Утечка персональных данных и страхование: как проверить действующий киберполис

Самый сложный момент после утечки — за несколько часов восстановить события, которые могли начаться недели назад. Например, 12 августа компания обнаружила посторонний доступ к клиентской базе, но проверка показывает: первые подозрительные действия могли начаться 20 июня, полис действует с 1 июля, а сама база размещена в облачной CRM (системе управления взаимоотношениями с клиентами). В этот момент одновременно важны дата инцидента, роли подрядчика, сроки по закону и условия договора.

Страхование при утечке персональных данных проверяют по хронологии инцидента: когда мог начаться доступ, когда его заметили, какие системы и данные затронуты, участвовал ли подрядчик и что компания знала до оформления. Эти факты сопоставляют с действующим договором, сроками уведомления и порядком согласования расходов.

Юридический инцидент и страховой случай — не одно и то же

После утечки у компании сразу две параллельные задачи. Первая — выполнить обязанности оператора по закону. Вторая — открыть страховой договор и проверить, относится ли конкретное событие и возникшие расходы к программе. Одна задача не подменяет другую.

По части 3.1 статьи 21 Закона № 152-ФЗ специальная обязанность возникает при установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, если это повлекло нарушение прав субъектов. Оператор должен уведомить уполномоченный орган:

• в течение 24 часов — о произошедшем инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице;
• в течение 72 часов — о результатах внутреннего расследования и, при наличии, о лицах, действия которых стали причиной инцидента.

Юридические обязанности и возможная ответственность за утечку персональных данных определяются законом и обстоятельствами события. Полис проверяют отдельно: что считается киберинцидентом, какие расходы предусмотрены и в какой срок нужно сообщить страховщику.

Рабочая схема проверки: факт утечки → юридические обязанности → условия полиса → уведомление → расходы и требования. Для всех этапов лучше сразу вести одну хронологию, чтобы не восстанавливать ее позже по логам, письмам и сообщениям подрядчиков.

Сначала установите причину события и сверьте ее с договором

Чтобы определить, возможен ли страховой случай при утечке данных, сначала сопоставляют фактическую причину с определением события в договоре. Слово «утечка» может описывать очень разные ситуации: внешний взлом, ошибочную отправку файла, открытый доступ из-за настройки или инцидент у поставщика облачного сервиса.

В конкретной программе могут отдельно упоминаться:

• несанкционированный доступ;
• вредоносное воздействие;
• фишинг;
• ошибка сотрудника;
• случайная отправка данных не тому адресату;
• потеря носителя;
• инцидент у подрядчика.

Одинаковое слово «утечка» еще не делает сценарии одинаковыми для договора. Сотрудник, например, отправил файл с персональными данными неверному адресату. Внешней атаки не было, но данные стали доступны постороннему лицу. Здесь проверяют, относится ли человеческая ошибка к застрахованным событиям, какие данные затронуты и какие расходы предусмотрены программой.

Дата инцидента, ретроактивный период и момент обнаружения

Киберинцидент может начаться раньше, чем компания его обнаружит. Поэтому дата, когда служба безопасности увидела проблему, сама по себе не отвечает на вопрос о страховой части события.

Вернемся к примеру: доступ мог начаться 20 июня, полис действует с 1 июля, а обнаружили проблему 12 августа. Для проверки собирают всю последовательность:

• предполагаемую дату начала доступа;
• дату обнаружения;
• дату начала действия полиса;
• ретроактивную дату;
• обстоятельства, известные компании до оформления;
• срок, в который нужно заявить событие или требование.

Ретроактивная дата в киберстраховании — одна из временных границ полиса: она показывает, к какому более раннему периоду могут относиться события по конкретным условиям. 

Но то, что компания уже знала до оформления, остается отдельным вопросом. Если признаки компрометации, претензия или расследование появились раньше, эти сведения сопоставляют с анкетой и условиями договора.

Утечка у подрядчика: входит ли она в полис компании

Если данные находятся в CRM, облаке, кол-центре или другом внешнем сервисе, сначала определяют роли сторон. По статье 6 Закона № 152-ФЗ оператор может поручить обработку другому лицу; в таком поручении должны быть закреплены требования к защите данных и обязанность сообщать оператору о соответствующих инцидентах. Перед субъектом данных за действия лица, обрабатывающего данные по поручению, ответственность несет оператор.

Но для полиса главный вопрос другой: предусмотрены ли такие инциденты в условиях конкретной программы. Проверьте:

• как в полисе определен внешний поставщик или подрядчик;
• распространяются ли условия на инциденты в его системах;
• какие сервисы и данные были указаны страховщику;
• есть ли территориальные ограничения;
• как быстро подрядчик обязан сообщить компании об инциденте;
• какими документами подтверждается событие у внешнего сервиса.

Например, клиентская база хранится в облачной CRM, и провайдер сообщает о компрометации. Собственные серверы компании не пострадали, но у оператора возникают обязанности по работе с инцидентом. Утечка данных у подрядчика будет оцениваться по полису с учетом того, включен ли такой поставщик в договор и какие события в его системах предусмотрены программой.

После обнаружения: уведомление страховщика и регулятора идут отдельно

Уведомление страховщика о киберинциденте и уведомление Роскомнадзора по статье 21 — две разные задачи. Закон устанавливает сроки для оператора, а страховой договор может требовать сообщить о событии незамедлительно или в иной срок и отдельно согласовать часть расходов.

После обнаружения инцидента эти две линии лучше вести одновременно:

• зафиксировать дату и обстоятельства обнаружения;
• подключить ответственных за информационную безопасность и юристов;
• определить, возникает ли обязанность уведомить уполномоченный орган;
• выполнить обязательное уведомление в установленный срок;
• проверить договорный срок и порядок сообщения страховщику;
• до крупных внешних расходов проверить, требуется ли согласование специалистов или услуг;
• сохранять хронологию, переписку и подтверждающие документы.

Сообщение страховщику не заменяет обязательного уведомления регулятора и наоборот. Заранее назначьте, кто отвечает за каждую линию и кто согласовывает внешнюю экспертизу, юридическую помощь и другие расходы.

Соберите факты для проверки действующего полиса

Вопрос «это страховой случай или нет» возникает первым, но договору нужны подтверждаемые факты. Что произошло, когда мог начаться инцидент, когда его обнаружили, какие системы затронуты и кто участвовал — после этого уже можно последовательно проверить:

• что именно произошло и какое определение события используется в договоре;
• когда инцидент мог начаться и когда его обнаружили;
• какие системы и категории данных затронуты;
• участвовал ли внешний подрядчик;
• что компания знала до начала договора;
• какие меры защиты были заявлены страховщику и выполнялись ли они;
• какие исключения относятся к конкретной причине;
• какие лимиты и сублимиты действуют;
• какой срок установлен для уведомления.

Программа страхования от утечки персональных данных может содержать требования к резервным копиям, обновлениям, многофакторной аутентификации, согласованию подрядчиков и другим мерам. Нельзя заранее считать любое нарушение автоматическим основанием для отказа: значение имеет точная формулировка договора, связь требования с событием и документы по конкретному случаю.

Что собрать в первые часы и чем поможет «Прогресс Страхование»

В первые часы после утечки легко получить три версии одной и той же истории: у IT-службы (службы информационных технологий) своя, у юристов своя, у подрядчика — третья. Поэтому лучше сразу вести одну хронологию: когда обнаружено событие, какой период оно могло продолжаться, какие системы и данные затронуты, кого уже уведомили и какие расходы возникли. Тогда факты не смешиваются с предположениями, а нужные пункты договора находятся быстрее.

Соберите одну хронологию инцидента

С первого дня фиксируйте:

• дату и время обнаружения;
• предполагаемый период инцидента;
• затронутые системы;
• категории персональных данных;
• примерный масштаб;
• роль подрядчика, если он участвовал;
• сделанные уведомления;
• привлеченных специалистов;
• понесенные расходы;
• претензии третьих лиц, если они появились.

Сверьте договор до привлечения внешних экспертов

В первые часы компании может понадобиться цифровая экспертиза или юридическая помощь. До заключения дорогостоящего договора с внешним специалистом проверьте:

• нужно ли предварительное согласование;
• есть ли требования к выбору подрядчика;
• какие лимиты и сублимиты действуют;
• применяется ли франшиза к таким расходам;
• какие документы нужно сохранить.

Если договор требует согласовать специалиста или конкретный расход заранее, лучше знать это до оплаты услуг, а не после.

Как помогает агентство «Прогресс Страхование»

Если полис оформлен через «Прогресс Страхование» и утечка уже обнаружена, специалист помогает быстро найти в договоре сроки уведомления, условия по подрядчикам, порядок согласования внешних экспертов, лимиты и перечень документов. Для первичной проверки достаточно прислать действующий полис, краткую хронологию инцидента, сведения о затронутой системе или подрядчике и уже сделанных уведомлениях: специалист сверит предусмотренный договором порядок действий и поможет корректно заявить о событии.

Обратитесь в «Прогресс Страхование», если киберстрахование только планируется или подходит срок продления. Мы сравним предложения среди топ-25 страховщиков, подберем киберполис с учетом данных, подрядчиков, лимитов и расходов на реагирование и поможем оформить выбранный вариант.