شرکت‌های فناوری در برابر ریسک‌های سایبری تنها مانده‌اند

به گزارش پیوست، حمید بابادی‌نیا، مدیرعامل گیلاس کامپیوتر، در پنل «شبکه‌های تاب‌آور؛ نقش بیمه در پایداری شبکه و زیرساخت» گفت: در پروژه‌های تخصصی و های‌تک فناوری اطلاعات، ابزار مشخصی برای انتقال ریسک به صنعت بیمه وجود ندارد و بخش عمده ریسک این پروژه‌ها بر عهده پیمانکاران و شرکت‌های خصوصی باقی می‌ماند.

او توضیح داد: ریسک‌هایی مانند تصادف یا آتش‌سوزی به‌طور معمول به شرکت‌های بیمه منتقل می‌شوند، اما در پروژه‌های فناوری اطلاعات و به‌ویژه امنیت سایبری، شرکت‌های خصوصی ناچارند بخش بزرگی از مخاطرات را خودشان بپذیرند. به گفته او، موقعیت ژئوپولیتیکی ایران و افزایش مخاطرات امنیتی، ضرورت طراحی پوشش‌های تخصصی بیمه در حوزه ICT را بیشتر کرده است.

بابادی‌نیا گفت: کمیسیون شبکه سازمان نظام صنفی رایانه‌ای استان تهران برای نزدیک کردن کارشناسان صنعت بیمه و متخصصان فناوری اطلاعات، نشست‌هایی را با بازیگران این دو حوزه و بیمه مرکزی آغاز کرده است. هدف این گفت‌وگوها، طراحی سازوکاری برای پوشش ریسک پروژه‌های فناوری و امنیت سایبری است.

بیمه، ابزار انتقال ریسک سایبری

علیرضا صالحی، قائم‌مقام کانون هماهنگی افتا، بیمه سایبری را مرتبط با پایداری شبکه و تاب‌آوری زیرساخت دانست و گفت: اگر بیمه به‌عنوان ابزار کنترل و انتقال ریسک به کار گرفته شود، می‌تواند شبکه‌ها را در برابر خسارت‌های ناشی از رخدادهای سایبری پایدارتر کند.

به گفته او، بیمه سایبری کمتر از یک سال است که در اکوسیستم فناوری ایران برجسته شده، اما در سطح رگولاتوری و نهادهای حاکمیتی سابقه بیشتری دارد. صالحی با اشاره به تعدد بازیگران این حوزه گفت طراحی چنین بیمه‌نامه‌ای بدون مشارکت بیمه مرکزی، شرکت‌های بیمه، تنظیم‌گران، شرکت‌های فناوری و نهادهای حاکمیتی ممکن نیست.

بیتا کیامهر، مدیر توسعه صنعت افتا در سازمان فناوری اطلاعات ایران، نیز گفت: ضرورت راه‌اندازی بیمه سایبری در سطح حاکمیت مورد توجه قرار گرفته است. به گفته او، سازمان‌ها پس از شناسایی ریسک می‌توانند آن را حذف کنند، بپذیرند یا انتقال دهند و بیمه سایبری یکی از ابزارهای انتقال بخشی از این ریسک است.

او از تدوین دستورالعمل‌ها و آئین‌نامه‌های بیمه سایبری و برنامه‌ریزی برای اجرای آزمایشی آن خبر داد و گفت: اجرای پایلوت می‌تواند ضعف‌های اسناد بالادستی را آشکار کند و پیش از اجرای فراگیر، زمینه اصلاح آنها را فراهم آورد.

داده را چگونه باید ارزش‌گذاری کرد؟

مدیر توسعه صنعت افتا در سازمان فناوری اطلاعات، ارزش‌گذاری اطلاعات را یکی از پیچیدگی‌های اصلی بیمه سایبری دانست. به گفته او، شرکت بیمه می‌تواند ارزش یک خودرو یا ساختمان را مشخص کند، اما تعیین ارزش دارایی‌های نامشهودی مانند داده و اطلاعات به بررسی‌های تخصصی‌تری نیاز دارد.

مریم انوری، پژوهشگر صنعت بیمه، نیز گفت: بیمه زمانی رونق می‌گیرد که کسب‌وکارها مطالبه مشخصی برای پوشش یک ریسک داشته باشند. به گفته او، شرکت‌های بیمه در ایران معمولاً برای ورود به بازارهای جدید پیش‌قدم نمی‌شوند و شناسایی فرصت‌هایی مانند بیمه سایبری به مطالبه‌گری و همکاری صاحبان کسب‌وکار نیاز دارد.

او با مقایسه بازار بیمه سایبری با حوزه ساخت‌وساز توضیح داد: تقاضای مهندسان و سرمایه‌گذاران در این بازار به شکل‌گیری انواع پوشش‌های مسئولیت و خسارت منجر شده، اما در حوزه سایبری چنین تقاضای سازمان‌یافته‌ای دیرتر شکل گرفته است.

انوری از شرکت‌های فناوری و نهادهای صنفی خواست اطلاعات مربوط به دارایی‌ها، خسارت‌های محتمل و رخدادهای امنیتی را در اختیار صنعت بیمه قرار دهند. به گفته او، تعیین حق بیمه به داده‌هایی درباره میزان خسارت، فراوانی رخدادها و نوع ریسک در بازه‌های زمانی مشخص نیاز دارد. در غیر این صورت، ممکن است نرخ بیمه چنان بالا تعیین شود که خرید آن برای کسب‌وکارها صرفه اقتصادی نداشته باشد.

ارزیابی خسارت به دانش فنی نیاز دارد

بابادی‌نیا در ادامه پنل تأکید کرد: کارشناسان فناوری اطلاعات باید در کنار کارشناسان بیمه، خسارت‌های سایبری را ارزیابی کنند. صنعت بیمه در ارزیابی خسارت‌های فیزیکی مانند خودرو تجربه و داده کافی دارد، اما بدون دانش تخصصی نمی‌تواند ارزش داده‌های از دست‌رفته، تجهیزات شبکه آسیب‌دیده یا تبعات یک رخداد امنیتی را به‌درستی برآورد کند.

او گفت: بخش خصوصی انتظار دارد نهادهای حاکمیتی، از جمله مرکز ملی فضای مجازی و بیمه مرکزی، برای ایجاد این پوشش وارد عمل شوند. شرکت‌هایی که اجرای پروژه‌های زیرساختی، مراکز داده و خدمات امنیتی را بر عهده می‌گیرند، نباید در برابر ریسک‌هایی مانند اختلال تجهیزات، از دست رفتن داده یا حمله سایبری تنها بمانند.

صالحی نیز با اشاره به گسترش فعالیت اپراتورهای امنیت سایبری گفت: این شرکت‌ها ممکن است ریسک یک سازمان بزرگ یا بانک را بپذیرند و مسئول جلوگیری از هک، نشت داده یا اختلال سرویس شوند. پذیرش چنین مسئولیتی بدون وجود ابزاری برای انتقال بخشی از ریسک، برای شرکت‌های فناوری دشوار خواهد بود.

سخنرانان این پنل در پایان، اجرای پایلوت، استفاده از تجربه کشورهای دارای بازار مشابه، جمع‌آوری داده‌های خسارت و تدوین قواعد مشترک میان رگولاتورها، صنعت بیمه و فعالان فناوری را گام‌های اولیه راه‌اندازی بیمه سایبری دانستند. از دید آنها، بیمه‌نامه سایبری باید هم برای بیمه‌گر قابل ارزیابی باشد و هم پوششی مؤثر و قابل خرید برای شرکت‌های فناوری فراهم کند.