بیمه سایبری در ایران؛ از تأسیس شرکت تخصصی تا پوشش مسئولیت مدنی

از سال گذشته که وعده راه‌اندازی نخستین شرکت تخصصی بیمه سایبری در کشور مطرح شد، این حوزه با عرضه بیمه‌نامه مسئولیت مدنی امنیت سایبری از سوی یکی از شرکت‌های بیمه، یک گام دیگر به سمت عملیاتی‌شدن برداشته است؛ با این حال، هنوز وضعیت فعالیت شرکت تخصصی و آمار صدور بیمه‌نامه مشخص نیست.

بیمه سایبری در ایران هنوز در ابتدای مسیر است

با وجود افزایش تهدیدهای سایبری و بالا بودن ریسک‌های ژئوپلیتیکی، بازار بیمه سایبری در ایران همچنان در مرحله‌ای نوپا قرار دارد و سهم آن از بازار جهانی تقریباً صفر است. پرویز خسروشاهی، رئیس کل بیمه مرکزی، نیز سال گذشته در گفت‌وگویی مطرح کرد که کشور برای ورود به بازار بیمه سایبری در مرحله آزمون و ایجاد ظرفیت قرار دارد.

کمبود داده برای قیمت‌گذاری ریسک، نبود نیروی انسانی متخصص، محدودیت‌های قانونی و رگولاتوری و فقدان زیرساخت‌های لازم، از مهم‌ترین موانع توسعه این بازار در کشور هستند. با این حال، در سال‌های اخیر، با گسترش حملات سایبری و نشت اطلاعات از سازمان‌های دولتی و خصوصی، اهمیت و ضرورت پوشش بیمه‌ای ریسک‌های سایبری بیش از گذشته مورد توجه قرار گرفته و این تغییر رویکرد در اردیبهشت سال گذشته وارد مرحله جدی‌تری شد.

شورای عالی بیمه در آن سال با تأسیس شرکت بیمه غیرزندگی «اعتماد» موافقت کرد، مشروط به اینکه این شرکت در سال‌های ابتدایی بر ریسک‌های نوظهور، از جمله ریسک‌های سایبری، و همچنین بیمه‌گری به روش تکافل تمرکز کند.

شرکت بیمه سایبری «اعتماد» هنوز فعالیت خود را آغاز نکرده است

طبق تصمیم شورا، پس از سه سال از صدور پروانه فعالیت، عملکرد شرکت در حوزه بیمه‌های سایبری و تکافل بررسی و درباره رفع محدودیت‌های فعالیت آن تصمیم‌گیری خواهد شد. در همان مقطع، رئیس کل وقت بیمه مرکزی گفته بود درخواست تأسیس یک شرکت با تمرکز بر بیمه سایبری مطرح شده و قرار است این شرکت در ابتدا صرفاً در حوزه سایبری و تکافل فعالیت کند تا توانایی آن در این رشته‌ها سنجیده شود.

با این حال، بررسی آخرین وضعیت فعالیت نخستین شرکت بیمه سایبری نشان می‌دهد که هنوز پروانه فعالیت نهایی «بیمه اعتماد» صادر نشده و این شرکت فعالیت بیمه‌گری خود را آغاز نکرده است.

ایده ایجاد یک شرکت تخصصی بیمه سایبری در ایران با روند جهانی بازار ریسک سایبری هم‌راستاست. با این حال، تجربه بازارهای بالغ نشان می‌دهد که توسعه بیمه سایبری صرفاً با تأسیس یک شرکت محقق نمی‌شود و به زیرساخت داده، سازوکارهای ارزیابی ریسک، ظرفیت بیمه اتکایی و همکاری نزدیک میان بیمه‌گران و شرکت‌های امنیت سایبری نیاز دارد.

بیمه‌گر باید بداند احتمال وقوع حمله، اندازه خسارت، مدت توقف کسب‌وکار و هزینه بازیابی چقدر است. بدون داده تاریخی معتبر، قیمت‌گذاری بیمه سایبری بسیار دشوار می‌شود. از سوی دیگر، یک حمله گسترده می‌تواند هم‌زمان صدها یا هزاران بیمه‌گذار را تحت تأثیر قرار دهد. بنابراین، بیمه سایبری به بازار اتکایی قدرتمندی نیاز دارد.

نبود داده و زیرساخت، مانع توسعه بیمه سایبری

در بازارهای پیشرفته، بیمه‌گر فقط بررسی نمی‌کند که متقاضی «بیمه‌نامه می‌خواهد یا نه»؛ بلکه وضعیت MFA، پشتیبان‌گیری، مدیریت آسیب‌پذیری، EDR، مدیریت دسترسی و برنامه واکنش به حادثه را نیز در ارزیابی ریسک در نظر می‌گیرد.

از سوی دیگر، بررسی بازارهای بالغ بیمه سایبری نشان می‌دهد که مدل غالب بیمه‌گری در این حوزه لزوماً ایجاد یک شرکت مستقل صرفاً برای بیمه سایبری نیست. بر اساس پیمایش سالانه رسمی دولت بریتانیا درباره وضعیت امنیت سایبری سازمان‌ها و مؤسسات این کشور، ۴۷ درصد کسب‌وکارهای مورد بررسی نوعی پوشش بیمه‌ای برای ریسک‌های سایبری داشتند، اما تنها ۱۰ درصد دارای بیمه‌نامه مشخص و مستقل سایبری بودند.

بیمه سایبری در ایران از مسیر مسئولیت مدنی آغاز شد

علاوه بر تأسیس نخستین شرکت تخصصی بیمه سایبری که تاکنون اطلاعاتی از آخرین وضعیت فعالیت آن منتشر نشده، در سال جاری یکی از شرکت‌های بیمه نیز محصول سایبری خود را عرضه کرد. این محصول، نخستین بیمه‌نامه مسئولیت مدنی در حوزه بیمه سایبری است.

بر این اساس، شرکت‌های دارای مجوز قانونی در حوزه خدمات امنیت سایبری می‌توانند مسئولیت حرفه‌ای خود را در قبال تعهدات و قراردادهایی که با سازمان‌ها و نهادهای دولتی یا خصوصی دارند، تحت پوشش بیمه قرار دهند.

هدف از این بیمه‌نامه، پوشش مسئولیت حرفه‌ای شرکت‌های فعال در حوزه امنیت سایبری است و هزینه‌های ناشی از باج‌افزار، توقف کسب‌وکار، بازیابی اطلاعات یا نشت داده را پوشش نمی‌دهد.

با این حال، تاکنون شماره مجوز، متن عمومی شرایط کامل بیمه‌نامه و آمار رسمی مربوط به تعداد بیمه‌نامه‌های صادرشده یا میزان حق‌بیمه تولیدی این محصول به‌صورت عمومی منتشر نشده است. بر این اساس، وضعیت ایران در توسعه بیمه سایبری همچنان در مراحل اولیه قرار دارد.

به این ترتیب، بیمه سایبری در ایران از نقطه‌ای وارد بازار شده که بازارهای جهانی نیز در مراحل اولیه توسعه این حوزه از آن عبور کرده‌اند: پوشش مسئولیت سایبری.

به عبارت دیگر، ایران بیمه سایبری را از مسیر مسئولیت مدنی آغاز کرده است؛ مسیری که از نظر تاریخی با روند شکل‌گیری بیمه سایبری در بازارهای پیشرو همخوانی دارد. با این حال، تجربه آمریکا و بریتانیا نشان می‌دهد توسعه واقعی این بازار زمانی اتفاق می‌افتد که پوشش مسئولیت به پوشش خسارت‌های مستقیم، توقف کسب‌وکار، بازیابی داده و هزینه‌های واکنش به حملات سایبری گسترش یابد و هم‌زمان زیرساخت داده و سازوکارهای ارزیابی ریسک شکل بگیرد.

توسعه بازار بیمه سایبری به زیرساخت و بیمه اتکایی نیاز دارد

در مجموع، هرچند بیمه سایبری ایران در دو سال اخیر از مرحله طرح ایده عبور کرده، اما هنوز در ابتدای مسیر قرار دارد. موافقت با تأسیس شرکت بیمه «اعتماد» و عرضه بیمه‌نامه مسئولیت مدنی امنیت سایبری از سوی یک شرکت بیمه، دو گام مهم در این مسیر هستند، اما هیچ‌کدام به‌تنهایی به معنای شکل‌گیری یک بازار جامع بیمه سایبری نیستند.

تجربه کشورهای پیشرو نیز نشان می‌دهد توسعه این بازار به چیزی فراتر از صدور بیمه‌نامه نیاز دارد؛ از ایجاد پایگاه داده برای ارزیابی و قیمت‌گذاری ریسک و توسعه ظرفیت بیمه اتکایی گرفته تا همکاری میان بیمه‌گران، شرکت‌های امنیت سایبری و ارائه‌دهندگان خدمات واکنش به حادثه.

از این منظر، چالش اصلی ایران دیگر صرفاً آغاز بیمه‌گری سایبری نیست، بلکه ایجاد زیرساختی است که بتواند ریسک‌های پیچیده و رو به رشد سایبری را به‌درستی اندازه‌گیری، قیمت‌گذاری و پوشش دهد.