网络安全讨论长期高度关注攻击方式，却缺乏关于受影响个人的信息，以及如何保护他们的说明。
网络安全保险公司与监管机构可以携手合作，将风险评估重新聚焦于与新兴威胁相匹配的预防性控制措施，而不是静态的快照式评估。
企业应主动保护消费者数据以及自身的企业安全，这将提升其品牌形象和经营效益。
围绕网络安全的讨论往往聚焦于数据泄露的发生方式，例如勒索软件或类似手段。然而，这种固守于此的关注，掩盖了数据外泄给受害组织和个人带来的长期风险。
2022年，全球范围内有1774起组织数据泄露事件，影响超过3.92亿名个人受害者。这些事件泄露了受法律保护的信息，这些信息可识别个人使用各类服务的身份，涵盖金融、医疗保健乃至社会服务等领域。
数据泄露还直接影响经济，因为其成本持续攀升，同比增长超过20%，占全球国内生产总值的4%至6%。
尽管如此，泄露通知的透明度正日益降低。2022年，美国66%的公开通知未包含受影响受害者的信息或攻击细节，主要原因是隐私权尚未在国家层面以法律形式确立。此外，向消费者提供的泄露后服务（例如信用监控）通常与为尽量降低未来暴露和泄露风险而推荐的泄露后行动方案并不匹配。
针对数据泄露
可执行且标准化的监管规定
在美国，数据泄露通知和隐私法律由各州制定和执行，导致泄露报告存在不一致。由于缺乏统一的监管报告要求，企业只有在供应商合同中有所规定时，才会收到泄露通知。
除数据处理方面存在的零散不一致问题外，机密商业信息目前也未纳入监管范围。未在合同中规定泄露报告要求的组织，可能面临重大的第三方安全漏洞风险。全球企业遭受数据泄露的平均成本达到435万美元（2022年）
。尽管网络事件对组织的财务可持续性构成持续风险，但出于维护股价的动机，企业更倾向于避免纳入报告条款，以防范诉讼和声誉损害。鉴于美国数据泄露的成本是全球平均水平的两倍多，944万美元，美国私营部门应当与监管机构合作，在联邦法律中以法律形式确立隐私权，并统一数据处理标准。
欧盟《通用数据保护条例》应成为可执行监管规定的范本。与美国《联邦贸易委员会法》第5条不同，欧洲联盟的综合数据安全法律不允许各实体进行主观解释。欧盟的监管更为严格——相比之下，2022年，每天报告356起数据泄露事件，覆盖27个成员国，而美国仅为7起。
虽然美国缺乏凌驾于州法之上的联邦监管规定，但在欧盟，清晰的数据泄露定义促使执法机构与受影响实体共同决定伤害风险。此外，违反法规的高额罚款和处罚，促使受影响的利益相关方实现更透明的信息披露和更紧密的合作。
保险公司与监管机构之间的协调
长期以来，随着网络保险日益普及，保险行业一直引领着企业网络安全风险评估。鉴于快速演变的威胁格局，保险公司的商业模式正面临挑战，因为它们需要从时点式评估转向持续重新评估组织风险。
关于数据泄露中何为风险或伤害风险，缺乏统一的定义，这直接影响保险公司评估网络安全风险的能力。这也妨碍其评估是否提供充分保障，甚至在理赔报告时难以进行分析。承保人和理赔人员都在应对由不断演变的威胁行为者所策划的快速涌现的威胁，并难以跟上适当评级的更新步伐，而按定义，这些评级不可能是静态的。
监管机构必须与保险公司密切合作，持续改进网络保险风险评估模型，以反映与新兴威胁相匹配的预防性控制措施。
双方应共同合作，基于泄露的数据属性制定风险评分，以确定伤害的严重性和发生频率，以及数据泄露对社会造成的成本。这样一来，网络保险将成为组织安全防御策略的一部分，而不仅仅是一种用于分摊风险并使企业恢复原有运营的财务工具。
奖励保护消费者的安全措施
保险公司和监管机构推动数据泄露意识提升和减少泄露的一种方式，是奖励那些在企业安全之外，还将保障措施延伸至消费者数据保护的组织。泄露后的推荐行动方案（包括部署更严格的身份认证措施）往往未由遭受泄露的组织提供。一些推荐措施可包括以下内容：
激励组织部署客户多因素身份认证服务（如金融机构所采用的服务），以降低第三方入侵和消费者数据泄露的可能性。
表现优异的组织应考虑联合起来共同制定标准。
组织应主动出击并有能力保护消费者；受保护的消费者越多，民众对潜在威胁的了解就越充分，这将提升其品牌形象并增加收入。
网络保险可通过提供保费减免、无成本的泄露前服务，以及随威胁和网络风险管理演变而持续调整的承保机制，进一步推广这一商业模式。网络保险保障由发现未经授权的网络访问触发；为降低未经授权访问的可能性，无论是否投保，个人都应采取其可用的防护措施。
因此，网络保险政策可以成为组织在数据泄露事件发生前、发生期间和发生后的合适解决方案，并能保护个人的宝贵资产。
而以受害者为中心的做法，将进一步保护组织及其客户免受严重泄露事件的影响。
