Риски IT-инфраструктуры: что бизнесу проверить перед страхованием

Серверы застрахованы, но после сбоя выясняется: основной убыток связан не с их повреждением. В серверной выходит из строя система охлаждения, оборудование аварийно отключается, CRM (система управления взаимоотношениями с клиентами) становится недоступна, сотрудники не могут принимать заказы. Ремонт серверов — только часть потерь; отдельно остаются простой, восстановление систем и работа специалистов.

Например, данные могут сохраниться, а оборудование пострадать от скачка напряжения; или наоборот — серверы физически целы, но сервис недоступен из-за повреждения базы или сбоя облачного провайдера. Риски IT-инфраструктуры (информационно-технологической инфраструктуры) нельзя оценить только по перечню техники: важно понять, от чего зависит каждый критичный сервис, что может отказать и какие расходы возникнут до восстановления.

Сначала перечислите критичные активы и зависимости

Начать проще не со списка серверов, а с вопроса: что именно остановится, если один из них перестанет работать. У CRM, интернет-магазина и производственной системы будут разные зависимости и разная цена простоя. Поэтому рядом с техникой нужно сразу видеть данные, программное обеспечение, питание, охлаждение, связь и внешние сервисы, от которых зависит работа бизнеса.

К физическим активам могут относиться:

• серверы;
• системы хранения данных;
• сетевое оборудование;
• кабельная инфраструктура;
• источники бесперебойного питания;
• генераторы;
• системы охлаждения;
• рабочие станции;
• периферия;
• оборудование на внешних площадках.

К цифровым активам и зависимостям относятся:

• базы данных;
• программное обеспечение;
• конфигурации;
• резервные копии;
• облачные сервисы;
• учетные системы;
• CRM и ERP (система управления ресурсами компании);
• внешние API (интерфейсы обмена данными между системами);
• доступ к интернету и каналам связи.

Сервер и данные — разные объекты риска. Сервер может быть физически цел, а CRM недоступна из-за поврежденной базы; после пожара, наоборот, оборудование придется менять, хотя резервная копия данных сохранилась.

Инвентаризацию для страхования IT-инфраструктуры лучше начинать с бизнес-функций: что остановится при отказе конкретного элемента и какие расходы возникнут до восстановления.

Где физическая инфраструктура зависит от питания, охлаждения и связи

Серверы и сетевое оборудование зависят не только от собственной исправности, но и от питания, ИБП, генераторов, охлаждения и связи. Например, при отказе кондиционирования техника может перегреться и остановиться, хотя до этого сами серверы были исправны. Поэтому проверяют всю инженерную систему: питание, ИБП, резервные источники, охлаждение и связь, а не только оборудование в стойке.

Типовые сценарии:

• скачок напряжения повреждает блоки питания;
• пожар выводит из строя стойку;
• залив затрагивает серверную;
• отказ кондиционирования приводит к перегреву;
• ломается ИБП;
• пропадает внешнее питание;
• повреждается сетевое оборудование.

При страховании оборудования компании важно разделить внешнее событие и внутреннюю поломку. Пожар, залив или скачок напряжения и внутренняя неисправность техники могут регулироваться разными условиями.

Если отказ инженерной системы приводит к повреждению оборудования и простою, отдельно проверяют саму причину, повреждение техники и расходы из-за остановки бизнеса. При страховании серверного оборудования нужно уточнить, учитываются ли такие события и связанные с ними расходы в конкретной программе.

В отдельных программах страхование электронного оборудования может учитывать иные причины поломки, чем обычный имущественный полис, поэтому условия сравнивают по конкретным событиям. Если техника размещена у внешнего провайдера, дополнительно проверяют адрес, обязанности подрядчика и его ответственность.

Сервис недоступен, а оборудование цело: данные, ПО и цифровые события

Сервис может остановиться без физического повреждения: из-за сбоя обновления, ошибки сотрудника, повреждения базы данных, некорректной конфигурации или киберинцидента. В такой ситуации основные расходы — восстановление систем и данных, работа специалистов, временная инфраструктура и простой.

Условия страхования серверов относятся только к тем событиям и расходам, которые предусмотрены конкретным договором. Восстановление данных, программ и сервисов нужно проверять отдельно.

Для страхования важнее понять не название сбоя, а его последствия для компании:

• нужно восстановить данные;
• требуется переустановка или настройка систем;
• продажи остановлены;
• сотрудники не могут работать;
• клиентские операции недоступны;
• приходится привлекать внешних специалистов;
• возникают требования третьих лиц.

Недоступность системы может быть вызвана не только кибератакой. База данных может повредиться после ошибочного обновления, сбоя или действий сотрудника. Поэтому сначала определяют возможные причины и расходы, а затем проверяют, какой вид страхования к ним относится.

Резервная копия снижает риск, но не отменяет простой. Она может оказаться устаревшей, недоступной или восстанавливаться несколько часов. Поэтому для страхования важен не сам факт «резервная копия есть», а сколько времени и денег компания потеряет, пока система не восстановлена.

Простой и внешние зависимости: ущерб может возникнуть без поломки собственного сервера

Новый сервер можно купить за день, но без платежной системы интернет-магазин начинает терять заказы уже через час. Поэтому стоимость оборудования не показывает возможный размер простоя. Для каждой критичной системы определяют, сколько времени бизнес способен работать без нее и с какого момента остановка начинает приносить финансовые потери.

Страхование перерыва в деятельности обычно действует только при определенных причинах простоя. Поэтому факт остановки бизнеса сам по себе не означает, что расходы относятся к полису. В договоре нужно проверить, какое событие должно привести к перерыву и какие потери или дополнительные расходы учитываются.

Отдельно разберите внешние сервисы и подрядчиков:

• облачный сервис;
• хостинг;
• дата-центр;
• интернет-провайдер;
• платежный сервис;
• CRM-провайдер;
• аутсорсинговая поддержка;
• поставщик программного обеспечения.

Например, собственные серверы компании работают нормально, но облачный провайдер на пять часов становится недоступен. Менеджеры не видят CRM, интернет-магазин не подтверждает часть операций, продажи останавливаются. Поврежденного имущества у компании нет, но есть потери из-за сбоя подрядчика. В договоре нужно отдельно проверить, учитывается ли такой провайдер, какие причины его недоступности предусмотрены и установлен ли период ожидания.

По каждой критичной системе ответьте на четыре вопроса:

• какой сервис критичен;
• сколько времени бизнес может работать без него;
• есть ли резервный порядок работы;
• сколько стоит час или день простоя.

Один сервис можно пережить несколько часов в ручном режиме, другой начинает приносить убыток почти сразу. Именно эта разница и нужна для расстановки приоритетов.

Как собрать карту рисков IT-инфраструктуры перед страхованием

Для каждой критичной системы полезно записать четыре вещи: сам актив или сервис, его зависимости, возможную причину отказа и финансовое последствие для бизнеса. Такая таблица показывает, где нужен лимит на оборудование, где важнее простой, а где основной расход связан с данными или внешним подрядчиком.

Таблица помогает увидеть, какие риски уже снижены резервированием, договорами с подрядчиками или действующим страхованием, а какие расходы компания по-прежнему несет сама.

После этого можно разделить риски по типу:

• физическое повреждение оборудования;
• внутренняя поломка;
• потеря или восстановление данных;
• киберинцидент;
• простой;
• ответственность перед третьими лицами;
• зависимость от внешнего поставщика.

Если IT зависит от внешней площадки, проверьте границы ответственности

Если оборудование размещено на внешней площадке, отдельно разберите обязанности каждой стороны. Сервер может принадлежать компании, за стойку и климат отвечать провайдер, а канал связи обеспечивать другой подрядчик. При страховании дата-центра или размещенного в нем оборудования сначала разграничивают объект, обязанности сторон и расходы, которые останутся на компании при сбое, а затем сопоставляют это с условиями SLA.

Если серверы или другое оборудование находятся на внешней площадке, для страхования нужно проверить:

• кому принадлежит серверное оборудование;
• кто отвечает за питание и охлаждение;
• что предусмотрено SLA;
• как оформлена ответственность подрядчика;
• какие риски покрывает собственный полис компании;
• распространяется ли страхование на оборудование вне собственного адреса;
• есть ли резервная площадка.

Наличие SLA не заменяет страхование: договор с подрядчиком может ограничивать ответственность, а фактические потери бизнеса — быть выше предусмотренной компенсации. Но и полис не заменяет SLA. Эти инструменты решают разные задачи.

Что проверить перед страхованием IT-инфраструктуры

Перед оформлением соберите картину так, чтобы ее понял не только IT-специалист, но и человек, который сравнивает страховые условия: какое оборудование есть, какие сервисы критичны, от чего они зависят и сколько стоит их простой. Соберите в одном месте:

• Перечень серверов и систем хранения.
• Сетевое оборудование.
• Питание, ИБП и генераторы.
• Системы охлаждения.
• Критичные данные.
• Резервные копии.
• Основное программное обеспечение.
• Облачные сервисы.
• Список ключевых подрядчиков.
• Пожар, залив и электрические повреждения.
• Электрические и внутренние поломки.
• Киберсобытия.
• Допустимый простой.
• Лимиты и сублимиты.
• Исключения действующих договоров.

Определите критичные системы и максимальный простой

Для каждой системы ответьте: что остановится при ее отказе и сколько времени бизнес сможет работать вручную. Если отсутствие CRM на два часа не критично, а остановка производственной системы на час уже приводит к крупным потерям, эти риски должны иметь разный приоритет.

Отметьте последствия, которые требуют отдельного страхового решения

Разделите последствия на физическое повреждение оборудования, восстановление данных, простой, реагирование на киберинцидент, ответственность перед третьими лицами и зависимость от подрядчиков. По каждой группе отметьте, какой ущерб уже учтен в действующих договорах, а какой требует отдельного решения.

Как помогает агентство «Прогресс Страхование»

«Прогресс Страхование» не подменяет технический IT-аудит: критичные системы и зависимости лучше всего описывает сама IT-служба. 

Задача агентства — перевести эти данные в страховые параметры и сопоставить предложения среди топ-25 страховщиков по одной схеме: физический ущерб, внутренняя поломка, данные, простой, киберрасходы, ответственность и внешние поставщики.

Если новый полис оформлен через «Прогресс Страхование», агентство остается на связи в течение срока договора: помогает при изменениях в инфраструктуре, а при событии быстро найти сроки уведомления и перечень документов.

Обратитесь в «Прогресс Страхование». Мы сравним предложения среди топ-25 страховщиков, подберем страховую программу с учетом критичных систем, оборудования, данных, простоя и зависимости от подрядчиков и поможем оформить выбранный вариант.