Риски стороннего программного обеспечения: как учитывать их в страховой анкете

Сторонним считается любое программное обеспечение, которое компания не разрабатывала сама и не сопровождает своими силами. В эту категорию попадает множество систем: бухгалтерские и складские программы, CRM, сервисы рассылок, облачные хранилища, аналитические платформы, плагины для сайта, средства защиты. Отдельно выделяют софт, который установлен на серверах компании, и сервисы, работающие в облаке подрядчика. Разница принципиальная: в первом случае ответственность за инцидент делится иначе, чем во втором.

Почему этот блок появился в анкетах

Причина проста. Значительная часть утечек и простоев сегодня связана не с собственным кодом компании, а с уязвимостями в чужих продуктах или с ошибками в настройке внешних сервисов. Компания может иметь крепкую внутреннюю инфраструктуру и при этом оставаться уязвимой из-за устаревшего плагина или слабых прав доступа в подрядном облаке. Страховщик хочет понимать, где именно проходит граница контроля, потому что от этого зависит вероятность убытка (согласно данных "Лаборатория Касперского").

Какие сведения запрашивают в анкете

Перечень обычно касается нескольких аспектов:

• Какие системы используются и для каких задач.
• Кто их сопровождает: собственный ИТ-отдел, подрядчик или сам поставщик.
• Как организован доступ к персональным и коммерческим данным.
• Есть ли договоры с поставщиками софта, в которых прописаны обязательства по защите информации.
• Как обновляются системы и кто отвечает за установку обновлений безопасности.

Если хотя бы по одному пункту ответ звучит как «не знаем», это повод провести внутреннюю ревизию до подачи заявления.

Как отвечать, если полного реестра софта нет

Пустая графа или формальное «используем стандартный набор» — плохой ответ. Честнее указать, что централизованный учет не ведется, описать фактическое положение дел и приложить план. Многие страховщики реагируют на это спокойно, если видят, что компания понимает масштаб и готова наводить порядок. Опаснее написать, что сторонних сервисов нет, когда сотрудники ежедневно работают в облачной CRM или корпоративном мессенджере. При урегулировании это выяснится на первой же проверке.

Что важно раскрыть про доступы и данные

Ключевой вопрос — какие данные попадают в сторонние системы. Если через внешний сервис проходят персональные данные клиентов или сотрудников, у компании появляются обязательства по их защите (Федеральный закон от 27.07.2006 № 152-ФЗ). В анкете стоит прямо указать, какие категории данных передаются подрядчику, на каких условиях и есть ли у компании возможность контролировать их обработку. Отдельно описывается порядок предоставления и отзыва доступов сотрудников, а также практика удаленного отключения при увольнении.

Как описывать подрядчиков, которые работают с данными

Поставщиков софта удобно разделить по степени влияния на процессы. Те, чей сбой останавливает работу компании, описываются подробно: название, задача, условия договора, наличие обязательств по защите информации, сроки уведомления об инцидентах. Второстепенные сервисы можно указать кратко, но не пропускать вовсе. Если у подрядчика нет собственного полиса или прописанной ответственности за утечку, это тоже стоит отразить в анкете — страховщик оценит риск точнее.

Чем заканчивается недосказанность

Недостоверные сведения в анкете дают страховщику основание отказать в выплате или пересмотреть условия договора. Анкету подписывает представитель компании, поэтому спорить с этим сложно. Дополнительная сложность в том, что инциденты со сторонним программным обеспечением почти всегда всплывают вместе с претензиями клиентов и уведомлением регулятора. Разбираться приходится одновременно по нескольким фронтам, а времени на сбор доказательств почти не остается.

Как подготовиться к заполнению анкеты

До подачи заявления стоит провести короткую ревизию:

• Собрать перечень внешних систем, которыми пользуются подразделения.
• Проверить, у кого есть к ним доступ и на каких правах.
• Уточнить у поставщиков, какие обязательства по защите данных они берут на себя и как уведомляют об инцидентах.
• Описать технические меры: двухфакторную аутентификацию, ограничение прав, шифрование, резервное копирование.

Такой пакет ускоряет рассмотрение и снижает вероятность вопросов при убытке.

Что уточнить у страховщика до подписания

Анкета не заменяет разговора. Имеет смысл заранее выяснить, как трактуется инцидент на стороне подрядчика, входит ли он в покрытие и что ожидается от компании в первые часы. Эти детали редко прописаны крупным шрифтом, но именно они определяют исход урегулирования.

Стороннее программное обеспечение — не слабость, а реальность, которую страховщик должен видеть. Компания, которая честно описывает свои сервисы и права доступа, получает более предсказуемые условия.

Оформляйте услуги для бизнеса и участвуйте в программе лояльности!

Получайте жетоны FINLEO Магазина и обменивайте их на дополнительное вознаграждение за свой труд.

Ж 1 жетон = 1 ₽

Жетоны копятся со сделок по банковским гарантиям, лизингу и страхованию, а в программе лояльности участвуют все виды этих продуктов.

499 ₽ + 36 625 Ж Кофемашина RED SOLUTION RCM-1540 К товару	999 ₽ + 12 500 Ж Гриль с панелями для венских вафель Tuvio TG04DMP К товару
499 ₽ + 8 000 Ж Кормушка автоматическая для кошек и собак RED SOLUTION 09S К товару	3 999 ₽ + 80 000 Ж Игровая консоль PlayStation 5 Slim Digital Edition К товару

Если вашей компании нужно подобрать программу страхования киберрисков с учетом работы со сторонним программным обеспечением, на FINLEO можно посмотреть предложения разных страховых компаний и оставить заявку.