31 октября на пресс-конференции в информационном агентстве РИА Новости компания Chartis представила новый продукт, не имеющий аналогов на российском рынке – программу по страхованию кибер-рисков CyberEdgeSM. Уникальность предложения в комплексном подходе: при наступлении страхового случая клиенты Chartis получают консолидированную поддержку в сфере IT, антикризисных коммуникаций и юридических вопросов, связанных с последствиями инцидента.
«В январе 2012 года на Всемирном экономическом форуме в Давосе проблема кибер-преступности была обозначена как одна из глобальных мировых проблем. На этот вызов Chartis готов ответить уникальным страховым решением CyberEdgeSM. Мы объединили многолетний опыт зарубежных подразделений Chartis, чтобы обеспечить полноценную защиту нашим клиентам, не ограничиваясь только присужденными финансовыми выплатами», – сказал руководитель Отдела страхования финансовых рисков Chartisв России Владимир Кремер.
В пресс-конференции приняли участие представители компаний-партнеров:
- Богдан Вовченко, руководитель Отдела маркетинга Group-IB;
- Леонид Зубарев, партнер CMS, Россия;

- Ольга Пескова, вице-президент коммуникационного агентства «КРОС»;
- Лейла ­Нейман, управляющий партнер юридической компании «Сенешаль Нейман».

CyberEdgeSM гарантирует защиту от последствий нарушения данных в наиболее частых ситуациях, с которыми может столкнуться организация:

• Сбои в работе корпоративной системы;
• Хищение или непреднамеренная утеря клиентской информации;
• Компьютерные атаки (распространение вирусов и/или несанкционированный доступ).

Полис CyberEdgeSM – это комплексное решение, которое позволяет не только компенсировать непосредственный ущерб от утраты данных, но также быстро и с минимальными потерями преодолеть последующий кризис, чреватый крупными материальными и репутационными потерями.
Покрытие CyberEdgeSM включает в себя компенсацию:

• Убытков, возникших в результате нарушения безопасности данных страхователем или его субподрядчиком, включая убытки, возникшие по причине нарушения безопасности компьютерной сети.

• Сборов, расходов и издержек на юридические консультации и представительство в связи с расследованием, проводимым государственными органами.

• Расходов на реагирование, включая расходы на техническую экспертизу, восстановление репутации страхователя и должностных лиц страхователя, мониторинг возможных злоупотреблений данными и восстановление электронных данных.

Дополнительно в покрытие могут быть включены:

• Компенсация убытков страхователя, возникающих в результате нарушения им или его субподрядчиком авторского права; плагиата, неверного освещения, публичного раскрытия информации; несанкционированного извлечения информации.

• Компенсация расходов, направленных на предотвращение и выявление причин виртуального вымогательства и  ликвидацию его последствий.

• Компенсация убытков от перерыва в производстве по причине нарушения функционирования системы безопасности.

Примеры из мировой практики

Компания Epsilon

В марте 2011 года в международной компании Epsilon, базирующейся в США, был зафиксирован инцидент когда к блоку клиентской информации Epsilon был получен доступ посредством несанкционированного проникновения в систему электронной почты компании.
На момент инцидента в компании подчеркивали, что «раскрытая информация ограничивалась исключительно адресами электронной почты и/или именами клиентов. Тщательная проверка позволила определить, что угроза распространения любой прочей личной информации отсутствует».
В связи с этим компания Marks&Spencer (M&S), которая является клиентом компании Epsilon, была вынуждена предупредить своих клиентов о возможном использовании их персональных данных в мошеннических целях.
Клиентов предупредили, что они могут получать нежелательные сообщения, однако, как подчеркивалось, в компании «относились крайне серьезно к обеспечению конфиденциальности их личной информации» и намеревались «продолжать прилагать все усилия для защиты личной информации».

На тот момент представители Офиса комиссара по информационным вопросам Великобритании заявили о начале расследования касательно факта нарушения Закона о защите данных Великобритании. Среди прочих клиентов компании Epsilon числятся такие компании, как Hilton Hotels, Best Buy, Barclaycard US и Capital One.
Компания Betfair

В прошлом году компания онлайн азартных игр Betfair признала то, что ее клиенты не были проинформированы о крупной утечке данных. В 2010 году были похищены данные, включающие 3,1 миллиона учетных записей с зашифрованными ответами на контрольные вопросы, 2,9 миллиона имен пользователей, а также почти 90 000 имен учетных записей с данными о банковских счетах.
В компании Betfair также признали то, что об атаке стало известно лишь два месяца спустя, когда вышел из строя сервер в центре обработки данных компании на Мальте. Как утверждали представители компании, необходимость в уведомлении клиентов отсутствовала, так как меры по обеспечению безопасности препятствовали использованию данных в мошеннических целях.
Когда стало известно об утечке, компания Betfair проинформировала Агентство по борьбе с особо опасной организованной преступностью, а также Австралийскую федеральную полицию и немецкие государственные органы. В компании узнали об утечке данных случайно – когда социальный работник, забравший конфиденциальные бумажные документы на дом, был затем ограблен.
Компания Global Payments
В марте 2012 года было объявлено, что процессинговый центр Global Payments, находящийся в Атланте, стал жертвой «несанкционированного доступа» в систему. Об этом были уведомлены правоохранительные органы и финансовые учреждения.
Операторы платежных систем MasterCard, Visa, American Express и Discover Financial Services подтвердили, что они стали жертвами инцидента, наряду с банками и прочими представителями клиентской базы.
После публикации сообщения об инциденте в СМИ акции MasterCard упали на 1,8%, а акции Visa – на 0,8%, даже несмотря на тот факт, что аналитики выражали сомнения в том, что этим компаниям грозили иски со стороны контролирующих органов.
По сообщениям, жертвами могли стать около 10 миллионов держателей карт по всему миру, однако компания незамедлительно сообщила, что количество пострадавших клиентов составило 1,5 миллиона жителей исключительно в Северной Америке. Представители компании сообщили, что были украдены данные Track2, а не личные данные клиентов, и что в компании считали, что утечку данных удалось локализовать.

Опыт Chartis в США

Инцидент «Нелояльный сотрудник»
На компанию был подан иск в суд после того, как один из сотрудников присвоил конфиденциальную информацию, поступившую от конкурента.
Выплаты Chartis US по данному инциденту составили порядка $200 000.
 Инцидент «Хакерский взлом»
Хакеры получили доступ к компьютерным системам 26 отелей и могли получить имена и номера кредитных карт примерно 480 000 клиентов.
Страховые выплаты Chartis US на урегулирование последствий инцидента составили более $980 000.
Инцидент «Ошибка/Халатность»
Застрахованный непреднамеренно разместил в открытом доступе на своем сайте конфиденциальные данные более 42 000 студентов. Родители одного из пострадавших подали иск в суд о нарушении права на частную жизнь. Кроме того, по итогам инцидента Федеральная Торговая Комиссия (ФТК) начала расследование на предмет соблюдения застрахованным Акта ФТК, запрещающего искажение фактов при обработке конфиденциальных данных.
Выплаты Chartis US на судебные издержки составили порядка $250 000.
Инцидент «Потерянное/украденное оборудование»
Застрахованный потерял носители с информацией о медицинской страховке и номерах социального страхования.
Страховое возмещение на расходы по содержанию call-центра и мониторинга репутации застрахованного составило $400 000.