Киберстрахование интегратора: риски доступа к системам клиентов

Интегратор внедряет и обслуживает системы у заказчиков: настраивает серверы, разворачивает CRM и ERP, подключает облачные сервисы, обеспечивает кибербезопасность. В отличие от компании, которая отвечает только за свою инфраструктуру, интегратор несёт ответственность за системы клиентов.

Чем больше клиентов и чем шире доступ, тем выше риск. Если интегратор не может описать, как он управляет этими доступами, страховщик либо откажет в покрытии, либо установит высокую премию.

Риск первый: компрометация через подрядчика

Злоумышленники всё чаще атакуют не саму компанию, а её поставщиков услуг. Если интегратор имеет доступ к системам двадцати клиентов, одна утечка учётных данных открывает путь ко всем двадцати. Это называется атакой по цепочке поставок.

Механика простая. Специалист интегратора использует одну и ту же учётную запись для доступа к нескольким клиентам. Пароль попадает в фишинговую ловушку. Злоумышленник получает доступ к системам заказчиков через инфраструктуру подрядчика.

Для страховщика это ключевой риск. Он оценивает, как интегратор разделяет доступы между клиентами и есть ли у каждого заказчика изолированный контур.

Риск второй: ошибка конфигурации

Специалист интегратора настраивает сервер или облако заказчика и допускает ошибку. Открытый порт, неверно настроенное правило firewall, слабый пароль администратора. Результат — утечка данных или простой у клиента.

Ответственность за это лежит на интеграторе. Заказчик предъявляет претензию, и сумма может быть значительной. Киберполис покрывает расходы на защиту и компенсацию, если инцидент признан страховым случаем.

Риск третий: претензии заказчиков по SLA

Если интегратор обязан обеспечивать непрерывность сервиса по договору, а инцидент останавливает работу, клиент требует компенсацию. Это финансовый риск, который покрывается киберстрахованием.

Отдельно стоит проверить, включено ли в покрытие ответственность перед заказчиками за нарушение договора. Некоторые полисы покрывают только претензии третьих лиц, но не договорные обязательства. Если интегратор обязан компенсировать клиенту простой по SLA, этот риск должен быть включён в полис.

Риск четвёртый: претензии регуляторов

Если интегратор обрабатывает персональные данные клиентов, он становится оператором или обработчиком по 152-ФЗ и несёт ответственность за утечку (Федеральный закон от 27.07.2006 № 152-ФЗ, publication.pravo.gov.ru). Штрафы за нарушения выросли: для юридических лиц — от 50 000 до 300 000 рублей, за повторные нарушения — от 300 000 до 500 000 рублей. Если утечка затронула более 100 тысяч человек, штраф для организации составляет от 10 до 15 млн рублей.

Штрафы не компенсируются страховкой, но расходы на юридическую защиту и урегулирование претензий покрываются полисом.

Как учитывать инфраструктуру заказчиков при оформлении полиса

Разграничение ответственности. Первый шаг — определить, за что именно отвечает интегратор. В договорах с заказчиками должно быть чётко прописано, какие системы обслуживает подрядчик, какие данные обрабатывает, какие меры защиты обеспечивает. Если договор размытый, страховщик не сможет оценить риск.

В заявке на киберстрахование нужно перечислить типы инфраструктуры заказчиков: облачные сервисы, локальные серверы, сети, конечные устройства. Указать, есть ли у интегратора доступ к персональным данным, платёжной информации, коммерческой тайне.

Контроль доступа. Второй шаг — описать, как организован доступ к системам заказчиков. Страховщики требуют многофакторную аутентификацию для всех учётных записей, управление привилегированным доступом, журналирование действий. Если интегратор использует общие учётные записи или передаёт пароли по открытым каналам, это красный флаг.

Доступ должен предоставляться по принципу минимальных привилегий: каждый специалист имеет только те права, которые нужны для работы. При увольнении или смене роли доступ отзывается немедленно.

Изоляция контуров заказчиков. Третий шаг — подтвердить, что инфраструктура разных заказчиков изолирована. Если интегратор использует одну сеть или одно облако для всех клиентов, риск распространения инцидента возрастает. Страховщик оценит, как разделены среды, есть ли отдельные сегменты, как ограничено взаимодействие между ними.

План реагирования. Четвёртый шаг — показать, что у интегратора есть план реагирования на инциденты, учитывающий интересы заказчиков. В плане должно быть прописано, как уведомляются клиенты, кто отвечает за коммуникацию, как восстанавливаются системы. Если план не учитывает заказчиков, страховая может отказать в покрытии.

Что покрывает киберполис интегратора

Полис покрывает финансовые последствия инцидента, связанного с инфраструктурой заказчиков. Это расходы на форензику, юридическую поддержку, уведомление пострадавших, восстановление данных, перерыв в деятельности и претензии третьих лиц.

Отдельно стоит проверить, включено ли в покрытие ответственность перед заказчиками за нарушение договора. Если интегратор обязан компенсировать клиенту простой по SLA, этот риск должен быть в полисе.

Что остаётся за пределами полиса

Умышленные действия сотрудников. Если специалист намеренно нанёс ущерб, выплата не производится.

Инциденты до начала действия полиса. Если утечка случилась раньше, она не покрывается, если только полис не включает ретроактивный период.

Штрафы регуляторов. Штрафы за нарушение 152-ФЗ не компенсируются страховкой. Это общее правило: страхование противоправного интереса запрещено.

Как оформить полис на FINLEO

На FINLEO можно оставить заявку на киберстрахование для интегратора. Маркетплейс собирает данные о компании, её ИТ-инфраструктуре, типах заказчиков и требуемом покрытии, а затем направляет запрос страховым компаниям. Вы получаете предложения в сопоставимом формате и сравниваете условия, лимиты и франшизу.

Для расчёта понадобится информация о сфере деятельности, количестве заказчиков, типах обслуживаемых систем и наличии резервного копирования. Чем прозрачнее данные, тем точнее страховая оценит риск.

После оформления полиса начисляются жетоны программы лояльности. Их можно потратить в магазине маркетплейса на технику, товары для офиса или отдыха.

Киберстрахование интегратора требует детального описания инфраструктуры заказчиков. Разграничение ответственности, контроль доступа, изоляция контуров и план реагирования — четыре элемента, которые страховщик оценивает в первую очередь. Если интегратор не может их подтвердить, полис либо не будет выдан, либо окажется бесполезным при инциденте. Начните с аудита доступов и договоров с заказчиками.