网络保险解释：它涵盖的内容以及价格持续上涨的原因

网络保险定义

网络保险，也称为网络风险保险或网络责任保险 (CLIC)，是一种与保险公司合作的政策，旨在通过抵消与网络相关的安全漏洞或类似事件后的损害和恢复所涉及的成本来减轻风险敞口。

网络保险单涵盖哪些内容？

随着市场的成熟，网络保险政策正变得更加多样化，关于一个政策可能涵盖的更详细的细节可能会有所不同，这取决于几个因素。尽管如此，商业保险提供商的大多数网络保险单都存在共同点：

• 业务中断导致的损失（由于系统关闭或加密而导致的收入损失）
• 或有业务中断（由于第三方故障（例如 IT 供应商）导致系统停机而导致收入损失）
• 数字资产销毁
• 数据检索和系统恢复成本
• 系统错误
• 网络勒索/勒索软件
• 违规响应和补救费用
• 社会工程和网络犯罪，以及网络安全和隐私责任
  
  

政策通常还涵盖事故后的沟通和公共关系。我们现在看到越来越多的政策提供违规后资金，包括对员工进行培训以防止重复发生和完整的系统诊断。

并非所有政策都是平等的，这些保险范围将包含在全面、独立的网络政策中，但不一定包含在添加到一揽子政策中的网络保险范围内。更重要的是，并非所有形式的网络风险都包含在保险范围内。

例如，战争和/或恐怖主义或内部基础设施故障造成的经济损失不包括在内，攻击后可能产生的声誉成本也不包括在内。同样地，一种并非专门针对受影响公司设计或创建的病毒也很可能被排除在外。

勒索软件和诉讼推动网络保险变革

随着网络安全趋势引发变化，网络保险市场正在经历一个不断变化的状态。各种形式和规模的组织一直在投资网络保险政策以增加保护。与此同时，不断演变的网络威胁和风险继续困扰着组织并考验它们的弹性。因此，网络保险提供商越来越精通特定的网络安全并对其做出响应。

勒索软件引领影响保险需求和成本、保单条款和条件、要求和限制的趋势。行为者正在使用更狡猾和更复杂的方法来敲诈（和多次敲诈）企业以获取潜在的巨额资金。

勒索软件的增加导致更多的组织考虑投资网络保险，因为许多人已经看到勒索软件的成本对其他企业造成了巨大的财务破坏。除了赎金的直接成本外，从这些攻击中恢复是昂贵的。2021 年，违规响应成本从总索赔成本的 29% 增加到 52%。

随着需求的增加，供应难以赶上。保险公司正在提高他们愿意承担的风险的费率和标准。就保险范围本身而言，一些保险公司已经撤回了针对勒索软件攻击的保险范围，或者降低了他们为特定规模的企业提供的总体限额。

即使保险公司没有显着改变承保范围，他们也可能会对其保单设置主观性，要求将遵守某些关键安全措施作为保单的条件。

研究强调了勒索软件攻击和支付索赔减少，组织优先考虑预防和恢复，这在某种程度上表明，网络保险公司可能更倾向于看好寻求保险的企业。然而，全球保险公司Beazley 最近发布的数据显示，尽管索赔数量呈下降趋势，但网络保险的价格继续上涨，而 2021 年第三季度的续保保费率同比增长 23%。

更重要的是，冠状病毒大流行增加了许多组织对网络风险的脆弱性，因为成千上万的系统迁移到基于云的平台以实现远程工作。在此期间，网络保险公司敦促企业重新评估他们的保险政策，因为他们的工具集和工作实践的演变，以及适用于他们的威胁，可能没有体现在他们现有的保险中，留下了意想不到的空白和短缺可能是灾难性的。

对于技术和合规律师来说，网络保险变革的最重要驱动力是在网络事件发生后对针对组织的诉讼的财务保护需求。我们已经看到，律师声称他们正在调查针对受到打击的公司的诉讼，可能会在第二天左右发生攻击或违规行为。

这个问题最近在英国的劳埃德诉谷歌案中受到关注。谷歌在 2011 年至 2012 年期间收集了大约 400 万 iPhone 用户的浏览习惯数据，这些数据在他们不知情或未经同意的情况下用于商业目的，例如定向广告。他希望代表所有受影响的个人对谷歌提起诉讼，要求谷歌赔偿，谷歌对此表示反对。

英国最高法院试图确定这种违反数据保护立法的索赔是否可以在没有明显的人身损害的情况下成功，以及索赔人是否可以代表身份不明的个人（包括甚至可能不知道自己受到影响的人）提起集体诉讼。

2021 年 11 月 10 日，英国最高法院在两项罪名上都对谷歌作出了有利于谷歌的裁决，这意味着针对他们的诉讼不能以目前的形式继续进行。这将让英国数据控制者松一口气，他们担心，有利于劳合社的决定将为代价高昂且耗时的索赔打开闸门。

“简而言之，这一判决是恢复与数据索赔相关的现状，”数据保护诉讼律师兼 说。“我预计我们将看到更少的索赔被追究，而那些将是那些已经造成明显伤害的索赔，因此我们应该期望这些索赔将更容易在早期阶段量化和解决。即使是近年来毫无价值的大量索赔，也需要花费大量时间和成本来抵御它们，因此排除这些索赔肯定会改善低影响违规的风险状况，这应该会影响定价整个网络保险市场的风险。”

不过，无论结果如何，我们预测诉讼仍将是网络保险领域的一个有影响力的趋势。“如果有的话，随着律师事务所和资助者试图招募索赔人进行‘选择加入’行动，我们可能会更快地看到索赔受到威胁。”

国家支持的网络攻击的网络保险除外责任

2022 年 8 月，伦敦保险市场劳合社宣布，将从 2023 年起将网络保险排除在国家支持的“灾难性”攻击范围内。在 2022 年 8 月 16 日发布的市场公告中，劳合社表示，虽然它“仍然强烈支持撰写网络攻击封面”，它承认“网络相关业务仍然是一个不断演变的风险。” 因此，该公司将根据多项要求，要求其所有保险公司集团适用适当的条款，排除因任何国家支持的网络攻击而造成的损失的责任。

伦敦劳合社在一份公告中写道：“在撰写网络攻击风险时，承保人需要考虑到国家支持的攻击可能发生在涉及武力的战争之外的可能性。这些攻击可能造成的损害及其传播能力给保险公司带来了类似的系统性风险。” 劳合社的目标是确保所有在这个班级中写作的辛迪加都按照适当的标准进行写作，并使用强有力的措辞，它补充说。“我们认为，在战争或非战争、国家支持的攻击的背景下，网络攻击可能会带来复杂性，这意味着承销商应确保其措辞经过法律审查，以确保其足够稳健。”

劳合社表示，展望未来，所有属于风险代码“CY”和“CZ”的独立网络攻击政策必须包括一个适当的条款，根据新要求排除因任何国家支持的网络攻击而造成的损失的责任。这些要求将从 2023 年 3 月 31 日起生效，在每份保单开始或续签时生效，无需背书现有的有效保单，除非到期日自 2023 年 3 月 31 日起超过 12 个月。

合规公司 Cordery 的律师兼合伙人乔纳森·阿姆斯特朗 (Jonathan Armstrong) 在 8 月份对 CSO 发表讲话时表示，与劳合社提出的豁免有关，组织和 CISO 将面临的最大问题将围绕准确的攻击归因。“虽然在专家的帮助下，你经常可以说有民族国家参与的迹象，但我们知道这很难确定。正是这些困难可能导致诉讼，因为保险公司可能认为有民族国家参与，但被保险人可能认为情况并非如此，”他说。阿姆斯特朗补充说，制定适当的程序将是关键，要正确归因，组织将需要对其系统进行适当和有效的监控，以协助调查。

如何审查国家支持的攻击的网络保险除外责任

2022 年 9 月，Cisco Talos发布了关于 CISO 在审查此类排除条款时需要考虑的指南，特别关注攻击缓解策略。它列出了这四个关键因素：

第 1 步：收集取证证据：CISO 应确保他们能够从攻击中收集取证证据，以尽可能多地识别关于攻击如何进行以及攻击者使用的基础设施的信息。这种取证能力，如何收集和保存证据，应与保险公司商定。

第 2 步：定义如何进行归因：应通过比较从攻击中收集的证据与先前攻击的证据来确定特定攻击的归因。首席信息安全官应同意使用取证人工制品来确定攻击的过程，以及宣布攻击是由特定组织实施的必要确定程度。

第 3 步：考虑归因的波动性：证据和情报的收集是一个持续的过程。先前假定为事实的信息随后可能被识别为不正确或有目的的转移注意力。新的证据可能会在改变先前攻击的估计归因的攻击后数月或数年被发现。首席信息安全官应确定一段时间后，即使发现后续证据，攻击（如果发生）的归属也不会改变。

第 4 步：定义国家支持的性质：CISO 应就国家支持的构成达成一致。理想情况下，CISO 应该与他们的保险公司就被认为是国家支持的一组威胁行为者群体（及其同义词）达成一致。国家参与网络攻击是一系列活动。可以将攻击提交给国家支持的决策线是一个很好的决策线，需要考虑和同意。

如何评估您的网络保险需求

一旦公司了解了当前网络保险市场的状况和承保范围，就可以探索一项保单是否有益。“保险对于企业生活的许多方面都是必不可少的，而网络安全正迅速成为其中之一，”罗斯说。“每个公司都必须自己计算，以平衡保险成本、事件成本以及年度保费支出的机会成本。确定最需要保护的内容。对保险进行限制可以降低风险，并有助于平衡这一日益重要的保险的商业案例。”

事实上，组织需要考虑如果他们的系统因攻击而完全关闭，他们将损失多少，贝利说。“此外，到 2021 年第三季度，赎金的平均成本保持稳定在 142,000 美元左右，如果包括第三方帮助恢复的成本，这个数字会大幅增长。组织应该知道他们是否可以实际支付这笔费用，以及这可能如何影响其业务的稳定性。”

她说，网络保险可以帮助组织更加安心，因为他们知道有一个额外的安全层，并且他们会定期监控风险，这对小型企业来说尤其重要。“几年前，我们可能认为小企业没有必要制定全面、独立的网络政策，但攻击者越来越多地针对这些防御能力较弱的小企业。”

组织将网络保险政策视为改善整体安全风险战略的合作机会也很重要。“这不仅仅是风险转移。

保险公司可能处于新一波‘基线标准’的前沿，这可能比任何国际标准或行业监管机构都更具活力，对威胁形势的响应能力更强。

网络保险公司对客户的期望是什么？

如果一个组织申请网络保险，一些关键因素可以证明是成功不可或缺的。这归结为能够表明企业可以满足保险公司在考虑潜在投保人以确定其风险状态时现在寻找的安全控制要求。保险公司通常通过要求申请人完成详细的调查问卷来评估安全控制。

良好的网络安全在这里是关键。“这包括强大的备份策略、所有关键接入点的多因素身份验证以及强大的补丁管理。我们还继续看到扫描技术的力量和主动支持漏洞。由于网络安全的复杂性和基础设施的分散性，更大、更复杂的组织可能需要承销商进行更深入的分析。

证明您的组织有员工培训意识计划、在收到电子邮件/电话时绝不会转账，直到进行全面验证并支付防病毒和端点保护费用也很重要。为了获得指导和支持，建议企业与在网络方面经验丰富的保险经纪人交谈，并且可以简单地解释您需要什么以及您应该做什么。

保险业的术语已经太多了，不需要通过添加令人困惑的技术术语来使其变得更加复杂。

原文始发于微信公众号（网络研究院）：网络保险解释：它涵盖的内容以及价格持续上涨的原因