Методы способы страхования информации

Информационная безопасность страховых компаний

Важность комплексной защиты
с помощью DLP-системы

С траховые компании оказывают услуги в сфере страховой защиты имущественных интересов юридических и физических лиц. В процессе деятельности они становятся обладателями большого объема информации, носящей характер коммерческой тайны или же персональных данных. И то и другое защищено законом. Распространение этих сведений среди широкого круга лиц может привести к финансовому ущербу для компании и ее клиентов. При этом страховая информация является активом, имеющим самостоятельную ценность. Поэтому специалисты службы безопасности страховых компаний обязаны прилагать значительные усилия в области защиты информации.

Правовое регулирование защиты информации в сфере страховой деятельности

Статус информации как объекта правовой защиты регулируется несколькими федеральными законами. Среди них закон «Об информации, информационных технологиях и защите информации», Гражданский кодекс, закон «О защите персональных данных» и другие.

В деятельности страховой компании образуются следующие объекты информации:

• коммерческая тайна самой страховой компании, данные о ее договорах, финансовых взаимоотношениях, бухгалтерская информация;
• коммерческая тайна клиентов и партнеров организации, данные об их активах, имуществе, платежах, произошедших страховых событиях;
• персональные данные сотрудников компании и сотрудников клиентов, эта информация иногда включает номера автомобилей, водительских удостоверений, кредитных карт;
• медицинская тайна клиентов компании, пользующихся услугами добровольного медицинского страхования.

Все массивы информации содержатся как на бумажных, так и на электронных носителях. Эти данные могут стать объектом противоправного покушения, их сохранность требует принятия серьезных мер безопасности. Несанкционированный доступ к охраняемым законом сведениям является уголовным преступлением, предусмотренным статьей 272 Уголовного кодекса.

Виды угроз информационной безопасности

Перечень угроз безопасности включает атаки как внешнего, так и внутреннего происхождения. Информационные базы данных, принадлежащие страховым компаниям, часто становятся объектами покушений хакеров. Частыми целями преступных посягательств являются клиентские базы данных, содержащие информацию о номерах телефонов, номерах автомобилей, медицинских историях. В ряде случаев мошенники, используя данные, похищенные у страховщиков, создавали сайты-клоны, применяемые для продажи недействительных полисов ОСАГО. В США в прошлом году преступниками была взломана система защиты одной из крупнейших страховых компаний, данные сотен тысяч клиентов оказались в открытом доступе.

Кроме того, не исключен риск заражения компьютерных систем компании различными вирусами, которые могут причинить существенный ущерб в виде:

• блокировки доступа к важным файлам;
• уничтожения файлов;
• передачи информации третьим лицам.

Не всегда установленный антивирус будет надежной защитой от спланированной атаки. Кроме внешней угрозы проникновения в компьютерные сети страховой компании существуют и внутренние. Отдельные сотрудники могут намеренно похищать коммерческую информацию с целью ее распространения или передачи конкурентам.

Меры и средства защиты информации

Стандарты защиты информации в России предусмотрены ГОСТами. Кроме того, информационная безопасность страховой компании должна обеспечиваться целым комплексом мер, среди которых:

• административные;
• организационные;
• технические.

Все они должны применяться совместно. Опираться система защиты должна на управление персоналом компании и контроль над ним. Меры технического характера не менее важны, но не могут существовать в отрыве от организационных мер.

Административные меры безопасности

Эти способы защиты включают в себя разработку внутренних нормативных документов, обеспечивающих информирование сотрудников о системе действий, необходимых для обеспечения информационной безопасности. Такие документы хранятся в открытом доступе, в страховой компании должно быть организовано ознакомление с ними персонала.

Служба безопасности страховой компании разрабатывает и предлагает на утверждение руководства политику защиты конфиденциальной информации. Этот локальный нормативный акт должен содержать:

• основные принципы защиты конфиденциальной информации в компании;
• обязанности каждого сотрудника в части защиты доверенных ему сведений;
• задачи руководства по обеспечению охраны информации;
• регламенты обращения с компьютерной техникой и средствами коммуникации;
• меры ответственности за нарушение положений документа.

Кроме того, приложением ко всем трудовым договорам должен стать перечень информации, носящей характер коммерческой, а в самих договорах должны быть предусмотрены меры ответственности за ее разглашение.

Организационные меры безопасности

В большей степени они направлены на устранение внутренней угрозы утечки информации и мотивацию сотрудников на соблюдение утвержденных регламентов. Эти меры предпринимаются службой безопасности во взаимодействии с сотрудниками служб управления персоналом.

В числе организационных мер обеспечения информационной безопасности можно назвать следующие:

• установление различных степеней допуска сотрудников к сведениям, содержащим коммерческую тайну;
• ограничение круга лиц, имеющих допуск к конфиденциальной информации страховой компании;
• организация порядка использования материальных носителей, установление контроля над копированием и сканированием документов, ограничение доступа сотрудников к внешней электронной почте;
• проведение периодических проверок соблюдения регламентов;
• привлечение специалистов для проведения тренингов по защите информации;
• проведение мероприятий по созданию режима коммерческой тайны;
• внесение в договоры компании с клиентами норм, касающихся обязательств соблюдения последними режима коммерческой тайны в отношении переданной им информации;
• привлечение к ответственности лиц, виновных в разглашении информации.

Иногда система работы с безопасностью информации требует создания в компании специального подразделения, в чьи функции будет входить только эта деятельность.

Также следует учитывать, что при проектировании большинства информационных систем уровень защиты от внешнего проникновения был значительно ниже, чем необходим в настоящее время. Среди организационных мер может быть и их аудит, который установит соответствие современным стандартам.

Существуют дополнительные меры организационного характера, позволяющие снизить потери от утечек информации. Уже несколько лет сами страховщики реализуют такой продукт, как страхование от угроз информационной безопасности. Он достаточно популярен. Применение этого способа защиты поможет минимизировать ущерб в случае расспрос транения коммерческой тайны.

Технические меры

Эта группа мер рассчитана на использование действенных технических средств защиты. Для ее реализации используются аппаратные, программные и криптографические средства.

Первые предполагают установку систем резервного копирования и защиту от несанкционированного проникновения, вторые отвечают за работу антивирусов и иных защитных программ, третьи обеспечивают шифрование всей хранимой и передаваемой по каналам связи информации. Наиболее часто для защиты информации применяются межсетевые экраны и системы обнаружения вторжений. Технические средства требуют постоянного обновления и модернизации, так как скорость устаревания программных продуктов очень высока. Сегодня предлагаются программы, которые обеспечивают комплексные меры по защите информации, это DLP-системы и SIEM-системы. Первые предотвращают утечку данных при их передаче по каналам электронной почты, с использованием мессенжеров или при передаче на принтер. Если программа зафиксирует преобразование информации в момент ее передачи, что может означать ее перехват, она прекращает ее направление на внешние каналы. SIEM-системы представляют из себя комплексные средства управления безопасности, они определяют все уязвимые места системы и предоставляют информацию обо всех возможных угрозах, выявляя паттерны, отличные от стандартного поведения самой системы и ее пользователей.

С каждым днем мошенники разрабатывают новые средства преодоления защитных барьеров, и степень опасности утраты ценных сведений растет, а вместе с ней и риск возможных финансовых потерь. Минимизировать риски можно, пройдя аудит своих систем защиты и получив рекомендации по их модернизации.

Комплексное применение современных технических средств в работе службы безопасности страховой компании может обеспечить высокий уровень защиты информации от утечек и несанкционированного доступа. Следует учитывать, что все предпринимаемые действия должны в полной мере соответствовать требованиям российского законодательства.

ПОПРОБУЙТЕ «СЁРЧИНФОРМ КИБ»!

Полнофункциональное ПО без ограничений по пользователям и функциональности.

Источник

Информационное страхование

Вы будете перенаправлены на Автор24

Понятие и сущность информационного страхования

Информационное страхование в настоящее время является популярной темой не только в России, но и во всем мире. Ежедневно многие компании теряют огромные суммы денег из-за преступлений в области информационных технологий, поэтому страхование играет очень важную роль в обеспечении экономической безопасности предприятий.

Для обеспечения защиты от информационных рисков компания может выбрать один из следующих вариантов: совершенствование системы защиты информации, имеющейся в компании, формирование специальных фондов денежных средств с целью минимизации последствий нанесенного ущерба (самострахование) или страхование.

При этом в первом случае компания не сможет уменьшить размер возможных убытков в случае реализации риска, а только частично снизит вероятность его наступления. В случае самострахования все убытки компании придется возмещать за свой счет. Поэтому наиболее выгодным для организаций является страхование информационных рисков, при котором убытки будут компенсированы не только за счет пострадавшей компании, но и за счет других страхователей.

Информационное страхование или страхование информационных рисков – это отношения, возникающие между страхователем и страховой компанией по защите от вероятных событий в информационной сфере, которые могут повлечь за собой удаление или искажение имеющейся информации, нарушение ее конфиденциальности или доступности.

Объектом информационного страхования может выступать:

• установленное или находящееся в разработке программное обеспечение (разработанное самой компанией или приобретенное);
• электронные данные (базы данных, различные библиотеки, архивы, электронная документация и т.д.);
• аппаратное обеспечение (сетевое оборудование, серверы, оборудование для телекоммуникаций и т.д.);
• финансовые активы в электронной форме (денежные средства, ценные бумаги, в том числе средства на счетах, управляемых через интернет-банк).

Условно все информационные риски можно разделить на две группы. К первой группе относится возмещение ущерба страхователя вследствие наступления страхового случая. Ко второй группе относится страхование ответственности организаций, которые занимаются деятельностью и оказывают услуги в сфере информационных технологий (поставщики ПО, интернет-провайдеры, программисты и т.д.).

Готовые работы на аналогичную тему

Страховые случаи в информационном страховании

Страховыми случаями при страховании информационных рисков могут быть:

• выход из строя или сбои в работе информационных систем по причине ошибок, допущенных при их проектировании, разработке, внедрении или эксплуатации (в том числе ошибок пользователей данных систем);
• действия сотрудников организации, которые умышленно причинили вред с целью получения определенной выгоды (чаще всего финансовой) или нанесения ущерба самой организации;
• совершение компьютерных атак на информационные системы предприятия с целью повреждения, хищения, уничтожения хранящейся в электронном виде информации, получения секретных (конфиденциальных) сведений, а также попытки вывода из строя программных и аппаратных средств;
• действия вредоносных программ (вирусов, троянский коней, червей и т.д.), которые являются самыми распространенными информационными угрозами, способными нанести предприятию огромные убытки;
• хищение денежных средств или ценных бумаг, хранящихся в электронной форме, третьими лицами (злоумышленниками), которое может осуществляться разными способами: кражей паролей или ключей доступа, изменением кода используемого программного обеспечения, отправкой фальшивого финансового поручения и т.п.

Отдельные страховые компании страхуют от таких рисков, как убытки, понесенные страхователем из-за неполадок в работе информационных систем, а также возместить дополнительные расходы, которые могут быть связаны с поддержанием стабильности деятельности предприятия во время проведения восстановительных работ, оплатой этих работ по восстановлению работоспособности системы и расходов, связанных с восстановлением деловой репутации, пострадавшей в результате наступления страхового события.

К убыткам, которые несет страхователь в результате вынужденного приостановления своей деятельности, можно отнести упущенную выгоду вследствие длительной неработоспособности информационных систем, а также расходы, идущие на поддержание инфраструктуры организации в этот период.

Страховые компании не возмещают убытки, которые возникли по причине неработоспособности программного обеспечения, не прошедшего тестирование или не пригодного для осуществления текущей деятельности страхователем.

Основными параметрами, влияющими на размер страховой премии, являются стоимость застрахованных ресурсов, используемые на предприятии средства информационной защиты, а также статистика по данным видам рисков.

Процесс информационного страхования

Процесс страхования информационных рисков состоит из следующих основных этапов:

1. Осуществление предварительного обследования организации и оценки возможных рисков для информационных систем и ресурсов.
2. Выполнение организацией рекомендаций по уменьшению вероятности реализации страховых рисков, полученных от страховой компании.
3. Согласование сторонами условий страхования и подписание договора.
4. При наступлении страхового события проведение оценки ущерба и расчет размера страхового возмещения.
5. Осуществление выплаты страхового возмещения.

Первый этап имеет много общего с проведением внешней аудиторской проверки и может осуществляться специализированными компаниями. По итогам данной проверки страховой компании выдается заключение о текущем состоянии информационной безопасности в организации, а также рекомендации по повышению уровня защиты информационных систем и снижению вероятности возникновения рисков.

После обследования страхования компания принимает решение о возможности заключения страхового договора с предприятием.

Если предприятие отказывается проводить мероприятия по снижению рисков, что связано с дополнительными расходами, то страховая компания отказывает в заключении договора, т.к. вероятность наступления страхового случая остается высокой.

Если предприятие согласилось на принятие защитных мер, то после выполнения рекомендаций по уменьшению рисков страховщик определяет одно из наиболее важных условий договора – стоимость страхования, на которую могут влиять различные факторы. Основными из них являются анализ данных статистики по схожим предприятиям, уровень защиты информационных систем, размер страховой суммы.

Если при реализации страхового риска информационные ресурсы подверглись полному уничтожению, то страховая компания производит выплату страхового возмещения в полном объеме (в пределах страховой суммы). Если же имело место частичное повреждение, то страховщику предстоит провести оценку утраченных ресурсов и определить размер ущерба. В данном случае возможно привлечение независимых экспертов.

Перед осуществлением страховой выплаты страховая компания должна будет проверить, что страхователем были приняты все меры безопасности по сохранению информационных ресурсов. Чаще всего выплаты производятся не единовременным платежом, а делятся на части и выплачиваются в течение срока действия договора.

Источник