Virtuális adat valódi biztosítással

Amerikában és Nyugat-Európában a virtuális vagyontárgyak, azaz az adat formában képződő értékek elvesztését is védi a legtöbb vagyonbiztosítás. A piac fejlődését jelzi, hogy egyre több ügyfél fordul biztosítójához itthon is, ha elvesznek fontos információi, hiszen az adat-visszaállítás költséges és nem tervezett kiadás a cégek életében.

Egy átlagos nagyvállalatnál idén mintegy 100 ezer terabájt adat kerül be a tárolókba, s ez a mennyiség jövőre várhatóan 67 százalékkal nő. Az üzleti információk összessége jelenleg világszerte eléri a 2,2 zettabájtot (egy zettabájt = ezermilliárd gigabájt).

Az adatérték védelmével foglalkozó Symantec egyik felmérése kimutatta, hogy a digitális információk a szervezetek összértékének csaknem a felét teszik ki. Ezek az információk nem csak a versenyképességük és hatékonyságuk növeléséhez elengedhetetlenek, de üzleti létüknek is az alapjait képezik. Ezért egy cégnek óriási felelőssége az információ megfelelő védelme. Számottevő versenyelőnyt szerezhetnek azok a vállalatok, amelyek hatékonyan tudják felhasználni információikat. Az információ értéke növekszik, ahogyan a költsége is – nem csoda hát, ha a szervezetek világszerte évi 1100 milliárd dollárt költenek adataik megfelelő kezelésére és védelmére. Egy átlagos nagyvállalat 38 millió, a (nyugati értelemben vett) kis- és közepes vállalatok pedig átlag 332 ezer dollárt szánnak védelemre.

Üzleti katasztrófa

Akár katasztrófához is vezethet az üzleti információk elvesztése. A Symantec-tanulmány szerint az adatvesztés legsúlyosabb üzleti hatásai sorrendben az ügyfelek elvesztése, a márka és hírnév sérülése, a bevételek csökkenése, a megnövekedett költségek és a zuhanó tőzsdei árak lehetnek.

Mivel sok forog kockán, az információvédelemnek kiemelten fontosnak kell lennie, ám a szervezetek még mindig nehézségekkel küzdenek ezen a téren. Az elmúlt évben a vállalatok csaknem 70 százaléka vesztett el valamilyen üzleti információt különböző okok miatt, mint például emberi hiba, hardverhiba, behatolás, elveszett vagy ellopott eszközök vagy bizalmas információk kiszivárgása következtében.

Mindezen kockázatok és hiányosságok miatt a szervezetek a szükségesnél többet költenek az információ tárolására és védelmére. A fő probléma a vállalatok 30 százaléka szerint az adatok növekvő mennyisége – az információ elsöprő erejű terjeszkedése, amely szervezetlen, nehezen hozzáférhető és gyakran máshol duplikált.

Adatvesztést nemcsak az adathordozók fizikai károsodása, hanem hekkertámadás is okozhat. S bár a hírek leginkább a nagyobb vállalatok ellen elkövetett kibertámadásokról számolnak be, a legnagyobb veszélynek mégis inkább a kisebb cégek vannak kitéve, hiszen jellemzően kevesebbet képesek költeni rendszereik biztonságának garantálására, így jóval könnyebb támadási felületet jelentenek az egyre szofisztikáltabb behatolóknak. Az összes efféle támadás 36 százaléka világszerte a kis- és közepes méretű vállalatok ellen irányul.

Ennek ellenére számos cég a mai napig nem méri fel a kockázati tényezőket, illetve nem tesz megelőző intézkedéseket.

Az első ötben

Pedig az internetről érkező támadásokkal kapcsolatos aggodalmak olyan fontosak, hogy a kiberbiztonság a világ öt legnagyobb kockázata közé tartozik olyan súlyos kérdések társaságában, mint a demográfiai robbanás és a tömegpusztító fegyverek terjedése – derül ki a Világgazdasági Fórum (World Economic Forum, WEF) Global Risk Report 2011 című jelentéséből. Azonban annak ellenére, hogy mind a politikusok, mind a piac sürgeti a kiberbiztonsággal kapcsolatos adatok gyűjtését, még egyáltalán nem telített az adatbiztosítási piac, sőt, bizonytalanság uralkodik rajta.

A hagyományos alapbiztosítási kötvényeket kínáló biztosítók ugyanis még nem jutottak el oda, hogy átfogóan, esetleg különállóan tekintsék át mindazokat a kockázatokat, amelyekkel egy vállalatnak, szervezetnek szembe kell néznie a digitális gazdaságban – mutat rá az Európai Hálózat- és Információbiztonsági Ügynökség (European Network and Information Security Agency, ENISA) egyik friss tanulmánya. A fejlett biztosítási piaccal rendelkező Nagy-Britanniában csak maroknyi biztosító ajánlata tartalmaz speciális kiberbiztosítási terméket, de az Egyesült Államokban sem sokkal fejlettebb a piac, ahol 30–40 társaság foglalkozik ilyesmivel. Természetesen érthető a hezitálás, hiszen egy virtuális térben keletkező incidens helye, súlyossága és láthatósága nem fedezhető fel első pillanatra.

Egy átfogó, minden incidensre kiterjedő adatbiztosítási piac kialakulását az elegendő mennyiségű és megbízható kockázatelemzési adat hiánya is gátolja, emiatt bizonytalan a kockázatok kiterjedtségének és a potenciális veszteségek nagyságának meghatározása. Az sem egészen világos, milyen kockázatot is kellene biztosítani. Ide tartoznak-e például a kiberbűnözők vagy kiberterroristák jövőben esetlegesen bekövetkező támadásai?

Nehezíti a helyzetet az is, hogy a technológia állandó fejlődése következtében folyamatosan változik a kockázatok és fenyegetések intenzitása is, így egy kockázatelemzőnek elég nehéz megjósolnia a jövendő kárt a múltbeli eseményekből. Nem beszélve arról a dilemmáról, hogy hol kell(ene) meghúzni ezeknek a veszteségeknek a felső határát? Az a felfogás is hátráltatja a speciális módozatok kialakulását, hogy a hagyományos biztosítási termékek elegendők a kiberkockázatok fedezésére.

Morálisan

Biztosítói szempontból nem szabad megfeledkezni a morális kockázatról sem, azaz arról, hogy ha egy vállalat kifizet egy csomó pénzt adatbiztosításra, utána már nem törődik a tényleges biztonsággal, azaz nem tesz meg mindent az információbiztonsági kockázatok csökkentésére.

Ilyen körülmények között arról már végképp nem érdemes beszélni, hogy nem vagy csak elvétve köthető viszontbiztosítás adatbiztosítási ügyekben a biztosítók veszteségeinek enyhítésére. A viszontbiztosítás hiánya pedig gátlóan befolyásolja a keresleti oldalt is: bármely, digitális vagyonát féltő szervezet ugyanis joggal gondolhatja, hogy egy nagyszabású kibertámadás – de akár városméretű és tartós áramkimaradás – miatt tömegesen beadott kárigényt nem tudnak kielégíteni a biztosítok.

A kibertámadások pedig hatalmas károkat tudnak okozni, például az Egyesült Királyságban évente 27 milliárd fonttal rövidítik meg a gazdaságot. Ez már akkora összeg, hogy érdemes adatbiztosítást kötni az erre vállalkozó biztosítótársaságoknál. Bár egy ilyen kötvény megléte önmagában nem csökkenti a kibertámadás esélyét, de ha megfelelő kockázatkezelési gyakorlattal párosul, akkor adott esetben jelentősen mérséklődhet a kár. Szakértők szerint a cégeknek olyan iránymutatásokra van szükségük, amelyekkel megállapítható a vállalatok kockázati kitettsége. S ha egy cég teljes mértékben megismeri kockázatait és felkészülhet az esetleges veszélyekre, akkor akár a biztosításának díja is csökkenthető.

Magyarországon egyelőre négy biztosító kínál adatmentési biztosítást, de azok csak az adathordozó (pc és laptop merevlemeze, pendrive, valamint telefonok és fényképezőgépek memóriakártyája stb.) fizikai károsodása (tűz, víz, elektromos hiba stb.) miatt bekövetkezett adatvesztés helyreállításának költségeit fedezik. Ráadásul nem önálló termékként, hanem valamilyen alapbiztosítás kiegészítéseként kínálják. Az Aegon a lakossági lakásbiztosítás és a kisvállalati vagyonbiztosítás, az Allianz szintén a lakásbiztosítás, az Európai Utazási Biztosító (EUB) utasbiztosítás keretében ad lehetősséget digitális adathordozók biztosítására. (E három biztosító esetében a Kürt végzi az adat-visszaállítási munkát.) A Generalinál nagyvállalatok köthetnek adat-helyreállítási biztosítást.

Számít a méret

Szekeres Gábor, a Kürt adatmentési üzletágának vezetője szerint azért kell szétválasztani a kis- és a nagyvállalatokat, mert míg a kisvállalkozások vagyonbiztosítási körülményei hasonlítanak a lakosságiéhoz – azaz viszonylag könnyen körbehatárolhatók a kockázatok a fontos adathordozók csekély száma miatt –, addig a nagyvállalatoknál már bejön a sokkal nehezebben meghatározható másodlagos üzleti károk térítése is – ugyanakkor itt nem könnyű az adatvagyon felmérése. Normál adat-visszaállítás esetén egyébként általában 200 és 300 ezer forint közé esik a kártérítés mértéke.

A Generali Biztosítónál a számítástechnikai eszközökre és a rajtuk tárolt adatokra több módon lehet biztosítást kötni. Magát a hardvert – például számítógépet, okostelefont, de egy egész szervertermet is – az elektronikus berendezések és készülékek összkockázatú biztosításának keretében lehet biztosítani mindenfajta elemi kár, rongálás, emberi hanyagság stb. ellen. Az adathordozókat és a rajtuk levő adatokat viszont csak az alap gépbiztosítás megléte esetén lehet biztosítani kiegészítésként – magyarázza Rádóczi László, a Generali kiemelt gépbiztosítási szakértője. Azonban csak a külső, a felhasználó által rendeltetésszerűen cserélhető és már feldolgozott (archivált) információt tartalmazó adathordozók jöhetnek szóba (mágneses adathordozók, cd, dvd) az elveszett adatállomány helyreállítási költségeinek fedezése szempontjából, a gépbe beépített merevlemez, a nagyobb kockázat miatt már nem. A saját adatokon túlmenően a jogtiszta számítógépes programok is biztosíthatók. Például ha megsemmisül egy drága tervezőszoftver adathordozója, akkor a biztosító fedezi az újrabeszerzés költségeit.

Mindkét esetben a káreseménynek valamilyen dologi sérüléssel kell kapcsolatban lennie, vírus- vagy hekkertámadás következtében elveszett adatok ismételt előállítását nem fedezi sem a Generali, sem más biztosító Magyarországon. Az ilyen jellegű adatvesztés fedezését ugyanis a biztosítók rendkívül kockázatos dolognak tartják, mivel nincs sokéves tapasztalatuk a kockázat természetéről (ahogy például tűzkárokról van) s ennek nyomán beárazási technikájáról – hangsúlyozza Rádóczi László.

Többletköltség esetén

Arra is van mód, hogy egy cég, a számítógépes alapbiztosítás megléte esetén speciális kiegészítő biztosítással csökkentse egy káresemény miatti leállás következtében keletkező üzemszüneti veszteségeit (ide tartozik például a dolgozók állásidő alatti bére, a rezsi, a kieső nyereség, stb). Ez a többletköltség-biztosítás, amely nem tekinthető üzemszünet-biztosításnak, mivel az adatfeldolgozás nem áll le, hanem idegen berendezés igénybevételével folytatódik. A biztosító az idegen (bérelt) berendezés üzemeltetése során felmerülő többletköltségeket téríti addig, amíg a saját berendezés üzeme térítésköteles káresemény következtében részben vagy egészben szünetel.

Cserkuti Nándor, az Aegon vállalati vagyonbiztosítási üzletágának vezetője szerint cége a tűz, robbanás és villámcsapás okozta rongálódás következtében megsérült adathordozókra vállal fedezetet, vízkárra nem. Ugyanis eddig még nem érkezett bejelentés ilyen adathordozó-kárról. Ezért az Aegon nem is tervezi a fedezet bővítését.

Hekker- vagy vírustámadásokra, illetve másodlagos, úgynevezett következményi károkra, mint például elmaradt üzleti haszon, nem köthető biztosítás, mert ezek a társaság számára már a nem vállalható kockázatok közé tartoznak.

Mártonffy Attila