網(wǎng)絡(luò)保險(xiǎn)的水有多深？
網(wǎng)絡(luò)保險(xiǎn)，也稱為“網(wǎng)絡(luò)風(fēng)險(xiǎn)保險(xiǎn)”或“網(wǎng)絡(luò)責(zé)任保險(xiǎn)”(CLIC)，它一直被視為對(duì)抗網(wǎng)絡(luò)風(fēng)險(xiǎn)的“數(shù)字疫苗”，可以幫助企業(yè)做好準(zhǔn)備，防范網(wǎng)絡(luò)風(fēng)險(xiǎn)。一旦企業(yè)遭遇網(wǎng)絡(luò)攻擊，它也能讓其以較快的速度恢復(fù)正常工作。
網(wǎng)絡(luò)保險(xiǎn)涵蓋哪些內(nèi)容?
隨著市場(chǎng)不斷發(fā)展成熟，網(wǎng)絡(luò)保險(xiǎn)變得越來(lái)越多樣化，甚至可以說(shuō)每一個(gè)保單的涵蓋內(nèi)容都不盡相同。盡管如此，大多數(shù)網(wǎng)絡(luò)保險(xiǎn)保單內(nèi)容仍然存在一些普遍的共性，包括業(yè)務(wù)中斷造成的損失(由于系統(tǒng)停機(jī)或被鎖定造成的收入損失);意外業(yè)務(wù)中斷(由于第三方故障，例如 IT 供應(yīng)商，導(dǎo)致系統(tǒng)停機(jī)而造成的收入損失);數(shù)字資產(chǎn)銷毀;數(shù)據(jù)檢索和系統(tǒng)恢復(fù)成本;系統(tǒng)錯(cuò)誤;網(wǎng)絡(luò)勒索/勒索軟件;違規(guī)響應(yīng)和補(bǔ)救費(fèi)用;社會(huì)工程和網(wǎng)絡(luò)犯罪，以及網(wǎng)絡(luò)安全和隱私責(zé)任等。
UKGlobal Broking Group 董事兼保險(xiǎn)經(jīng)紀(jì)人 Richard Hodso 補(bǔ)充道，網(wǎng)絡(luò)保險(xiǎn)通常還涵蓋事件發(fā)生后的溝通和公共關(guān)系處理。如今，越來(lái)越多的網(wǎng)絡(luò)保險(xiǎn)還會(huì)提供違規(guī)后資金支持，包括培訓(xùn)員工以防止發(fā)生類似事件，以及完整的系統(tǒng)診斷等等。不過(guò)，并非所有的網(wǎng)絡(luò)保險(xiǎn)都完全相同，它們獨(dú)立且各具特色。此外，也并非所有形式的網(wǎng)絡(luò)風(fēng)險(xiǎn)都在保險(xiǎn)范圍內(nèi)，例如，戰(zhàn)爭(zhēng)和/或恐怖主義造成的財(cái)務(wù)損失或內(nèi)部基礎(chǔ)設(shè)施故障，及攻擊后可能產(chǎn)生的聲譽(yù)成本也不在保險(xiǎn)范圍內(nèi)。
同樣地，專門針對(duì)受影響企業(yè)而設(shè)計(jì)或創(chuàng)建的病毒也可能排除在保險(xiǎn)范圍之外。
網(wǎng)絡(luò)保險(xiǎn)市場(chǎng)的變革
網(wǎng)絡(luò)保險(xiǎn)市場(chǎng)正隨著網(wǎng)絡(luò)安全態(tài)勢(shì)轉(zhuǎn)變而不斷變化。各種形式和規(guī)模的組織一直在投資網(wǎng)絡(luò)保險(xiǎn)，以對(duì)沖網(wǎng)絡(luò)風(fēng)險(xiǎn)帶來(lái)的影響。與此同時(shí)，不斷變化的網(wǎng)絡(luò)威脅和風(fēng)險(xiǎn)正持續(xù)困擾著組織，并考驗(yàn)著他們的網(wǎng)絡(luò)彈性。因此，網(wǎng)絡(luò)保險(xiǎn)提供商越來(lái)越熟悉特定的網(wǎng)絡(luò)安全問(wèn)題并能做出響應(yīng)。
其中，勒索軟件正是影響網(wǎng)絡(luò)保險(xiǎn)覆蓋需求和成本、政策條款和條件、要求和限制等變化的關(guān)鍵因素。攻擊者正在使用更狡猾和復(fù)雜方法來(lái)勒索(甚至重復(fù)勒索)組織，以獲取潛在巨額贖金。
勒索軟件的增加導(dǎo)致更多組織開始考慮投資網(wǎng)絡(luò)保險(xiǎn)，因?yàn)樵S多組織已經(jīng)清楚地意識(shí)到，相較于投資網(wǎng)絡(luò)保險(xiǎn)的成本，勒索軟件造成的巨大財(cái)務(wù)中斷將使他們更難以承受。除了贖金這種直接成本外，從勒索攻擊中恢復(fù)才是更為昂貴的環(huán)節(jié)。有數(shù)據(jù)顯示，2021 年，組織違規(guī)響應(yīng)成本已經(jīng)從總索賠成本的 29% 增加到了 52% 。
鑒于網(wǎng)絡(luò)攻擊日趨復(fù)雜和頻繁，網(wǎng)絡(luò)保險(xiǎn)市場(chǎng)已經(jīng)呈現(xiàn)“供不應(yīng)求”的局面。如今，保險(xiǎn)公司正在提高其愿意承保的風(fēng)險(xiǎn)費(fèi)率和標(biāo)準(zhǔn)。就承保范圍本身而言，一些保險(xiǎn)公司也已經(jīng)取消了他們?yōu)槔账鬈浖籼峁┑某斜＝痤~，或者降低了為一定規(guī)模組織提供的總體限額。即便保險(xiǎn)公司沒有大幅更改承保范圍，他們也可能會(huì)在保單中設(shè)置更多主觀性內(nèi)容，要求投保公司遵守某些關(guān)鍵的安全措施作為保單條件。
根據(jù)全球保險(xiǎn)公司 Beazley 最近發(fā)布的數(shù)據(jù)，網(wǎng)絡(luò)保險(xiǎn)價(jià)格仍在繼續(xù)上漲，2021 年第三季度，續(xù)保費(fèi)率同比增長(zhǎng)了 23% 。
此外，新冠肺炎疫情大流行也進(jìn)一步推動(dòng)了組織對(duì)網(wǎng)絡(luò)保險(xiǎn)的需求。隨著成千上萬(wàn)的系統(tǒng)遷移到基于云的平臺(tái)以支持遠(yuǎn)程勞動(dòng)力，網(wǎng)絡(luò)保險(xiǎn)公司也不斷敦促組織重新評(píng)估其保險(xiǎn)政策，因?yàn)樗麄兊墓ぞ呒凸ぷ鲗?shí)踐在演變，面臨的網(wǎng)絡(luò)威脅也可能不會(huì)在其現(xiàn)有保險(xiǎn)政策中體現(xiàn)出來(lái)，任何意想不到的缺口都可能是災(zāi)難性的。
最近幾年，即便是毫無(wú)根據(jù)的索賠訴訟也耗費(fèi)了被告組織的大量時(shí)間和成本，出于財(cái)務(wù)保護(hù)需求，我們有理由相信，這種行為會(huì)進(jìn)一步影響整個(gè)網(wǎng)絡(luò)保險(xiǎn)市場(chǎng)的定價(jià)。
企業(yè)的網(wǎng)絡(luò)保險(xiǎn)需求
保險(xiǎn)對(duì)企業(yè)的許多方面都至關(guān)重要，而網(wǎng)絡(luò)安全正迅速成為其中之一。每個(gè)企業(yè)都必須自己進(jìn)行數(shù)學(xué)計(jì)算，以平衡保險(xiǎn)成本、安全事件成本以及用于年度保費(fèi)的資金機(jī)會(huì)成本，并確定最需要保護(hù)的內(nèi)容。
事實(shí)上，企業(yè)需要充分考慮如果其系統(tǒng)因攻擊而完全關(guān)閉，他們會(huì)損失多少?此外，到 2021 年第三季度，勒索贖金的平均成本穩(wěn)定在 142,000 美元左右，如果將第三方幫助恢復(fù)的成本包括在內(nèi)，這個(gè)數(shù)字會(huì)大幅增長(zhǎng)。企業(yè)應(yīng)該清楚他們是否有能力實(shí)際支付這筆費(fèi)用，以及這可能會(huì)對(duì)業(yè)務(wù)的穩(wěn)定性造成何種影響。
網(wǎng)絡(luò)保險(xiǎn)的存在，可以讓企業(yè)更加安心，因?yàn)樗麄冎烙幸粋€(gè)額外的安全層，并且他們正在定期監(jiān)控風(fēng)險(xiǎn)，這對(duì)小型企業(yè)來(lái)說(shuō)尤為重要。幾年前，我們可能認(rèn)為小企業(yè)沒有必要制定全面、獨(dú)立的網(wǎng)絡(luò)保險(xiǎn)政策，但事實(shí)證明，攻擊者正越來(lái)越多地瞄準(zhǔn)這些防御能力較弱的小企業(yè)。企業(yè)應(yīng)該將網(wǎng)絡(luò)保險(xiǎn)視為改善整體安全的機(jī)會(huì)，而非只是簡(jiǎn)單的風(fēng)險(xiǎn)轉(zhuǎn)移。
如今，保險(xiǎn)公司可能正處于設(shè)置新一波“安全基線標(biāo)準(zhǔn)”的前沿，而且這種標(biāo)準(zhǔn)可能比任何國(guó)際標(biāo)準(zhǔn)或行業(yè)監(jiān)管機(jī)構(gòu)都更具活力和響應(yīng)能力。
網(wǎng)絡(luò)保險(xiǎn)公司的期望
對(duì)于申請(qǐng)網(wǎng)絡(luò)保險(xiǎn)的組織，保險(xiǎn)公司通常會(huì)要求其完成詳細(xì)的調(diào)查問(wèn)卷，以評(píng)估其安全控制狀態(tài)，只有滿足保險(xiǎn)公司安全控制要求的組織，才有資格獲得網(wǎng)絡(luò)風(fēng)險(xiǎn)保單。
保險(xiǎn)公司認(rèn)為，良好的網(wǎng)絡(luò)狀況對(duì)于組織獲得網(wǎng)絡(luò)保單至關(guān)重要，這包括強(qiáng)大的備份策略、所有關(guān)鍵接入點(diǎn)的多因素身份驗(yàn)證、強(qiáng)大的補(bǔ)丁管理、掃描技術(shù)以及主動(dòng)支持漏洞的能力等。考慮到網(wǎng)絡(luò)安全的復(fù)雜性和基礎(chǔ)設(shè)施的去中心化，一些更大、更復(fù)雜的組織可能需要承銷商參與，以對(duì)其網(wǎng)絡(luò)狀況進(jìn)行更深入的分析。
此外，組織的員工意識(shí)培訓(xùn)計(jì)劃，在未得到全面驗(yàn)證之前絕不向電子郵件/電話轉(zhuǎn)賬，以及擁有防病毒和端點(diǎn)保護(hù)投資同樣至關(guān)重要。為了獲得指導(dǎo)和支持，建議組織與在網(wǎng)絡(luò)保護(hù)方面經(jīng)驗(yàn)豐富的保險(xiǎn)經(jīng)紀(jì)人交談，并簡(jiǎn)單地解釋自己需要什么以及應(yīng)該做什么。值得注意的一點(diǎn)是，保險(xiǎn)中的術(shù)語(yǔ)已經(jīng)太多了，不需要添加令人困惑的技術(shù)術(shù)語(yǔ)使一切變得更加復(fù)雜。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過(guò)安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
