دکتر وحید نوبهار، عضو انجمن بین المللی بیمه گرانمهندسی دکتر محسن امیری، عضو هیات علمی دانشگاه اقتصاد جهانی بهسوی فنآورانگی ساختاری در حال حرکت استو وابستگی روزافزون نهادهای اقتصادی، حاکمیتی و خدماتعمومی به زیرساختهای فناوریمحور، منجر به افزایش چشمگیرسطح آسیبپذیری کشورها در برابر مخاطرات سایبری شده است. این مخاطرات، دیگر نه تنها بهعنوان تهدیدات فنآوری درنظر گرفتهنمیشوند، بلکه بهواسطه اثرگذاری گسترده بر ثبات اقتصادی، پایداری اجتماعی و مشروعیت ساختاری در زمره ریسکهایژئوپلیتیکی طبقهبندی میشوند. بهویژه حملات سایبریسازمانیافته علیه زیرساختهای حیاتی از جمله سامانههایبانکداری، شبکههای مخابراتی، صنعت انرژی، خدمات درمانی وزیرساختهای حملونقل، الگوی جدیدی از جنگهای نامتقارن وفشارهای زیرپوستی را شکل دادهاند. در این میان رخدادهایاخیر مرتبط با نفوذ و اختلال در شبکهی برخی از بانکهای کشور، زنگ خطر جدی برای تابآوری امنیتی و فناورانه نظام مالی کشورتلقی میشود. این رخدادها نشان داد که تهدید سایبری تنها یک«ریسک محتمل» نیست، بلکه یک واقعیت جاری با قابلیت ایجادبحران است. در چنین فضایی، بیمه سایبری (CyberInsurance) بهعنوان یکی از ابزارهای نوین و مکمل در معماریتابآوری دیجیتال، اهمیت مضاعف مییابد. این ابزار، باسازوکار انتقال ریسک به نهادهای بیمهگر، ایجاد سازوکارهایانگیزشی برای ارتقاء استانداردهای امنیت اطلاعات، وفراهمسازی پشتوانه مالی برای جبران خسارات مستقیم وغیرمستقیم ناشی از رخدادهای سایبری، میتواند نقش مهمی درتثبیت و مقاومسازی اقتصاد دیجیتال ایفا کند. با وجود این صنعتبیمه کشور تاکنون نتوانسته است حضور حداکثری مؤثر در اینعرصه داشته باشد. فقدان بسترهای حقوقی، آماری و فنی لازم ازیک سو، و تجربه محدود نهادهای بیمهگر در ارزیابی، قیمتگذاریو مدیریت ریسکهای فناورانه از سوی دیگر، موجب شده است تاظرفیت بیمه سایبری در کشور بهطور چشمگیری مغفول بماند. بیمه سایبری به بیمهنامههایی اطلاق میشود که خسارات وهزینههای ناشی از رویدادهای مخرب سایبری مانند نقض امنیتاطلاعات، باجافزارها، حملات اختلالی (DoS)، سرقت هویتدیجیتال، آسیب به دادهها و اختلال در تداوم کسبوکار دیجیتال راپوشش میدهند. بیمه سایبری از دو دیدگاه فنی(Technological) شامل انواع تهدیدات سایبری، مدلهایارزیابی آسیبپذیری، و پیشبینی وقوع حملات واقتصادی–حقوقی (Economic-Legal) شامل تعیین نرخحقبیمه، پوششها، استثناها، ارزیابی خسارت، و چارچوبتعهدات بیمهگر قابل تجزیه و تحلیل است. ماهیت خاص ریسکسایبری همانند شدت پایین و فراوانی بالا، مخاطرات انباشته(Accumulated Risks)، ریسکهای سیستمی و ابهام درانتساب(Attribution Ambiguity)، باعث میشود توسعه بیمه سایبری نیازمند نهادسازی تخصصی و مقرراتگذاری چندلایهباشد. تبیین وضعیت موجود بیمه سایبری کشور با گذر از دوران سنتی مدیریت ریسک و ورود به عصر پیچیدهمخاطرات دیجیتال ضرورت پوششدهی حرفهای ریسکهایسایبری در قالب نظام بیمهای امری انکارناپذیر است. با این حال، تحلیل وضعیت موجود نشان میدهد که صنعت بیمه کشور تاکنوننتوانسته است بهصورت ساختاریافته، فناورانه و تجاری بهموضوع بیمه سایبری ورود مؤثری داشته باشد. این ضعف درحالی رخ میدهد که در سالهای اخیر، حملات سایبری هدفمندیعلیه نهادهای کلیدی کشور از جمله برخی شرکت های بیمه گر، زیرساختهای بانکی، مراکز درمانی، شرکتهای زیرساختاینترنتی، سکوهای خدماتی و سامانههای دولتی صورت گرفته وابعاد برخی از این رخدادها در سطح ملی بازتاب یافته است. فقدان محصولات استاندارد بیمه سایبری در سبدشرکتهای بیمه گر در حال حاضر، هیچیک از شرکتهای بیمهگر فعال در ایرانمحصولی با عنوان بیمهنامه تخصصی سایبری (DedicatedCyber Insurance Policy) که دارای مفاد فنی، پوششهایصریح، شرایط عمومی و خصوصی، و فرآیند مشخص ارزیابی وپرداخت خسارت باشد، ارائه نمیکنند. آنچه گاه بهصورت پراکندهدر قالب الحاقیههای غیرفنی یا پوششهای عمومی مطرح میشود، نه از نظر فنی قابلیت پاسخدهی به ماهیت خاص ریسک سایبریرا دارد و نه از منظر حقوقی قابلیت پیادهسازی در پروندههایخسارتی پیچیده را داراست. نبود سازوکارهای نرخگذاری علمی متناسب باواقعیتهای بومی سایبری از آنجا که ریسکهای سایبری به شدت به بافت فنآوری، مدلحکمرانی دیجیتال، میزان تهدیدات خارجی، سطح امنیتزیرساختها و رفتار کاربران وابستهاند، نرخگذاری بیمهنامههایسایبری نیازمند الگوریتمهای پیشرفته، دادهکاوی حملات سایبریو تحلیلهای اکتشافی است. در شرایط فعلی سازوکار استانداردنرخگذاری یا مدل ارزیابی خسارت مبتنی بر دادههای سایبریداخلی از سوی نهاد ناظر یا شرکتهای بیمهگر توسعه نیافته واین خلأ موجب بلاتکلیفی نهادهای بیمهگر در مواجهه با تقاضاهایاحتمالی برای پوشش سایبری شده است. فقدان پایگاه داده ملی حملات سایبری بهمنظور تحلیلخسارت و پیشبینی ریسک یکی از ارکان اصلی در توسعه بیمههای مدرن، وجود پایگاه دادهمعتبر، طبقهبندیشده و بهروز از رخدادهای خسارتی است. درحوزه بیمه سایبری این پایگاه میتواند شامل اطلاعات مربوط بهنوع حملات، میزان خسارت مالی، منشأ تهدید، روش نفوذ، مدتزمان از کارافتادگی سامانهها و هزینههای بازیابی باشد. محدودیت مشارکت بیمهگران اتکایی داخلی و بینالمللیدر پذیرش ریسکهای سایبری ماهیت پرریسک، پرتکرار و گاه فاجعهبار رخدادهای سایبری، موجب میشود بسیاری از بیمهگران برای پوشش آن، بهقراردادهای اتکایی توسل جویند. با این حال، درکشور به دلایلمتعدد همانند تحریمهای بینالمللی، نبود نهادهای تخصصیاتکایی داخلی در این حوزه، و ضعف ارتباط با بازار جهانی بیمهسایبری ظرفیت اتکایی رسمی برای پشتیبانی از بیمهنامههایسایبری وجود ندارد. این خلأ، توانپذیری ریسک در سطح بیمهگران داخلی را بهشدت محدود کرده است. کمبود دانش تخصصی در ارزیابی فنی ریسکهایفناوریمحور درک و تحلیل ریسک سایبری مستلزم تلفیقی از دانشهایمیانرشتهای شامل امنیت شبکه، رمزنگاری، مهندسی نرمافزار، حقوق داده، تحلیل اقتصاد دیجیتال و اصول بیمهگری است. اینترکیب دانش در صنعت بیمه کشور هنوز شکل نگرفته و فاصلهقابل توجهی میان تحلیلگران فنی امنیت اطلاعات و کارشناسانارزیابی ریسک در شرکتهای بیمه گر وجود دارد. در نتیجه، ارزیابی ریسک سایبری نهتنها نادقیق بلکه در بسیاری مواردناممکن است. چالش های ساختاری توسعه بیمه سایبری در کشور در فرآیند توسعه بیمه سایبری کشور چالشهای ساختاری ونهادی متعددی وجود دارد که مانع از استقرار یک نظام کارآمد واثربخش در مدیریت ریسکهای سایبری از طریق ابزارهای بیمهایشدهاند. این چالشها، نهتنها به زیرساختهای صنعت بیمه مربوطمیشوند، بلکه به سطوح بالاتر حکمرانی سایبری، مقرراتگذاریبینبخشی، ظرفیتسازی نهادی و تعاملات بینالمللی نیز گرهخوردهاند. یکی از موانع مهم ابهام در تعریف مفهومی و عملیاتیریسک سایبری است. برخلاف ریسکهای سنتی مانند آتشسوزییا حوادث فیزیکی، منشأ، ماهیت، زمان و دامنه تأثیر ریسکهایسایبری چندلایه و مبهم است. ببه عنوان نمونه در بسیاری ازرخدادهای سایبری نمیتوان با اطمینان تعیین کرد که حمله ازسوی یک بازیگر داخلی، خارجی، دولتی یا غیرحکومتی صورتگرفته است یا آنکه آیا این حمله در چارچوب “جنگ سایبری” طبقهبندی میشود یا فقط یک جرم رایانهای است. این ابهام نهتنهافرآیند انتساب مسؤولیت را پیچیده میکند،بلکه بر دامنه تعهداتبیمهگر و ماهیت پوششهای بیمهنامه اثر مستقیم دارد. از سوی دیگر نبود چارچوبهای مقرراتی تخصصی برای بیمهسایبری، بهعنوان یکی از خلأهای اصلی سیاستگذاری تلقیمیشود. در حال حاضر نیاز به سند بالادستی مشترک نهادهایناظر، آییننامه تخصصی یا پروتکل اجرایی مشخص درخصوصنرخگذاری، ارزیابی خسارت، تعیین دامنه پوششها، مدیریتدادهها و رسیدگی به اختلافات بیمهای در حوزه سایبری احساسمی شود. فقدان این بسترهای حقوقی و تنظیمگری موجببلاتکلیفی شرکتهای بیمهگر در طراحی محصول، ناتوانی درپذیرش ریسک و عدم شفافیت در فرآیند جبران خسارت میشود. افزون بر آن کمبود شدید ظرفیت تخصصی انسانی در صنعتبیمه چالش دیگری است که فرآیند توسعه بیمه سایبری را بااختلال مواجه کرده است. اغلب متخصصان حوزه بیمه در مواجههبا ریسکهای فیزیکی یا مالی کلاسیک آموزش دیدهاند و فاقدمهارتهای لازم برای درک و تحلیل تهدیدات دیجیتال، شاخصهایامنیت سایبری، تکنیکهای ارزیابی آسیبپذیری و مدلهایپیشبینی رخدادهای سایبری هستند. بهعلاوه، متخصصان امنیتسایبری نیز اغلب با اصول بیمهگری، محاسبات اکچوئری، نرخگذاری ریسک و ساختار حقوقی قراردادهای بیمه آشنانیستند. این شکاف دانشی میان دو حوزه، مانع از شکلگیریتیمهای بینرشتهای در ارزیابی ریسک سایبری و طراحی محصولشده است. در بُعد حقوقی، فقدان ساز و کارهای حقوقی بیمهپذیریریسکهای سایبری و فرآیندهای حقوقی مشخص باعث افزایشریسک حقوقی قراردادها، کند شدن فرآیند رسیدگی به خسارت ودر نهایت بیاعتمادی به قابلیت اجرایی بیمهنامهها میشود. بُعد بینالمللی توسعه بیمه سایبری نیز بهشدت تحت تأثیرتحریمهای ظالمانه علیه کشور قرار دارد. بخش عمدهای ازظرفیتهای پوششدهی ریسکهای سایبری در سطح جهانیتوسط شرکتهای بین المللی بیمه اتکایی تخصصی مدیریتمیشود. این شرکتها از طریق مدلهای آماری پیشرفته، پایگاههای مشترک داده و خدمات بازیابی خسارت، توانپشتیبانی از بیمهگران اولیه را فراهم میکنند. اما محدودیتهایناشی از تحریم، مانع از تعامل مؤثر بیمهگران کشور با این شبکهجهانی شده و لذا توان ریسکپذیری شرکتهای داخلی در پوششریسکهای گسترده، سیستماتیک و با منشأ بینالمللی بسیارمحدود باقی مانده است. تجارب بینالمللی توسعه بیمه سایبری تجارب بینالمللی در توسعه بیمه سایبری نشان میدهد کهکشورهای پیشرو با اتخاذ رویکردی چندلایه و هماهنگ میاننهادهای دولتی، تنظیمگران بیمهای، شرکتهای بیمهگر و مراکزتخصصی امنیت سایبری توانستهاند زمینه رشد و نهادینهسازیاین نوع از پوششهای بیمهای را فراهم سازند. این تجربهها حاکیاز آن است که موفقیت در توسعه بیمه سایبری تنها به طراحیمحصولات بیمهای محدود نیست، بلکه مستلزم تنظیمگری دقیق، استانداردسازی فنی، تولید داده قابل اعتماد و ایجاد تعاملساختاریافته میان حوزههای بیمه و امنیت اطلاعات است. در آلمان، اتحادیه بیمهگران این کشور (GDV) در تعامل نزدیک با نهادهایدولتی اقدام به تدوین استانداردهای امنیت سایبری پایه برایبنگاههای کوچک و متوسط کرده است. این استانداردها نهتنهابهعنوان معیارهای فنی مورد پذیرش در بازار بیمه قرار گرفتهاند، بلکه شرکتهای بیمه نیز ملزم شدهاند فقط به بنگاههایی خدماتبیمهای سایبری ارائه دهند که با این الزامات همراستا باشند. اینرویکرد موجب ایجاد پیوند میان ایمنی دیجیتال و قابلیت بیمهپذیریشده و نوعی همافزایی میان ارتقای امنیت و توسعه بیمه را رقم زدهاست. در ژاپن، وزارت اقتصاد، تجارت و صنعت (METI) با همکارینهادهای نیمهدولتی بستری را برای توسعه بیمه سایبری فراهمکرده است که در آن اطلاعات مربوط به رخدادهای سایبریبهصورت سیستماتیک گردآوری، تحلیل و در اختیار شرکتهایبیمه و نهادهای ناظر قرار میگیرد. این دادهها به شرکتهای بیمهگر کمک میکند تا در فرآیند نرخگذاری، طراحی محصولات وپیشبینی ریسک از الگوهای مبتنی بر شواهد واقعی استفادهکنند. نهاد مذکور همچنین نقش تسهیلگر تعامل میان شرکتهایبیمه، ارائهدهندگان خدمات امنیت سایبری و سازمانهایمتقاضی بیمه را ایفا میکند. در بریتانیا، مرکز ملی امنیت سایبری (NCSC) بهعنوان بازویتخصصی دولت در حوزه امنیت اطلاعات با مشارکت شرکتهایبیمه، یک سکوی مشترک برای تبادل داده و تحلیل تهدیداتسایبری ایجاد کرده است. این سکو به بیمهگران این امکان رامیدهد که در زمان واقعی از وضعیت تهدیدات نوظهور مطلعشوند، تجربههای بیمهای خود را با دیگران به اشتراک گذارند و درصورت بروز حملات گسترده، بهطور هماهنگ نسبت به تحلیلخسارت، پاسخدهی سریع و مدیریت پیامدها اقدام کنند. این تجارب نشانگر اینست که توسعه پایدار بیمه سایبری مستلزمپیوند راهبردی میان سه حوزه کلیدی تنظیمگری بیمهای، سیاستگذاری امنیت سایبری و تولید و اشتراکگذاری داده است. کشورهای موفق در این حوزه با ایجاد نهادهای بینبخشی، تدویناستانداردهای فنی، حمایت از بازار بیمهای سایبری و هدایتبنگاهها بهسوی انطباق با الزامات امنیتی توانستهاند یکاکوسیستم باثبات، شفاف و پشتیبان در حوزه بیمه سایبری بنانهند. این رویکرد میتواند الگویی مناسب برای کشورمان باشد کهدر آغاز مسیر شکلدهی به بازار بیمه سایبری قرار دارند. نقشه راه پیشنهادی توسعه بیمه سایبری در ایران طراحی نقشه راه برای توسعه بیمه سایبری در ایران مستلزمرویکردی چندمرحلهای، تدریجی و مبتنی بر اولویتبندی اقداماتاجرایی و تنظیمگری است. از آنجا که بازار بیمه سایبری درکشور هنوز در مرحله آغازین قرار دارد، نخست باید بسترهایفنی، حقوقی و علمی شکل گیرد و سپس ظرفیتسازی نهادی وورود به تعاملات بینالمللی انجام شود. این مسیر در سه افق زمانیکوتاهمدت، میانمدت و بلندمدت قابل تدوین است. مرحله اول: زیرساختسازی اطلاعاتی و نهادی(کوتاهمدت) نخستین گام در توسعه بیمه سایبری، ایجاد زیرساختهایاطلاعاتی و حقوقی برای شناخت و سنجش دقیق ریسکهایسایبری در کشور است. تا زمانی که دادهای در دست نباشد، امکان نرخگذاری علمی، طراحی محصول، یا پیشبینی خسارتفراهم نمیشود. در این مرحله، راهاندازی سامانه ملی ثبترخدادهای سایبری (Cyber Incident Registry) باهمکاری نهادهایی همچون مرکز مدیریت راهبردی افتا، پلیس فتا، مرکز ماهر و بیمه مرکزی جمهوری اسلامی ایران یک ضرورتبنیادین محسوب میشود. این سامانه باید بهصورت منظمدادههای طبقهبندیشده مربوط به حملات سایبری در کشور راجمعآوری، تحلیل و در اختیار شرکتهای بیمهگر، نهادهای ناظر ومراکز پژوهشی قرار دهد. دادههای این سامانه شامل نوع حمله، حوزه هدف، روش نفوذ، میزان خسارت، مدت زمان از کارافتادگی، و پروفایل تهدید خواهد بود. اقدام مکمل دیگر در این مرحله، تدوینآییننامه رسمی نرخگذاری و ارزیابی ریسک سایبریتوسط شورایعالی بیمه است. این آییننامه باید متناسب با شرایطبومی، استانداردهای بینالمللی و ظرفیت تحلیل دادههای دردسترس تنظیم شود. در غیاب چنین آییننامهای، نرخگذاریبهصورت حدسی، ناپایدار و مبتنی بر برآوردهای غیرفنی باقیمیماند. همزمان با این اقدامات، طراحی و انتشار یک نمونهبیمهنامه سایبری پایه ویژه بنگاههای کوچک و متوسط(SMEs) باید در دستور کار قرار گیرد. این نمونه بیمهنامهمیتواند الگویی برای تعریف پوششهای پایه، فرمولبندی حدودمسؤولیتها، شرایط عمومی و استثنائات باشد و بهعنوان گام اولدر معرفی این نوع بیمه به بازار هدف عمل کند. مرحله دوم: نهادسازی تخصصی و تربیت نیرویانسانی (میانمدت) پس از تثبیت پایههای دادهای و مقرراتی، گام بعدی توسعه درسطح نهادی و منابع انسانی شکل میگیرد. در این مرحله، ایجادواحد تخصصی بیمه سایبری در ساختار سازمانی بیمه مرکزی بامأموریت سیاستگذاری، تدوین دستورالعمل، نظارت بر کیفیتمحصولات بیمهای و تحلیل آمار حملات سایبری ضروری است. این واحد میتواند بهصورت مشترک با نهادهایی نظیر سازمانپدافند غیرعامل و مرکز ملی فضای مجازی اداره شود و بهعنوانپل ارتباطی میان صنعت بیمه و نهادهای حاکمیتی عمل کند. تربیتنیروی انسانی متخصص نیز در این مرحله اهمیت حیاتی دارد. راهاندازی دورههای مشترک آموزشی یا دانشگاهی میانپژوهشکده بیمه و یا دانشکدههای مرتبط با علوم بیمه ودانشکدههای امنیت سایبری، فناوری اطلاعات، حقوق فناوری وعلوم داده، میتواند منجر به شکلگیری نسل جدیدی ازکارشناسان بینرشتهای شود که قادر به تحلیل ریسکهای دیجیتالبا زبان بیمهگری باشند. همچنین دورههای آموزش ضمن خدمتبرای کارشناسان فنی صنعت بیمه در حوزههایی چون مدیریتآسیبپذیری سایبری، ارزیابی تهدید، و تحلیل خسارت دیجیتالباید اجرا شود. در کنار اقدامات فوق، تدوین چارچوبهایحلوفصل اختلافات بیمهای سایبری نیز اهمیت دارد. به دلیلپیچیدگی فنی دعاوی ناشی از حملات سایبری، وجود داوریهایتخصصی، کمیتههای فنی بیمهای و چارچوبهای شبهقضاییبرای رسیدگی به اختلافات میان بیمهگر و بیمهگذار از حیث تعیینمنشأ حمله، دامنه خسارت، یا شمول پوشش، موجب افزایشاطمینان بازار به قابلیت اجرایی بیمهنامههای سایبری خواهد شد. مرحله سوم: همگرایی بینالمللی و توسعه ظرفیت اتکایی(بلندمدت) مرحله نهایی توسعه بیمه سایبری کشور همگرایی با شبکههایجهانی تحلیل ریسک، انتقال دانش بینالمللی و افزایش ظرفیتاتکایی برای پوشش ریسکهای کلان است. در این مرحله، ضرورتدارد با همکاری کشورهای منطقه صندوق اتکایی سایبریمنطقهای ایجاد کند. این صندوق میتواند ریسکهای سایبریفراتر از ظرفیت شرکتهای بیمه گر داخلی را در قالب ساختاریمشارکتی مدیریت کند و امکان همپوشانی منابع را برای مواجههبا تهدیدات همزمان فراهم سازد. از سوی دیگر عضویت ایران درشبکههای بینالمللی تحلیل تهدیدات سایبری بیمهپذیرمانند CyberAcuView، Lloyd’s Cyber Risk Consortiumیا سکوهای داده ای مشترک به صنعت بیمه کشور اجازه میدهدتا از دادهها، الگوریتمها و روششناسیهای پیشرفته برایسنجش و پیشبینی تهدیدات دیجیتال استفاده کند. سخن پایانی این نقشه راه اگر بهصورت مرحلهای، واقعگرایانه و در هماهنگیمیان نهادهای ذیربط پیادهسازی شود، میتواند زیربنایشکلگیری یک بازار پایدار، قابل اعتماد و کارآمد در حوزه بیمهسایبری در ایران را فراهم سازد و بهعنوان بخشی از معماری ملیتابآوری دیجیتال ایفای نقش کند. بیمه سایبری در کشور نهتنهایک ابزار مالی بلکه یک مؤلفه امنیتی در تداوم عملکردزیرساختهای فنآوری اطلاعات حیاتی در شرایط ناپایداراست. در شرایطی که تهدیدات سایبری بهصورت روزافزون در حالگسترش است، فقدان یک سیستم بیمهای منسجم در این حوزهمیتواند هزینههای جبرانناپذیری به کشور تحمیل کند. نقشه راهتوسعه بیمه سایبری نیازمند نگرش میانرشتهای، همکاری نهادیمیان بیمه، فناوری اطلاعات، دستگاههای امنیتی و نهادهایقضایی و بهرهگیری از تجارب بینالمللی است. این فرآیند اگربهدرستی طراحی و اجرا شود، میتواند کشور را به یک بازیگرایمن و پایدار در اقتصاد دیجیتال منطقه تبدیل کند.
دکتر وحید نوبهار، عضو انجمن بین المللی بیمه گرانمهندسی
دکتر محسن امیری، عضو هیات علمی دانشگاه
اقتصاد جهانی بهسوی فنآورانگی ساختاری در حال حرکت استو وابستگی روزافزون نهادهای اقتصادی، حاکمیتی و خدماتعمومی به زیرساختهای فناوریمحور، منجر به افزایش چشمگیرسطح آسیبپذیری کشورها در برابر مخاطرات سایبری شده است. این مخاطرات، دیگر نه تنها بهعنوان تهدیدات فنآوری درنظر گرفتهنمیشوند، بلکه بهواسطه اثرگذاری گسترده بر ثبات اقتصادی، پایداری اجتماعی و مشروعیت ساختاری در زمره ریسکهایژئوپلیتیکی طبقهبندی میشوند. بهویژه حملات سایبریسازمانیافته علیه زیرساختهای حیاتی از جمله سامانههایبانکداری، شبکههای مخابراتی، صنعت انرژی، خدمات درمانی وزیرساختهای حملونقل، الگوی جدیدی از جنگهای نامتقارن وفشارهای زیرپوستی را شکل دادهاند. در این میان رخدادهایاخیر مرتبط با نفوذ و اختلال در شبکهی برخی از بانکهای کشور، زنگ خطر جدی برای تابآوری امنیتی و فناورانه نظام مالی کشورتلقی میشود. این رخدادها نشان داد که تهدید سایبری تنها یک«ریسک محتمل» نیست، بلکه یک واقعیت جاری با قابلیت ایجادبحران است. در چنین فضایی، بیمه سایبری (CyberInsurance) بهعنوان یکی از ابزارهای نوین و مکمل در معماریتابآوری دیجیتال، اهمیت مضاعف مییابد. این ابزار، باسازوکار انتقال ریسک به نهادهای بیمهگر، ایجاد سازوکارهایانگیزشی برای ارتقاء استانداردهای امنیت اطلاعات، وفراهمسازی پشتوانه مالی برای جبران خسارات مستقیم وغیرمستقیم ناشی از رخدادهای سایبری، میتواند نقش مهمی درتثبیت و مقاومسازی اقتصاد دیجیتال ایفا کند. با وجود این صنعتبیمه کشور تاکنون نتوانسته است حضور حداکثری مؤثر در اینعرصه داشته باشد. فقدان بسترهای حقوقی، آماری و فنی لازم ازیک سو، و تجربه محدود نهادهای بیمهگر در ارزیابی، قیمتگذاریو مدیریت ریسکهای فناورانه از سوی دیگر، موجب شده است تاظرفیت بیمه سایبری در کشور بهطور چشمگیری مغفول بماند.
بیمه سایبری به بیمهنامههایی اطلاق میشود که خسارات وهزینههای ناشی از رویدادهای مخرب سایبری مانند نقض امنیتاطلاعات، باجافزارها، حملات اختلالی (DoS)، سرقت هویتدیجیتال، آسیب به دادهها و اختلال در تداوم کسبوکار دیجیتال راپوشش میدهند. بیمه سایبری از دو دیدگاه فنی(Technological) شامل انواع تهدیدات سایبری، مدلهایارزیابی آسیبپذیری، و پیشبینی وقوع حملات واقتصادی–حقوقی (Economic-Legal) شامل تعیین نرخحقبیمه، پوششها، استثناها، ارزیابی خسارت، و چارچوبتعهدات بیمهگر قابل تجزیه و تحلیل است. ماهیت خاص ریسکسایبری همانند شدت پایین و فراوانی بالا، مخاطرات انباشته(Accumulated Risks)، ریسکهای سیستمی و ابهام درانتساب(Attribution Ambiguity)، باعث میشود توسعه بیمه سایبری نیازمند نهادسازی تخصصی و مقرراتگذاری چندلایهباشد.
تبیین وضعیت موجود بیمه سایبری کشور
با گذر از دوران سنتی مدیریت ریسک و ورود به عصر پیچیدهمخاطرات دیجیتال ضرورت پوششدهی حرفهای ریسکهایسایبری در قالب نظام بیمهای امری انکارناپذیر است. با این حال، تحلیل وضعیت موجود نشان میدهد که صنعت بیمه کشور تاکنوننتوانسته است بهصورت ساختاریافته، فناورانه و تجاری بهموضوع بیمه سایبری ورود مؤثری داشته باشد. این ضعف درحالی رخ میدهد که در سالهای اخیر، حملات سایبری هدفمندیعلیه نهادهای کلیدی کشور از جمله برخی شرکت های بیمه گر، زیرساختهای بانکی، مراکز درمانی، شرکتهای زیرساختاینترنتی، سکوهای خدماتی و سامانههای دولتی صورت گرفته وابعاد برخی از این رخدادها در سطح ملی بازتاب یافته است.
فقدان محصولات استاندارد بیمه سایبری در سبدشرکتهای بیمه گر
در حال حاضر، هیچیک از شرکتهای بیمهگر فعال در ایرانمحصولی با عنوان بیمهنامه تخصصی سایبری (DedicatedCyber Insurance Policy) که دارای مفاد فنی، پوششهایصریح، شرایط عمومی و خصوصی، و فرآیند مشخص ارزیابی وپرداخت خسارت باشد، ارائه نمیکنند. آنچه گاه بهصورت پراکندهدر قالب الحاقیههای غیرفنی یا پوششهای عمومی مطرح میشود، نه از نظر فنی قابلیت پاسخدهی به ماهیت خاص ریسک سایبریرا دارد و نه از منظر حقوقی قابلیت پیادهسازی در پروندههایخسارتی پیچیده را داراست.
نبود سازوکارهای نرخگذاری علمی متناسب باواقعیتهای بومی سایبری
از آنجا که ریسکهای سایبری به شدت به بافت فنآوری، مدلحکمرانی دیجیتال، میزان تهدیدات خارجی، سطح امنیتزیرساختها و رفتار کاربران وابستهاند، نرخگذاری بیمهنامههایسایبری نیازمند الگوریتمهای پیشرفته، دادهکاوی حملات سایبریو تحلیلهای اکتشافی است. در شرایط فعلی سازوکار استانداردنرخگذاری یا مدل ارزیابی خسارت مبتنی بر دادههای سایبریداخلی از سوی نهاد ناظر یا شرکتهای بیمهگر توسعه نیافته واین خلأ موجب بلاتکلیفی نهادهای بیمهگر در مواجهه با تقاضاهایاحتمالی برای پوشش سایبری شده است.
فقدان پایگاه داده ملی حملات سایبری بهمنظور تحلیلخسارت و پیشبینی ریسک
یکی از ارکان اصلی در توسعه بیمههای مدرن، وجود پایگاه دادهمعتبر، طبقهبندیشده و بهروز از رخدادهای خسارتی است. درحوزه بیمه سایبری این پایگاه میتواند شامل اطلاعات مربوط بهنوع حملات، میزان خسارت مالی، منشأ تهدید، روش نفوذ، مدتزمان از کارافتادگی سامانهها و هزینههای بازیابی باشد.
محدودیت مشارکت بیمهگران اتکایی داخلی و بینالمللیدر پذیرش ریسکهای سایبری
ماهیت پرریسک، پرتکرار و گاه فاجعهبار رخدادهای سایبری، موجب میشود بسیاری از بیمهگران برای پوشش آن، بهقراردادهای اتکایی توسل جویند. با این حال، درکشور به دلایلمتعدد همانند تحریمهای بینالمللی، نبود نهادهای تخصصیاتکایی داخلی در این حوزه، و ضعف ارتباط با بازار جهانی بیمهسایبری ظرفیت اتکایی رسمی برای پشتیبانی از بیمهنامههایسایبری وجود ندارد. این خلأ، توانپذیری ریسک در سطح بیمهگران داخلی را بهشدت محدود کرده است.
کمبود دانش تخصصی در ارزیابی فنی ریسکهایفناوریمحور
درک و تحلیل ریسک سایبری مستلزم تلفیقی از دانشهایمیانرشتهای شامل امنیت شبکه، رمزنگاری، مهندسی نرمافزار، حقوق داده، تحلیل اقتصاد دیجیتال و اصول بیمهگری است. اینترکیب دانش در صنعت بیمه کشور هنوز شکل نگرفته و فاصلهقابل توجهی میان تحلیلگران فنی امنیت اطلاعات و کارشناسانارزیابی ریسک در شرکتهای بیمه گر وجود دارد. در نتیجه، ارزیابی ریسک سایبری نهتنها نادقیق بلکه در بسیاری مواردناممکن است.
چالش های ساختاری توسعه بیمه سایبری در کشور
در فرآیند توسعه بیمه سایبری کشور چالشهای ساختاری ونهادی متعددی وجود دارد که مانع از استقرار یک نظام کارآمد واثربخش در مدیریت ریسکهای سایبری از طریق ابزارهای بیمهایشدهاند. این چالشها، نهتنها به زیرساختهای صنعت بیمه مربوطمیشوند، بلکه به سطوح بالاتر حکمرانی سایبری، مقرراتگذاریبینبخشی، ظرفیتسازی نهادی و تعاملات بینالمللی نیز گرهخوردهاند. یکی از موانع مهم ابهام در تعریف مفهومی و عملیاتیریسک سایبری است. برخلاف ریسکهای سنتی مانند آتشسوزییا حوادث فیزیکی، منشأ، ماهیت، زمان و دامنه تأثیر ریسکهایسایبری چندلایه و مبهم است. ببه عنوان نمونه در بسیاری ازرخدادهای سایبری نمیتوان با اطمینان تعیین کرد که حمله ازسوی یک بازیگر داخلی، خارجی، دولتی یا غیرحکومتی صورتگرفته است یا آنکه آیا این حمله در چارچوب “جنگ سایبری” طبقهبندی میشود یا فقط یک جرم رایانهای است. این ابهام نهتنهافرآیند انتساب مسؤولیت را پیچیده میکند،بلکه بر دامنه تعهداتبیمهگر و ماهیت پوششهای بیمهنامه اثر مستقیم دارد.
از سوی دیگر نبود چارچوبهای مقرراتی تخصصی برای بیمهسایبری، بهعنوان یکی از خلأهای اصلی سیاستگذاری تلقیمیشود. در حال حاضر نیاز به سند بالادستی مشترک نهادهایناظر، آییننامه تخصصی یا پروتکل اجرایی مشخص درخصوصنرخگذاری، ارزیابی خسارت، تعیین دامنه پوششها، مدیریتدادهها و رسیدگی به اختلافات بیمهای در حوزه سایبری احساسمی شود. فقدان این بسترهای حقوقی و تنظیمگری موجببلاتکلیفی شرکتهای بیمهگر در طراحی محصول، ناتوانی درپذیرش ریسک و عدم شفافیت در فرآیند جبران خسارت میشود.
افزون بر آن کمبود شدید ظرفیت تخصصی انسانی در صنعتبیمه چالش دیگری است که فرآیند توسعه بیمه سایبری را بااختلال مواجه کرده است. اغلب متخصصان حوزه بیمه در مواجههبا ریسکهای فیزیکی یا مالی کلاسیک آموزش دیدهاند و فاقدمهارتهای لازم برای درک و تحلیل تهدیدات دیجیتال، شاخصهایامنیت سایبری، تکنیکهای ارزیابی آسیبپذیری و مدلهایپیشبینی رخدادهای سایبری هستند. بهعلاوه، متخصصان امنیتسایبری نیز اغلب با اصول بیمهگری، محاسبات اکچوئری، نرخگذاری ریسک و ساختار حقوقی قراردادهای بیمه آشنانیستند. این شکاف دانشی میان دو حوزه، مانع از شکلگیریتیمهای بینرشتهای در ارزیابی ریسک سایبری و طراحی محصولشده است.
در بُعد حقوقی، فقدان ساز و کارهای حقوقی بیمهپذیریریسکهای سایبری و فرآیندهای حقوقی مشخص باعث افزایشریسک حقوقی قراردادها، کند شدن فرآیند رسیدگی به خسارت ودر نهایت بیاعتمادی به قابلیت اجرایی بیمهنامهها میشود.
بُعد بینالمللی توسعه بیمه سایبری نیز بهشدت تحت تأثیرتحریمهای ظالمانه علیه کشور قرار دارد. بخش عمدهای ازظرفیتهای پوششدهی ریسکهای سایبری در سطح جهانیتوسط شرکتهای بین المللی بیمه اتکایی تخصصی مدیریتمیشود. این شرکتها از طریق مدلهای آماری پیشرفته، پایگاههای مشترک داده و خدمات بازیابی خسارت، توانپشتیبانی از بیمهگران اولیه را فراهم میکنند. اما محدودیتهایناشی از تحریم، مانع از تعامل مؤثر بیمهگران کشور با این شبکهجهانی شده و لذا توان ریسکپذیری شرکتهای داخلی در پوششریسکهای گسترده، سیستماتیک و با منشأ بینالمللی بسیارمحدود باقی مانده است.
تجارب بینالمللی توسعه بیمه سایبری
تجارب بینالمللی در توسعه بیمه سایبری نشان میدهد کهکشورهای پیشرو با اتخاذ رویکردی چندلایه و هماهنگ میاننهادهای دولتی، تنظیمگران بیمهای، شرکتهای بیمهگر و مراکزتخصصی امنیت سایبری توانستهاند زمینه رشد و نهادینهسازیاین نوع از پوششهای بیمهای را فراهم سازند. این تجربهها حاکیاز آن است که موفقیت در توسعه بیمه سایبری تنها به طراحیمحصولات بیمهای محدود نیست، بلکه مستلزم تنظیمگری دقیق، استانداردسازی فنی، تولید داده قابل اعتماد و ایجاد تعاملساختاریافته میان حوزههای بیمه و امنیت اطلاعات است. در آلمان، اتحادیه بیمهگران این کشور (GDV) در تعامل نزدیک با نهادهایدولتی اقدام به تدوین استانداردهای امنیت سایبری پایه برایبنگاههای کوچک و متوسط کرده است. این استانداردها نهتنهابهعنوان معیارهای فنی مورد پذیرش در بازار بیمه قرار گرفتهاند، بلکه شرکتهای بیمه نیز ملزم شدهاند فقط به بنگاههایی خدماتبیمهای سایبری ارائه دهند که با این الزامات همراستا باشند. اینرویکرد موجب ایجاد پیوند میان ایمنی دیجیتال و قابلیت بیمهپذیریشده و نوعی همافزایی میان ارتقای امنیت و توسعه بیمه را رقم زدهاست.
در ژاپن، وزارت اقتصاد، تجارت و صنعت (METI) با همکارینهادهای نیمهدولتی بستری را برای توسعه بیمه سایبری فراهمکرده است که در آن اطلاعات مربوط به رخدادهای سایبریبهصورت سیستماتیک گردآوری، تحلیل و در اختیار شرکتهایبیمه و نهادهای ناظر قرار میگیرد. این دادهها به شرکتهای بیمهگر کمک میکند تا در فرآیند نرخگذاری، طراحی محصولات وپیشبینی ریسک از الگوهای مبتنی بر شواهد واقعی استفادهکنند. نهاد مذکور همچنین نقش تسهیلگر تعامل میان شرکتهایبیمه، ارائهدهندگان خدمات امنیت سایبری و سازمانهایمتقاضی بیمه را ایفا میکند.
در بریتانیا، مرکز ملی امنیت سایبری (NCSC) بهعنوان بازویتخصصی دولت در حوزه امنیت اطلاعات با مشارکت شرکتهایبیمه، یک سکوی مشترک برای تبادل داده و تحلیل تهدیداتسایبری ایجاد کرده است. این سکو به بیمهگران این امکان رامیدهد که در زمان واقعی از وضعیت تهدیدات نوظهور مطلعشوند، تجربههای بیمهای خود را با دیگران به اشتراک گذارند و درصورت بروز حملات گسترده، بهطور هماهنگ نسبت به تحلیلخسارت، پاسخدهی سریع و مدیریت پیامدها اقدام کنند.
این تجارب نشانگر اینست که توسعه پایدار بیمه سایبری مستلزمپیوند راهبردی میان سه حوزه کلیدی تنظیمگری بیمهای، سیاستگذاری امنیت سایبری و تولید و اشتراکگذاری داده است. کشورهای موفق در این حوزه با ایجاد نهادهای بینبخشی، تدویناستانداردهای فنی، حمایت از بازار بیمهای سایبری و هدایتبنگاهها بهسوی انطباق با الزامات امنیتی توانستهاند یکاکوسیستم باثبات، شفاف و پشتیبان در حوزه بیمه سایبری بنانهند. این رویکرد میتواند الگویی مناسب برای کشورمان باشد کهدر آغاز مسیر شکلدهی به بازار بیمه سایبری قرار دارند.
نقشه راه پیشنهادی توسعه بیمه سایبری در ایران
طراحی نقشه راه برای توسعه بیمه سایبری در ایران مستلزمرویکردی چندمرحلهای، تدریجی و مبتنی بر اولویتبندی اقداماتاجرایی و تنظیمگری است. از آنجا که بازار بیمه سایبری درکشور هنوز در مرحله آغازین قرار دارد، نخست باید بسترهایفنی، حقوقی و علمی شکل گیرد و سپس ظرفیتسازی نهادی وورود به تعاملات بینالمللی انجام شود. این مسیر در سه افق زمانیکوتاهمدت، میانمدت و بلندمدت قابل تدوین است.
مرحله اول: زیرساختسازی اطلاعاتی و نهادی(کوتاهمدت)
نخستین گام در توسعه بیمه سایبری، ایجاد زیرساختهایاطلاعاتی و حقوقی برای شناخت و سنجش دقیق ریسکهایسایبری در کشور است. تا زمانی که دادهای در دست نباشد، امکان نرخگذاری علمی، طراحی محصول، یا پیشبینی خسارتفراهم نمیشود. در این مرحله، راهاندازی سامانه ملی ثبترخدادهای سایبری (Cyber Incident Registry) باهمکاری نهادهایی همچون مرکز مدیریت راهبردی افتا، پلیس فتا، مرکز ماهر و بیمه مرکزی جمهوری اسلامی ایران یک ضرورتبنیادین محسوب میشود. این سامانه باید بهصورت منظمدادههای طبقهبندیشده مربوط به حملات سایبری در کشور راجمعآوری، تحلیل و در اختیار شرکتهای بیمهگر، نهادهای ناظر ومراکز پژوهشی قرار دهد. دادههای این سامانه شامل نوع حمله، حوزه هدف، روش نفوذ، میزان خسارت، مدت زمان از کارافتادگی، و پروفایل تهدید خواهد بود. اقدام مکمل دیگر در این مرحله، تدوینآییننامه رسمی نرخگذاری و ارزیابی ریسک سایبریتوسط شورایعالی بیمه است. این آییننامه باید متناسب با شرایطبومی، استانداردهای بینالمللی و ظرفیت تحلیل دادههای دردسترس تنظیم شود. در غیاب چنین آییننامهای، نرخگذاریبهصورت حدسی، ناپایدار و مبتنی بر برآوردهای غیرفنی باقیمیماند. همزمان با این اقدامات، طراحی و انتشار یک نمونهبیمهنامه سایبری پایه ویژه بنگاههای کوچک و متوسط(SMEs) باید در دستور کار قرار گیرد. این نمونه بیمهنامهمیتواند الگویی برای تعریف پوششهای پایه، فرمولبندی حدودمسؤولیتها، شرایط عمومی و استثنائات باشد و بهعنوان گام اولدر معرفی این نوع بیمه به بازار هدف عمل کند.
مرحله دوم: نهادسازی تخصصی و تربیت نیرویانسانی (میانمدت)
پس از تثبیت پایههای دادهای و مقرراتی، گام بعدی توسعه درسطح نهادی و منابع انسانی شکل میگیرد. در این مرحله، ایجادواحد تخصصی بیمه سایبری در ساختار سازمانی بیمه مرکزی بامأموریت سیاستگذاری، تدوین دستورالعمل، نظارت بر کیفیتمحصولات بیمهای و تحلیل آمار حملات سایبری ضروری است. این واحد میتواند بهصورت مشترک با نهادهایی نظیر سازمانپدافند غیرعامل و مرکز ملی فضای مجازی اداره شود و بهعنوانپل ارتباطی میان صنعت بیمه و نهادهای حاکمیتی عمل کند. تربیتنیروی انسانی متخصص نیز در این مرحله اهمیت حیاتی دارد. راهاندازی دورههای مشترک آموزشی یا دانشگاهی میانپژوهشکده بیمه و یا دانشکدههای مرتبط با علوم بیمه ودانشکدههای امنیت سایبری، فناوری اطلاعات، حقوق فناوری وعلوم داده، میتواند منجر به شکلگیری نسل جدیدی ازکارشناسان بینرشتهای شود که قادر به تحلیل ریسکهای دیجیتالبا زبان بیمهگری باشند. همچنین دورههای آموزش ضمن خدمتبرای کارشناسان فنی صنعت بیمه در حوزههایی چون مدیریتآسیبپذیری سایبری، ارزیابی تهدید، و تحلیل خسارت دیجیتالباید اجرا شود. در کنار اقدامات فوق، تدوین چارچوبهایحلوفصل اختلافات بیمهای سایبری نیز اهمیت دارد. به دلیلپیچیدگی فنی دعاوی ناشی از حملات سایبری، وجود داوریهایتخصصی، کمیتههای فنی بیمهای و چارچوبهای شبهقضاییبرای رسیدگی به اختلافات میان بیمهگر و بیمهگذار از حیث تعیینمنشأ حمله، دامنه خسارت، یا شمول پوشش، موجب افزایشاطمینان بازار به قابلیت اجرایی بیمهنامههای سایبری خواهد شد.
مرحله سوم: همگرایی بینالمللی و توسعه ظرفیت اتکایی(بلندمدت)
مرحله نهایی توسعه بیمه سایبری کشور همگرایی با شبکههایجهانی تحلیل ریسک، انتقال دانش بینالمللی و افزایش ظرفیتاتکایی برای پوشش ریسکهای کلان است. در این مرحله، ضرورتدارد با همکاری کشورهای منطقه صندوق اتکایی سایبریمنطقهای ایجاد کند. این صندوق میتواند ریسکهای سایبریفراتر از ظرفیت شرکتهای بیمه گر داخلی را در قالب ساختاریمشارکتی مدیریت کند و امکان همپوشانی منابع را برای مواجههبا تهدیدات همزمان فراهم سازد. از سوی دیگر عضویت ایران درشبکههای بینالمللی تحلیل تهدیدات سایبری بیمهپذیرمانند CyberAcuView، Lloyd’s Cyber Risk Consortiumیا سکوهای داده ای مشترک به صنعت بیمه کشور اجازه میدهدتا از دادهها، الگوریتمها و روششناسیهای پیشرفته برایسنجش و پیشبینی تهدیدات دیجیتال استفاده کند.
سخن پایانی
این نقشه راه اگر بهصورت مرحلهای، واقعگرایانه و در هماهنگیمیان نهادهای ذیربط پیادهسازی شود، میتواند زیربنایشکلگیری یک بازار پایدار، قابل اعتماد و کارآمد در حوزه بیمهسایبری در ایران را فراهم سازد و بهعنوان بخشی از معماری ملیتابآوری دیجیتال ایفای نقش کند. بیمه سایبری در کشور نهتنهایک ابزار مالی بلکه یک مؤلفه امنیتی در تداوم عملکردزیرساختهای فنآوری اطلاعات حیاتی در شرایط ناپایداراست. در شرایطی که تهدیدات سایبری بهصورت روزافزون در حالگسترش است، فقدان یک سیستم بیمهای منسجم در این حوزهمیتواند هزینههای جبرانناپذیری به کشور تحمیل کند. نقشه راهتوسعه بیمه سایبری نیازمند نگرش میانرشتهای، همکاری نهادیمیان بیمه، فناوری اطلاعات، دستگاههای امنیتی و نهادهایقضایی و بهرهگیری از تجارب بینالمللی است. این فرآیند اگربهدرستی طراحی و اجرا شود، میتواند کشور را به یک بازیگرایمن و پایدار در اقتصاد دیجیتال منطقه تبدیل کند.