системы и процессы. Корпорация Microsoft способна помочь вам выгодно использовать новые возможности, обеспечиваемые использованием технологий, при этом ослабляя все более усложняющиеся риски.

Источник: https://enterprise.microsoft.com/ru-ru/articles/roles/it-leader/cybersecurity-and-privacy-managing-enterprise-risk/

Страхование кибер-рисков. Кибер-страхование – что это. Защита информационных рисков

Кибер-страхование – это страховой продукт по защите информационных рисков любых компаний, чей бизнес прямым или косвенным образом связан с обработкой и хранением данных.

:

1. Кибер-страхование – что это такое?
2. Как работает кибер-страхование
3. Примеры кибер-рисков
4. Стоимость услуг по урегулированию кибер-инцидентов
5. Стоимость полиса кибер-страхования

Кибер-страхование – что это такое?

Если у компании есть какая-либо IT-инфраструктура: своя или облачная, CRM, платежная система, списки и контактная информация клиентов или партнеров, такая компания просто обязана все это так или иначе защищать.

В связи с активным действием ФЗ 152 «О защите персональных данных» ответственность за хранение и обработку данных подразумевает оператора таких данных соблюдать определенные требования, предусмотренные законом. Однако общая картина с кибер- безопасностью – гораздо шире.

Одно дело – работать с данными только с точки зрения соблюдения федерального закона, другое – действительно серьезно относиться к сбою или потере любой другой важной для бизнеса информации помимо персональных данных клиентов: корпоративной электронной почты, продающих страниц сайта, личных кабинетов клиентов, их финансовым операциям и т.д.

Внешние атаки, внутренние сбои, простои продающих площадок, невозможность заявленного и обычно соблюдаемого сервиса, отказы клиентов или уход к конкурентам, похищение их данных с целью доступа к банковским счетам, репутационные издержки, халатность персонала, юридические проволочки, выяснение обстоятельств с помощью, как правило, платных специалистов, восстановление систем, переговоры с вымогателями, попытка за минимальные издержки урегулировать подобные инциденты всегда обходится в крупные суммы.

Унифицированные бланки и печатные формы документов на 2015-2016 гг. (более 200 форм и бланков)

По экспертным данным специалистов Лаборатории Касперского, крупный российский бизнес в среднем вынужден тратить около 2 млн рублей на урегулирование последствий кибер-инцидента, малому и среднему бизнесу расследование и восстановление обходится в сумму около 750 тыс. рублей, и эти суммы ежегодно возрастают.

При этом антивирусная защита обеспечивает далеко не все угрозы – это постоянная борьба между эволюцией вирусов и антибиотиков, между опытным преступником и интеллектуально совершенным замком сейфа.

Огромное количество незаметной, но очень важной работы делается вручную, людьми – специалистами, которые расследуют кибер-угрозы и урегулируют кибер-последствия.

Как работает кибер-страхование

Сознательные компании, или компании, в политике безопасности которых при ведении бизнеса существует обязанность иметь полис кибер-страхования, тем самым имеют в течение действия полиса возможность воспользоваться следующими услугами, стоимость которых полностью входит в стоимость полиса:

• привлечение опытных специалистов в области кибер-расследований: наш крупнейший партнер занимается этим уже 12 лет. Они будут общаться с кибер-вымогателями, заказчиками и непосредственными исполнителями кибер-атак, они могут оперативными методами найти и обезвредить преступника, а также осуществить комплекс мер по привлечению его к ответственности, в том числе и за рубежом.
• привлечение специалистов по восстановлению репутации самой компании, ее бренда, ее сотрудников или руководства: антикризисный PR, широта и глубина которого зависят от размера компании, количества клиентов, ее рейтинга, популярности, привычного оборота и ожиданиях в прибыли.
• юридическая поддержка от компаний, занимающихся правовыми и налоговыми вопросами, а также работающими в области интернет и медиа права
• работа специалистов по восстановлению данных.

Эти услуги доступны 7/24/365 в течение действия полиса, и сервисная часть услуги часто заключается в предотвращении угрозы на этапе подозрения страхователем, упреждение, диагностические рекомендации по установке дополнительной защиты или совершенствовании конфигурации IT-инфраструктуры бизнеса во избежание кибер-инцидентов в будущем.

Примеры кибер-рисков

Что касается примеров, ситуация не такая простая. Большинство кибер-инцидентов происходит в малом и среднем бизнесе, но большие суммы теряют компании крупного бизнеса.

И те, и другие, делают все возможное для предотвращения, защиты от атак, минимизации возможных убытков, у всех есть как минимум кнопка сигнального реагирования в виде оповещения штатной IT-службы и антивирусной защиты, многие доверяют свои данные облачным сервисам, хостингам и прочим площадкам.

Источник: https://www.business.ru/article/417-kiber-strahovanie-kak-obespechit-informatsionnuyu-bezopasnost-biznesu

Цена информационной безопасности и страховая защита от кибер — рисков

» Страхование » Общая информация

Киберпреступность в последние годы становится практически обыденным явлением. В новостях то и дело мы слышим о пропаже крупных сумм со счетов крупнейших мировых банков или о поимке очередного хакера.

Как явление, значимое в мировом масштабе, факт киберпреступности отмечают и крупнейшие бизнесмены и экономисты мира в на форумах, например, в Давосе в 2012 году и крупнейшие консалтинговые компании.

Так, PricewaterhouseCoopers выпустили Всемирный обзор экономических преступлений, где отметили взрывной рост кибератак в последние годы.

Что такое киберпреступность и страховая защита от нее

Под киберпреступностью подразумевается хищение денег и ценных бумаг со счетов при помощи взлома системы безопасности. С тех пор как деньги приобрели безналичную форму, возможность их хищения существенно увеличилась, так как взломать пароль чаще намного проще, чем каменные стены подземных хранилищ.

Сейчас в мировой статистике преступлений киберпреступность по частоте совершения преступлений уступает только незаконному присвоению активов. 38% преступлений, совершаемых в секторе финансовых услуг, сегодня приходятся на киберпреступность.

Европейская комиссия с горечью констатирует, что жертвами киберпреступлений становятся более 1 миллиона человек ежедневно.

Свежей статистики пока нет, но можно отметить, что убытки от киберпреступности в 2012 году превысили 2 миллиарда долларов, и более четверти этой суммы приходилось на российские компании.

Конечно, далеко не все преступления в этой сфере связаны с причинением финансового ущерба, так, взлом личной страницы в социальной сети и размещение там порочащей информации, очень сложно выразить в материальной форме и стоимости морального ущерба.

Страхуют только риски, связанные с хищением реальных ценностей. Несмотря на то, что в нашем информационном мире информация часто является не менее реальной ценностью, чем наличные деньги, сделать ее достоверную оценку не всегда возможно.

Кто находится в зоне риска?

Не надо думать, что жертвами кибермошенников могут стать только компании финансового сектора.

Да, прежде всего, страдают:

• Банки;
• Инвестиционные компании;
• Сами страховые компании;
• Участник рынка ценных бумаг;
• Электронные платежные системы.

Но этим перечнем список организаций, которым могут причинить ущерб кибермошенники, не исчерпывается.

Многие компании могут подвергнуться риску хищения ценной производственной информации, например, ноу-хау, коммерческой информации, выход которой на рынок может повлиять на котировки акций компании, персональных данных сотрудников.

Все эти хищения могут причинить ущерб, сравнимый с прямым хищением денежных средств.

Кроме хищения информации хакерские атаки могут привести к прекращению работы сайта, а ущерб здесь может быть незначительным, например, падение сайта регионального СМИ, до колоссального.

Глава известной фирмы, занимающейся разработкой антивирусных программ, рассказал о том, что система электронного контроля за анием на выборах президента подвергалась сильнейшим хакерским атакам и только экстраординарные меры защиты предотвратили ее падение. Вероятно, ни одна страховая компания не смогла бы полностью возместить возможный причиненный вред.

Европейская и американская практика

Практика страхования кибер-рисков нарабатывается постепенно, страховые компании, как и их клиенты, учатся выявлять и страховать риски методом проб и ошибок.

Сегодня можно упомянуть несколько частных случаев, которые стали или в дальнейшем станут основой для разработки системных способов страховой защиты от киберпреступности.

Инцидент с нелояльным сотрудником.
Один их клерков компании присвоил конфиденциальную информацию, касающуюся конкурентов компании. Страховщик возместил ее убытки, сумма страхового покрытия составила около 200 000 долларов.

Около 1 000 000 долларов составила сумма страхового покрытия по инциденту, связанному с хакерским взломом электронной базы данных американской сети отелей (22 отеля). Были похищены данные около 480 000 кредитных карт клиентов отелей. Любопытно, что стоимость данных по одной карте была оценена всего в 2 доллара.

Инцидент «Халатность».
Одна из американских организаций из-за ошибки сотрудника выложила на своем сайте персональные данные 42 000 студентов. Компанию начали преследовать исками о защите пава на частную жизнь. В итоге, страховое покрытие возместило судебные издержки и составило около 250 000 долларов.

Очевидно, что каждый случай индивидуален и не носит системного характера, а размер страхового возмещения, как правило, складывается из расходов, понесенных на возмещение вреда, а не из стоимости утраченной информации.

Виды страховых рисков

На сегодняшний день в мировой практике выработано несколько рисков, которые частичностью или полностью могут получить страховую защиту:

• Риск присвоения и использования конфиденциальной информации сотрудниками компании и ее использования;
• Риск получения хакером информации о номерах кредитных карт или счетов клиентов компании;
• Риск хищения денежных средств со счетов в банке или ценных бумаг со счета в депозитарии;
• Риск хищения данных кредитных карт и средств с них;
• Риск утраты или разглашения информации из-за ошибки сотрудника;
• Перерыв в работе предприятия, его компьютерной сети, его сайта;
• Убытки, связанные с размещением на сайте страхователя ложной информации или информации, имеющей характер диффамации;
• Риск утери материального носителя, содержащего конфиденциальную информацию.

Некоторые страховые компании, работающие и на зарубежном, и на российском рынке, уже предлагают комплексные программы страхования от кибер рисков, в которые входят несколько из названных видов страховых случаев.

Так, одна известная страховая компания уже сегодня предлагает страховой пакет, направленный на защиту от утраты персональной информации.

Формулируется предложение следующим образом: страхуются убытки, понесенные компанией, включая расходы на защиту, возникающие в результате заявленного или фактического нарушения защиты персональных данных или же страхование значимой корпоративной информации.

Страховое покрытие

Практически во всех случаях наиболее сложным вопросом является вопрос достоверной оценки стоимости утраченной информации.

Если на Западе оценочные компании имеют большую практику достоверной оценки активов, выраженных в виде информации, то российские оценщики, имея только усеченную методику оценки нематериальных активов, оценить стоимость информации так, чтобы это устроило и клиента, и страховую компанию, смогут не всегда.

Кроме того, при оценке информации как нематериального актива и получения страхового возмещения не исключены проблемы с нашим налоговым законодательством, которое не преминет обозначить всю сумму страхового возмещения как прибыль и обложить ее налогом. Этот вопрос на уровне разъяснений Минфина еще не отрегулирован.

Также не все ясно с выплатой страхового покрытия, рассчитываемого как размер расходов, понесенных на восстановление нарушенного права. Доказать необходимость совершения того или иного расхода или его размер будет достаточно сложно, поэтому примерный перечень таких расходов и пределы их стоимости желательно оговаривать в договорах страхования, еще на берегу.

Не смотря на то, что страховые компании предлагают, как им кажется, исчерпывающий перечень расходов, который может понести компания в результате действия киберпреступников, практика всегда покидывает нам новые ситуации.

Тем не менее, среди таких расходов указываются:

• Расходы, понесенные в связи с расследованиями регулирующих органов;
• Антикризисный пиар;
• Расходы, понесенные на восстановление данных.

Нелишним будет оговорить и судебные расходы, и расходы, связанные с неполученной прибылью из-за срыва контрактов, расходы, связанные с падением курса акций и так далее.

В любом случае, каждый договор будет являться плодом индивидуальной договоренности участников рынка.

Подытожим сказанное

Немногие страховые компании готовы сегодня предложить качественный, системный продукт, направленный на защиту клиентов от киберпреступности.

Инструментарий еще не отработан, а почти полное отсутствие практики выплат не дает возможности проверить все страховые случаи и виды покрытий на системные ошибки.

На сегодняшний день для широкого внедрения этого вида страхования отсутствует и законодательная база, и судебная практика.

Недостаточно пока в наших страховых компаний и специалистов, имеющих представление о структуре рисков.
Но, начало положено и, скорее всего, в течение ближайших трех лет мы столкнемся со взрывным ростом этого вида страхования.

сюжет об информационной безопасности и киберпреступлениях

Источник: http://StrahouNado.ru/insur/strakhovanie-kiber-riskov.html

Риски безопасности в киберпространстве

№ 43 (1114) 20 November 2015

Правительство утвердило Национальную программу кибернетической безопасности Республики Молдова на 2016-2020 год. Документ разработан Министерством информационных технологий и связи, в сотрудничестве с заинтересованными министерствами и ведомствами, представителями бизнес-сообщества и при поддержке иностранных экспертов.

Как сообщил в интервью для «ЛП» министр информационных технологий и связи Павел Филип, работа над программой продолжалась несколько лет.

Презентация первой версии проекта Программы состоялась на Саммите информационно-коммуникационных технологий «Moldova ICT Summit» в апреле 2015 года. Проект Программы был хорошо принят в рамках Саммита, после чего мы продолжили доработку документа.

Как результат, 29 октября 2015 года Программа кибербезопасности была утверждена постановлением правительства РМ.

— Следует отметить основные принципы, на которых строится Программа кибербезопасности, — подчеркнул Павел Филип.

Мы убеждены, что надежный доступ к Интернет-ресурсам является приоритетом каждого государства, и, наоборот, ограниченный доступ — недостатком.

Второй аспект — киберустойчивость. Это способность составляющих частей кибернетических инфраструктур противостоять кибератаке и выявлять инциденты на ранних стадиях, то есть, работать на опережение.

Следующий аспект — совместное управление. Имеется в виду, что и государство, и частные компании должны сотрудничать в этой области.

И очень важный момент: совместная и персональная ответственность за обеспечение кибербезопасности.

Исходя из этих основополагающих принципов, достижение основной цели Программы произойдет путем комплексного выполнения семи специфических задач:

— обеспечение безопасности при обработке, хранении и доступу к данным;

— безопасность и целостность сетей и услуг электронных коммуникаций;

— создание CERT («Компьютерная группа реагирования на чрезвычайные ситуации») на национальном уровне;

— борьба с киберпреступлениями;

— укрепление потенциала киберзащиты;

— информирование общества по вопросам кибербезопасности;

— международное сотрудничество и взаимодействие.

Уже 56 стран мира утвердили документы политик в сфере кибербезопасности, в том числе 21 государство ЕС.

По словам министра Павла Филип, следующая задача — определение и идентификация Методологии, которая позволит распознавать киберриски. Исходя из стандартов и методологии можно будет перейти к разработке минимальных требований в области кибербезопасности, которые были бы обязательны для всех органов публичной власти.

После того, как минимальные требования будут разработаны, и будут сертифицированы специалисты по кибербезопасности, тогда будет проводиться аудит, чтобы выявить — соответствует данный орган публичной власти минимальным требованиям по кибербезопасности, или нет.

Когда говорим о кибербезопасности, то это касается не только специалистов, работающих с конфиденциальной информацией, это касается всех – органов публичной власти, бизнес-сообщества, частных лиц. Именно поэтому нужен национальный CERT, который на сегодняшний день еще не существует.

Национальный CERT сможет получать данные от всех источников — от государственных органов и компаний, и использовать в своей работе информацию о потенциальных киберугрозах, атаках, а также вредоносных программах.

Специалисты из МВД и прокуратуры предлагают ужесточить в законодательстве санкции за распространение вредоносного программного обеспечения. Хакеры должны отвечать за свои поступки в большей мере, чем сейчас.

Начальник управления политики в области информационных технологий Министерства информационных технологий и связи Павел Шинкарюк советует, на что следует обратить внимание. Не надо открывать сообщения от неизвестного отправителя, а только от людей, которых вы знаете и достоверного источника.

Обязательно использовать лицензионное программное обеспечение. Обязательно использовать антивирусы, база данных защитных программ должна постоянно обновляться.

При регистрации в социальных сетях внимательно читайте условия пользования, и не предоставляйте излишних данных (например, номер своего банковского счета).

При использовании паролями старайтесь, чтобы этот пароль состоял не из букв и цифр, а из фраз, которых злоумышленник не сможет вычислить, перебирая возможные комбинации.

Не оставляйте свой пароль в общедоступных местах (на столе в офисе). И надо знать, что при использовании флэшкой вы подвергаете свой компьютер опасности заражения вредоносными программами.

Особый случай — мобильные телефоны, имеющие подключение к сети Интернет.

Программное обеспечение на свой смартфон следует скачивать только из полностью достоверных источников, таких как Google Play Store (магазин приложений, игр, книг, музыки и фильмов Google и других компаний); Application Store (онлайн магазин, содержащий различные приложения для мобильных телефонов iPhone, плееров iPod Touch, планшетов iPad и др). Старайтесь не пользоваться бесплатным программным обеспечением, которое предлагается в Интернете.

В случае заражения смартфона вирусами, злоумышленник может не только прослушивать все телефонные разговоры. Вредоносные программы позволяют хакеру делать звонки и отсылать сообщения, при этом владелец смартфона об этом узнает только тогда, когда получает счет по оплате.

И появляется новый вид кибератак — злоумышленники входят на сайты информационных агентств и подменяют новости. Люди читают на информационном портале выдуманные сообщения о катастрофах, криминальных преступлениях и приходят в ужас. Такие вбросы дезинформации могут вызвать панику и подорвать правопорядок в обществе.

Сегодня кибербезопасность актуальна и для деятельности городских коммунальных служб. Вредоносное программное обеспечение способно отправлять на сайт поставщика услуг ложные показания домашних счетчиков.

Поскольку поставщики воды, тепла и природного газа используют компьютерные системы, они в первую очередь должны соблюдать минимальные требования по кибербезопасности.

Деятельность этих систем уязвима и нуждается в киберзащите.

По данным из автоматизированной информационной системы «Регистр криминалистической и криминологической информации», с 2013 года и до августа 2015 года включительно зарегистрировано 72 информационных преступления с материальным ущербом в размере около 21,5 млн леев. В том числе в 2013 г. — 23 преступления с ущербом 14,1 млн леев; в 2014 г. – 24 преступления с ущербом 1,3 млн леев; за 8 месяцев 2015 г. – 25 преступлений с ущербом в 6,1 млн леев.

По данным Центра специальных телекоммуникаций РМ, в 2014 году по сравнению с 2013 годом количество кибератак на web-серверы увеличилось на 26%, а уязвимость открытых портов – на 385%. Вероятность заражения компьютеров информационными вирусами увеличилась на 27%.

Источник: http://logos.press.md/node/60452