به گزارش برداشت روز، فروشگاه برخط با فروش متوسط ماهانه یک میلیارد تومان، سالانه حدود ۱۲ میلیارد تومان گردش فروش دارد لکن قسمت اعظم کسبوکار مذکور در داراییهایی قرار گرفته که دیده نمیشوندکه می توان به سامانه فروش، حسابهای مدیریتی، اطلاعات مشتریان، درگاه پرداخت و زیرساختهای دیجیتال اشاره کرد. نفوذ به داراییهای فوق میتواند در چند ساعت فروشگاه را متوقف یا اطلاعات مشتریان را افشا و به انتقال غیرمجاز وجوه منجر شود. لذا بیمه سایبری کسبوکار فوق باید بر اساس ریسک واقعی و میزان آمادگی امنیتی طراحی شود و فقط به حجم فروش ارتباطی ندارد.
بیمه نامه سایبری برای فروشگاهی که ذکر شد، میتواند با ظرفیت تعهد سه میلیارد تومان طراحی شود. ظرفیت فوق الذکر میتواند شامل ۵۰۰ میلیون تومان هزینه بازیابی سامانه و اطلاعات، ۷۵۰ میلیون تومان وقفه فعالیت و کاهش درآمد، ۳۰۰ میلیون تومان سرقت سایبری وجوه، ۵۰۰ میلیون تومان مسوولیت ناشی از افشای اطلاعات مشتریان، ۳۰۰ میلیون تومان باجافزار و اخاذی سایبری، ۳۰۰ میلیون تومان هزینههای حقوقی و مبالغی برای مدیریت حادثه، کارشناسی و پاسخ فنی باشد. باید بین خسارت مستقیم، هزینه بازیابی و زیان ناشی از توقف فعالیت تفکیک شود. به عنوان نمونه اگر فروشگاه سه روز از دسترس خارج شود، فروش بالقوه از دسترفته حدود ۱۰۰ میلیون تومان است لکن خسارت قابل پرداخت باید بر مبنای سود ناخالص، هزینههای صرفهجوییشده و سایر معیارهای قراردادی محاسبه شود.
آنچه به نظر می رسد سرقت سایبری وجوه از پوششهای مهم بیمه نامه به شمار می آید با این شرط که کنترلهای مشخص مشتمل بر احراز هویت چندمرحلهای، محدودیت دسترسی و تأیید تراکنشهای حساس برقرار باشد. همچنین اگر منشأ حادثه بانک، شرکت پرداخت، شرکت میزبان یا ارائهدهنده خدمات ابری باشد، حدود مسوولیت باید از ابتدا روشن شود و در صورت نیاز، پوشش جداگانهای برای اختلال خدمات اشخاص ثالث تعریف شود.
از طرفی همچون تمامی بیمه نامه ها که با استثنائاتی همراه اند، خسارت ناشی از جنگ و عملیات نظامی سایبری، اقدام عمدی یا تبانی بیمهگذار، فعالیت مجرمانه، خسارتهای پیش از شروع بیمهنامه، حوادثی که بیمهگذار از آنها اطلاع داشته و اعلام نکرده، خرابی عادی تجهیزات و نقص فنی فاقد منشأ سایبری میتواند حسب مورد از تعهد بیمه گر خارج شوند.
باید تاکید کرد که مهمترین بخش محصول، چکلیست امنیتی پیش از صدور است. بیمهگر باید فعال بودن احراز هویت چندمرحلهای برای حسابهای مدیریتی، رمزهای قوی، حساب کاربری اختصاصی کارکنان، حذف دسترسی کارکنان سابق، بهروزرسانی نرمافزارها، محدودیت دسترسی به اطلاعات حساس، رمزگذاری اطلاعات، پشتیبانگیری منظم و قابل بازیابی، امنیت پرداخت، ثبت وقایع ورود و فعالیتهای مدیریتی، آموزش کارکنان درباره فیشینگ و وجود برنامه واکنش به حادثه را ارزیابی کند. چک لیست مذکوز میتواند به امتیاز ریسک ۱۰۰ نمرهای تبدیل شود. امتیاز ۸۰ تا ۱۰۰، ریسک پایین؛ ۶۰ تا ۷۹، ریسک متوسط؛ ۴۰ تا ۵۹، ریسک بالا و امتیاز کمتر از ۴۰، نیازمند اصلاحات امنیتی پیش از صدور باشد. کنترل احراز هویت چندمرحلهای، پشتیبانگیری قابل بازیابی و بهروزرسانی نرمافزارهای اصلی و مدیریت دسترسیها نیز باید شرط پایه صدور باشند. نویسنده برای نرخگذاری رابطهای ساده ذیل را پیشنهاد می نماید:
حقبیمه = سرمایه بیمهشده × نرخ پایه × ضریب ریسک سایبری
با سرمایه سه میلیارد تومان و نرخ پایه یک درصد، حقبیمه پایه ۳۰ میلیون تومان خواهد بود و بر اساس کیفیت کنترلهای امنیتی میتواند کاهش یا افزایش یابد. برای محصول آزمایشی، بازه حدود ۲۲٫۵ تا ۴۵ میلیون تومان یکساله قابل بررسی است لکن نرخ نهایی باید با دادههای خسارت و تجربه واقعی بازار اعتبارسنجی شود. از سوی دیگر باید گفت فرانشیز هم باید لحاظ شود تا رفتار بیمهگذار را در مدیریت ریسک اصلاح کند که می توان به ۱۰ درصد هر خسارت مالی با حداقل مبلغ مشخص و دوره انتظار ۱۲ تا ۲۴ ساعت برای وقفه فعالیت اشاره نمود.
بیمه سایبری موفق مطابق با تجارب شاخص بین المللی بیمهنامهای نیست که کل خسارات را بدون قید و شرط بپذیرد. محصول مناسب، ریسک را پیش از صدور اندازهگیری کرده، کنترلهای امنیتی را به نرخ و فرانشیز پیوند داده و در زمان حادثه هزینه مالی و عملیاتی بازگشت کسبوکار را جبران میکند. برای بازار نیز میتوان همین محصول را در سه سطح اقتصادی، استاندارد و حرفهای با ظرفیتهای مختلف عرضه کرد. شایان توجه است که در اقتصاد دیجیتال، موجودی فروشگاه علاوه بر انبار، اطلاعات، سامانه فروش، حسابهای مدیریتی و استمرار فعالیت نیز دارایی اقتصادی بوده و باید برای ریسک آنها حق بیمه تعیین شود.
