Кибер-страхование в Казахстане: что покрывает полис и чего не покрывает

Киберугрозы превратились в один из главных операционных рисков для казахстанского бизнеса. Ransomware-атаки, утечки данных клиентов, мошеннические переводы — всё это реальные финансовые потери. Кибер-страхование призвано смягчить эти удары, однако многие компании обнаруживают слишком поздно, что купленный полис не покрывает именно тот инцидент, который с ними произошёл. Разберёмся в деталях.

Что такое кибер-страхование

Кибер-страхование (или страхование от киберрисков) — это вид страхования, компенсирующий финансовые потери от кибератак, утечек данных и связанных инцидентов. Оно может покрывать как ущерб самой компании (первая сторона), так и претензии пострадавших клиентов или партнёров (третьи стороны).

По данным АРРФР, объём страховых премий по страхованию рисков информационной безопасности в Казахстане вырос на 34% в 2023 году, однако общий уровень проникновения кибер-страхования среди МСБ остаётся ниже 5%.

Что обычно покрывает кибер-полис

Покрытие первой стороны (собственные убытки компании)

• Убытки от ransomware — выплата выкупа (в некоторых полисах), восстановление зашифрованных данных, стоимость простоя
• Расходы на расследование инцидента — оплата форензик-экспертизы для установления причин взлома
• Уведомление пострадавших клиентов — расходы на обязательные уведомления при утечке персональных данных
• Кризисные коммуникации — PR-услуги для управления репутацией после инцидента
• Потеря дохода — компенсация упущенной выгоды за период вынужденного простоя систем
• Мошеннические переводы — потери от несанкционированных транзакций через скомпрометированные системы

Покрытие третьей стороны (претензии внешних лиц)

• Претензии клиентов, чьи данные утекли
• Регуляторные штрафы за нарушение требований по защите персональных данных
• Судебные расходы при защите от исков
• Убытки партнёров, вызванные вашим инцидентом (например, из-за заражённого письма)

Что кибер-полис НЕ покрывает

Этот раздел — самый важный, и страховщики нередко делают его наименее заметным в договоре.

Исключение	Почему исключено
Халатность и несоблюдение базовых мер безопасности	Страховщик вправе отказать, если компания не обновляла ПО, не использовала антивирус, сотрудники не проходили обучение
Инсайдерские угрозы (преднамеренные)	Умышленные действия сотрудников, как правило, исключены; неосторожность может покрываться
Инциденты до даты начала полиса	Скрытые атаки, начавшиеся до страхования, не компенсируются
Государственные кибератаки	Атаки, атрибутированные иностранным государствам, часто исключены как форс-мажор
Потеря интеллектуальной собственности	Ценность торговых секретов сложно оценить — обычно исключается
Физический ущерб от кибератаки	Например, выход из строя оборудования из-за вируса — покрывается имущественным страхованием

Как выбрать полис: ключевые критерии

1. Определите ваши реальные риски — проведите оценку угроз: обрабатываете ли вы персональные данные клиентов, есть ли финансовые транзакции, насколько критична непрерывность работы.
2. Проверьте лимиты покрытия — убедитесь, что лимиты соответствуют потенциальным потерям. Полис на 5 млн тенге не спасёт при атаке с ущербом в 50 млн.
3. Изучите период ожидания (retention period) — многие полисы покрывают потерю дохода только начиная с 12–48 часов простоя.
4. Уточните процедуру подачи заявления — в большинстве полисов нужно уведомить страховщика в течение 24–72 часов после обнаружения инцидента.
5. Проверьте, включена ли выплата выкупа — в Казахстане это юридически неоднозначная территория.
6. Запросите список аккредитованных экспертов — многие страховщики требуют привлечения только их партнёрских форензик-компаний.

Требования АРРФР к финансовым организациям

АРРФР установил требования к управлению операционными рисками в финансовых организациях через постановления об информационной безопасности. Банки, страховые компании и другие финансовые организации обязаны:

• Внедрить системы мониторинга киберинцидентов
• Уведомлять АРРФР об инцидентах в установленные сроки
• Иметь план реагирования на инциденты (Incident Response Plan)
• Проводить регулярное тестирование на проникновение

Кибер-страхование в этом контексте является дополнительным инструментом управления рисками, но не заменяет требуемые технические и организационные меры защиты.

Как подать заявление на страховой случай

1. Немедленно активируйте план реагирования на инциденты и зафиксируйте время обнаружения.
2. Уведомите страховщика в срок, указанный в полисе (обычно 24–72 часа).
3. Не предпринимайте самостоятельных восстановительных действий до согласования со страховщиком — это может аннулировать выплату.
4. Сохраните все доказательства: логи, скриншоты, письма злоумышленников.
5. Привлеките аккредитованную страховщиком форензик-компанию для расследования.
6. Подготовьте документацию потерь: расчёт потери дохода, счета за восстановление, расходы на уведомления.

Читайте также: Кибервымогательство (ransomware) в Казахстане — как действовать при атаке до обращения к страховщику.

Кибер-страхование — это не серебряная пуля, а финансовая подушка безопасности. Реальная защита начинается с технических мер: обновлений, резервного копирования, обучения сотрудников и многофакторной аутентификации. Полис же помогает пережить инцидент финансово и сохранить доверие клиентов, пока вы восстанавливаетесь.