Létezik-e a vállalati kiberbiztosítás, és ha nem, hol lehet megkötni?

Hogyan védekezhet egy vállalat financiális kockázatkezeléssel a kibertámadások robbanásszerű növekedése mellett? Az incidensekről hallgat a piac, ha nagy a baj, csak a pletykahíradóból tudni, hogy ki ment csődbe egy-egy ilyen támadás következményeképpen. Hol vannak a biztosítók a piacról, akik csökkenthetnék a károkat és átvállalhatnák a kockázatot? Nagyné Agárdi Györgyi, az Allianz Hungária Biztosító elmúlt hetekben nyugdíjba vonult informatikai vezetője és Stecher Tamás kiberbiztonsági szakértő segítenek a válaszok megtalálásában.

Védőháló nélkül

A kiberbiztosítás hazai piaca a felületes szemlélő számára olyan kompakt, zárt, világnak is tűnhet, mint azok a nagy üveggömbök, amelyekbe néhány növényt ültetnek, majd légmentesen lezárják ötven évre, a világon semmit sem kell velük csinálni, néha esik bennük az eső, folyamatosan nőnek a növények, ha van is változás, az nagyon lassú. Érdekes, de nem túl izgalmas világ.

Szunnyadnak a lehetőségek a kiberbiztosítási piacon

Stecher Tamás több mint tíz éve foglalkozik a kiberbiztonság különböző területeivel, legyen az infrastruktúra építés, stratégia kialakítása a nagyvállalati ügyfeleknél, vagy éppen kiberbiztonsági szolgáltatások kialakítása. A fentiekről pedig egészen másképpen vélekedik: „Valójában nagyon izgalmasnak látom ezt a piacot, sőt, napról napra egyre inkább annak, egyszerűen azért, mert a kiber-kitettség, a különböző incidensek száma folyamatosan nő. A kritikus infrastruktúrákban, az ipari szereplőknél, a termelésben a maguk OT-security lemaradásával együtt – ebben különösen érintett a kkv-tól a vállalati szektorig mindenki – folyamatosan nőnek az incidensszámok, ami növekvő költségeket jelent, és ezeket a költségeket bizony nagymértékben lehetne csökkenteni a kiberbiztosítással. A kiberbiztonságnak, a kiberbiztosításnak nagy, évtizedes hagyománya van már az USA-ban, maga az ötlet is onnan indult, és Nyugat-Európában is szépen terjed”, vázolta véleményét a kibervédelmi szakember az ITBUSINESS számára.

Nagyné Agárdi Györgyi szerint a nemzetközi trendekben erősen jelen vannak a kiberbiztosítások. Igaz, hogy jellemzően széles körben nem ismertek még, de sok vállalatnak van már ilyen biztosítása a nemzetközi piacon. A kiberbiztosítások területén mindig az adott biztosítótól függ, hogy milyen szegmensnek kínálják ezeket a biztosításokat. A termék fő rendeltetése, hogy ha valakit kibertámadás ér, az abból való „felállás”, illetve a visszaállítás költségeit a biztosító átvállalja.

Egy 2022-es felmérés adatai szerint kibertámadás esetén körülbelül félmilliárd forintjába kerül egy nagyobb vállalatnak a helyreállás, melyben már teljes egészében benne van az adatvisszaállítás költsége is. A kiberbiztosításról azt is érdemes tudni – és ez nagyon fontos – hogy minden vállalat proaktívan törekszik rá, hogy a kibertámadásokat megelőzve kezelje a kiberkockázatokat, azonban nagyon kevesen kalkulálnak azzal, hogy biztosítást is kössenek, ez Magyarországon sem elterjedt, nemzetközi vonalon viszont egyre inkább az. Ha mégis mindenféle megelőzés ellenére kibertámadás ér egy vállalatot, akkor a kiberbiztosítás az úgynevezett maradványkockázatokat csökkentheti, illetve a helyreállítási költségeket is lefedheti.

Létező és látens biztosítások

„Nagyon fontos, hogy kétféle biztosítás van”, mondta Stecher Tamás. Az egyik a vagyoni kockázati biztosítás, amely ténylegesen az incidenseket tartalmazza: támadások, szoftver-meghibásodások, infrastruktúra-meghibásodások, adatvesztés, adatszivárgás. Amikor károk keletkeznek, ez a biztosítás fedezheti őket.

A másik a felelősségbiztosítások köre. Ez is izgalmas lehetne, ha létezne. „Létezhetne GDPR-felelősségbiztosítás, és feltételezem, hogy jöhetne a NIS2 felelősségbiztosítás is. Ha például bejelentés történik, és büntetést is kirónak, akkor ez lehetne az biztosítás, ami fedezi azt, vagy hozzájárul ahhoz”, mondta a szakértő. A Magyarországon tapasztalható lemaradást ezen a területen minden szektor megszenvedi, legyen az akár az infrastruktúra, akár a szolgáltatások, a felhőszolgáltatások piaca, vagy bármely egyéb terület. „Nálunk általában van egy lépéseltolódás, akár néhány éves lemaradás, és én abban látom a problémát, hogy a biztosítóknak nincs megfelelő kibervédelmi tudása. Nem ismerik a kiberkockázatokat, a kockázati kitettséget, ezért nem képesek kialakítani megfelelő terméket. Nem tudják, hogy a felelősségbiztosítást hogyan árazzák, milyen feltételek kellenek hozzá, ezért nem léptek még a piacra, de mivel Nyugat-Európában ilyen termékek már léteznek, ezek előbb-utóbb megjelennek majd Magyarországon is”, jósolta Stecher Tamás.

Jó védelem = olcsóbb kiberbiztosítás

Az Allianz biztosító korábbi informatikai vezetője szerint a kiberbiztosítás viszonylag új történet, és az a probléma nemzetközi szinten is tapasztalható, hogy ma még nagyon drága. Minden vállalatnak mérlegelni kell a maradványkockázatot, és el kell dönteni, miféle kiberbiztonsági intézkedéseket tesznek. Nincsen százszázalékos biztonság, mindig van maradványkockázat, és mérlegelni kell, hogy ennek a megszüntetése mennyit ér.

Ez épp úgy működik, mintha sima lakásbiztosítást kötnénk: fontos, hogy mennyire védett a ház, van-e riasztó, van-e törhetetlen üveg, mert ha van, akkor kevesebbe kerül a biztosításunk, ráadásul minél jobban védjük a környezetünket, annál kevesebbe. Ez igaz a kiberbiztosításra is, tehát nemzetközi szinten is azok a vállalatok tudnak olcsóbb kiberbiztosítást kötni, amelyek jó védelmi és proaktív megoldásokkal rendelkeznek.

Azt is érdemes számításba venni, hogy ezek a proaktív megoldások sem olcsók, sőt, és a jó proaktív megoldásokat igazából egy kkv nem is nagyon tudja megfizetni, számukra maradnak a felhőszolgáltatásokba épített védelmi vonalak. Általában a multinacionális cégek azok, melyek képesek sokat költeni a biztonságra, és ők oda is figyelnek rá, ezért tudnak olcsóbb biztosítást is kötni.

Hiányzik az együttműködés

A kibertudatosság nagyon le van maradva Magyarországon, és a kiberbiztosítás a kkv-k körében nem is jellemző, inkább a nemzetközi nagyvállalatok kötik meg külföldön. Sajnos, Magyarországon nincs igazi együttműködés. „A biztosító nem képes megfelelő biztosítási csomagot vagy ajánlatot vagy terméket kialakítani úgy, hogy nincs valós szakértelme”, vélekedett Stecher Tamás, majd ő is egy lakásbiztosításban talált rá a példára: ha lakásbiztosítást akarunk kötni, amely kitér mondjuk a betöréses károkra, a biztosító akkor fog fizetni, ha be tudjuk bizonyítani, hogy az ajtónk be volt zárva.

Ha a biztosító kiberbiztosítási terméket akar létrehozni, akkor követelményeket kell megfogalmaznia az ügyfele felé, hogy rendelkezzen a megfelelő kiberbiztonsági megoldásokkal, vagyis legyen bizonyos szintű érettsége. „Én itt különböző elváráscsomagokat is el tudok képzelni, az alapszintű csomagban például lehetne vírusirtó-, tűzfal-, és más alapmegoldás-követelmények. Innen lehetne építkezni fölfelé a nagyobb csomagok felé, azok eléréséhez már logelemzés, SOC-szolgáltatás, bármilyen fejlett infrastruktúravédelem, mesterségesintelligencia-alapú védelmek is kellhetnének. Persze ezektől függhetne az is, hogy milyen szintű káreseményre lesz képes az ügyfél biztosítani magát, ami azt is meghatározná, hogy mennyi pénzt láthatna viszont egy incidens után”, mondta a szakértő.

Jövőképek és külföldi lehetőségek

„Szerintem a további években sem lineárisan fejlődik majd a piac, inkább progresszív fejlődést láthatunk, mert egyre inkább rájönnek a cégek a digitalizáció és a digitális globalizáció kapcsán, hogy milyen fontos megvédeni az ügyfelek adatait. Nem szabad ezt összetéveszteni bármivel, ami Magyarországon ma megköthető, mert Magyarországon ez a biztosítás igazából nem létezik. Van hasonló termék, de az elsősorban lakossági célra szolgál, és ott is van, amely csak a kártyalopás ellen vagy kártyás visszaélés ellen biztosít, vagyis a lakosságot érő hackertámadások okozta kárt fedezi”, ismertette Nagyné Agárdi Györgyi.

Van olyan biztosító, amely csak a perköltségeket állja, de ez még mindig kifejezetten a lakossági szegmens, a vállalati kiberbiztosítás teljesen más történet. Utóbbi esetében nagy tömegű adatról, nagy értékekről van szó, ezért teljesen más védelmi rendszereket kell kiépíteni.

A külföldön köthető vállalati kiberbiztosítások esetében is biztosítás- és pénzfüggő, hogy mit fedez egy ilyen biztosítás. Az árazás például pontosan attól nehéz, mert a közvetlen helyreállítási költségek után közvetett károkkal is számolni kell, leállhat a termelés, ami elég komplex esemény, és drágák a következményei. A kiberbiztosítások ára akkor mehet majd lejjebb, ha mindenki nagyon sokat költ a kiberbiztonságra, hiszen ebben az esetben a maradványkockázatok csökkennek, és a megfelelő védelemmel megelőzhető a termelés leállása is. „Ma szerintem minden vállalatot érnek súlyos kibertámadások, gyakorlatilag az a kérdés, hogy milyen mértékig vállalja ennek kockázatait egy biztosító, hogy fedezze az okozott károkat”, vélte a (lapzártakor már nyugdíjas) informatikai vezető.

A kiberincidenseknek nincs történelme

Ha nem kibertámadás miatt következik be a termelést érintő káresemény egy gyárban – például árvíz, vagy bármiféle természeti katasztrófa következtében – arra már létezik biztosítási piac. A nagy különbség az, hogy ezek olyan események melyek bekövetkezése elég jól valószínűsíthető, és ezek mind elég jól mérhetők: kézzelfoghatók, és hosszú ideje van róluk információ, adat, hiszen a biztosítási piac épp ezek kivédésére jött létre. A régóta létező kockázati elemek jól be vannak árazva.

A fő különbség egy kiberbiztonsági incidens és ezek között az adatok meglétében vagy hiányában van, hívta fel rá a figyelmet az Allianz volt informatikai vezetője. A területre ráadásul nemrég megérkezett a mesterséges intelligencia is, ezáltal pedig még pontosabban lehet ezeket a kockázatokat mérni.

A kiberbiztonsággal az a gond, hogy még nincsenek historikus adataink, ezért a kockázat mértékének a felmérése sokkal, de sokkal nehezebb. A biztosítási piac az 1800-as évek közepén jelent meg, és onnantól kezdve minden vállalat gyűjtötte az adatokat. A magyar vállalatoknál is hatalmas adatbázisok vannak. De a kiberfenyegetésekre még nincsenek adataink. Lehet, hogy húsz év múlva már mindent pontosan be tudunk majd árazni, de jelenleg erre nem vagyunk képesek. Ez nem olyan, mint az aszály, amelyről lehet tudni, hogy mi az, és hogy körülbelül mikor jöhet, és persze vannak mezőgazdasági előrejelzések is.