美國最大信用機構被黑，網路安全險千億藍海市場待開拓

保觀專註互聯網保險

上周，美國最大的信用評級機構Equifax被曝系統受到網路攻擊，1.43億美國居民的個人信息面臨被泄露的風險，美國總人口數量為2.23億，這意味著此次網路黑客事件在美國的覆蓋面高達64%。

據相關人士透露，Equifax有就網路安全險、犯罪防護險以及一般責任險等險種進行過投保，此次事故發生後，他們已經和保險公司展開了理賠相關的談判。據估計，Equifax所投保保單的總保額在1-1.5億美元之間。雖然Equifax在此次事件中遭受到損失的具體數額我們無從得知，但根據之前的網路攻擊事件來推算，這個數字恐怕會比1.5億美元大得多。這一次，處於起步階段的網路安全險沒能幫助Equifax全身而退。

自上周五消息被曝出之後，Equifax的估價一度暴跌16%，此後略有回升。但當保險無法覆蓋其損失的消息在周一被放出後，Equifax再度遭遇大跌，周五以來的累計跌幅超過了21%。

此次Equifax事件並不是今年的第一起大型網路安全事故，在過去的八個月中，還發生過由WannaCry和Petya這樣的勒索病毒造成的全球性的網路安全事故。這些事故對全球互聯網造成了大範圍的危害，帶來了嚴重的經濟損失。一些受此波及的公司，在被攻擊後的幾周甚至幾個月內都無法恢復正常。

如果公司規模不夠大，無法建立一個屬於自己的完善的內部網路，大部分公司無法抵禦惡意的網路攻擊。有些軟體公司可以為企業客戶提供系統設計和維護服務，通過建立多重模塊和平台，加強企業系統的安全性。但網路安全技術和黑客技術是同一枚硬幣的正反面，企業級系統維護也無法做到百分之百的安全。此時，網路安全險這一新興險種的重要性就體現出來了。

在Equifax的例子中，不知是因為網路安全險的精算模型還不成熟，保險公司沒能準確的估算網路風險會帶來的潛在損失，還是因為Equifax在投保時選擇保額太少，導致最終的理賠款無法覆蓋該公司的所有損失。但若是沒有網路安全險，只怕Equifax的損失大幅還會增加。

網路風險無異於企業組織面臨的其他風險種類（比如火災、盜竊、洪災、停電、責任），因此通過保險來對抗網路風險以及相關的經濟損失是符合常理的。針對網路風險的保險在國外被稱為網路責任險（Cyber Liability Insurance Coverage, CLIC）。2014年，全球因網路犯罪而遭受到的經濟損失高達3750億-5750億美元。而每家企業因數據泄露事件遭受到的平均損失高達300萬美元/起。網路安全險的龐大市場體量可見一斑。

然而，這個市場的餘量還很大，2016年全年，美國的傳統保險公司對網路安全險的承保總額僅為13億美元。這一數字有望在2022年達到140億美元。有調查報告顯示，年收入處於10-50萬美元區間的中小企業，其每年保費支出處於800-1200美元區間；年收入超過百萬美元的企業，其每年的保費支出會超過10萬美元。安聯集團預計這些企業的保費支出會在未來不斷上升，並在2025年達到最快增速。美國的保險行業組織——保險信息協會（Insurance Information Institute，簡稱iii）預計，未來網路犯罪風險將是企業面臨的第三大風險。

就目前情況來看，傳統保險公司的資源有限，無法滿足企業客戶日益增長的網路安全險需求。保險公司在計算網路安全險的保費時，有幾個關鍵因素是必須考慮的，比如投保公司的業務種類、數據的隱患（對於黑客的吸引力）、企業規模以及企業年收入等。但是如何用標準化的流程評估企業面臨的網路風險敞口，業內還沒有定論。

目前，大多數保險公司是通過問卷調查或者第三方上門評估的方式來預估投保企業的網路風險，這些方式需要投入大量的時間和金錢。因為網路安全險這一險種還不夠成熟，整個領域內缺少經驗豐富的專業人才進行高效的風險評估。大多數情況下，上門評估都是由保險公司和安全諮詢公司的基層人員用非標準化的方法進行評估的。

保險公司或許自己對於這一新興險種就是保的是什麼，以及如何定價還不清楚，因此該領域還略顯低效。大家對於企業系統「安全」的定義以及導致系統存在弱點的因素存在相左的意見。如何掌控網路風險也是一門需要深入研究的學問。

好消息是，現在有研究機構正在開發高級模擬系統，通過模仿不同維度和方式的網路攻擊來評估投保企業的網路安全程度。這一模擬系統會根據模擬進攻的結果為企業制定一個網路風險評分，這一評分的制定是基於如NIST、CVSS3.0和DREAD模型等這類被廣泛接受的風險計算方法的。

這一模擬系統技術有望大幅度提升保險公司對於網路安全險的定價能力，他們可以在幾個小時內完成對投保公司的分析，獲取該公司的網路風險評分，從而決定是否承保，並且確定保額總量以及保費水平。

此外，通過統一的評分標準來評估網路安全險投保公司，可以降低保險公司的風險敞口水平，在為企業客戶提供足夠保障的同時，讓保險公司獲得足夠的利潤，讓整個網路安全險種能夠進入一個正反饋的發展軌道。

End

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！