网络保险公司如何提升网络韧性

• 由于缺乏衡量网络韧性的标准化框架，网络保险业在确保构建全球网络韧性生态系统方面的作用受到削弱。

• 网络保险需求增长，意味着保险公司具备影响网络韧性标准实施的有利条件和动力，并可将这些标准纳入改进后的风险评估方法。

• 网络保险公司通过协作、改进、监测、质量保障和情报，在提升网络韧性方面发挥重要作用。

2022年俄乌战争表明，网络攻击持续增加，网络威胁武器化正成为一种工具，用于最大限度地冲击多家企业以及对国民经济至关重要的关键基础设施。确保网络韧性有赖于有效识别和缓解风险。因此，组织比以往任何时候都更需要穿上“数字防弹衣”。

网络保险业在提升并确保构建全球网络韧性生态系统方面发挥着重要作用。然而，网络保险公司和投保组织都缺乏衡量网络韧性的标准化框架。相反，它们依赖行业基准来分配资源，并使用过时的方法量化网络风险。

随着网络事件发生频率上升、造成的破坏性影响加剧，显然，增加网络安全支出未必能提升网络成熟度。在过去两年为组织承保期间，保险公司切身体会到不成熟的风险评估方法所带来的影响；近期，排名前20的网络保险公司报告了创纪录的高赔付率。

随着网络保险需求增加，保险公司如今具备影响网络韧性标准实施的有利条件（并有经济动力），可以将这些标准纳入改进后的风险评估方法。

网络保险公司可以通过多种方式，在提升网络韧性方面发挥关键作用。

1. 协作

网络保险公司可以与政府、监管机构和组织协作，持续改进并根据当前面临的攻击风险确定行动优先次序，因为它们拥有独特优势，能够采用网络韧性最佳实践，并践行良好的安全卫生规范和行为。

它们不仅可以提供适当激励，鼓励增强韧性的行为，也在经济上有切身利益，致力于跨行业、跨地域降低社会面临的网络风险。因此，它们的资产负债表与其他主体的网络安全成效密不可分。

统一网络风险衡量方法和治理原则，对保险业和社会都有利。

2. 提出改进计划

网络保险公司还可以通过提出改进计划，鼓励组织按照既定操作顺序采取行动。

保险服务提供方会评估组织的安全状况，以确定保费。为此，它们可以获取多方面的内部信息，例如可能尚未公开的安全事件、数据泄露和理赔数据。

网络保险公司根据这些信息确定保费和合同条款，也可以制定改进目标，以激励积极的安全行动。

例如，对投保方持续保持良好安全状况的情形重新评估保费并给予折扣，可能产生重大影响。

3. 监测与质量保证工具

网络保险公司可以采用持续监测实践和工具，通过安全评级等指标，确保网络安全状况得到改善。

持续监测可以降低网络风险，并在发生数据泄露或安全事件时，加深对投保实体网络安全评级的了解。将这些洞察与对已发生的数据泄露或安全事件类型，以及理赔中列明的影响类别的重要发现结合起来，可以提供独特见解。

例如，发现实体类型（如所属行业和规模）、该实体的网络成熟度评级，以及导致其向保险公司（有时是多家保险公司）提出理赔的业务数据泄露影响之间的相关性，将极大增进我们对风险指标的认识。

汇总并匿名化理赔数据分析结果，有助于发现高度相关的指标、模式和新兴趋势。这些数据可作为与投保方就年度保费和事件发生后的保费进行谈判时的正当依据。

显然，保险公司处于有利位置，能够影响组织实现网络韧性。它们可以利用持续承保的可能性来实现这一点，即定期监测投保方的风险状况。这种主动监督有助于指导客户采取最佳做法，主动避免网络事件。

借助数据驱动的风险模型，保险公司可以促使投保方改进控制措施，从而提升其网络安全风险评级和韧性，以应对不断变化的风险环境。

4. 运用和共享情报

发生事件时，网络保险公司可以与生态系统参与者和执法部门运用并共享情报，加快响应、缩短恢复时间，从而降低风险。

如前所述，保险服务提供方能够独特地获取可能尚未公开的安全事件、数据泄露和理赔数据。保险服务提供方若不利用这些信息为监管政策、网络安全实践和事件响应提供依据，将是不负责任的。

美国、欧洲和亚洲的ISAC（信息共享与分析中心）通常会共享失陷指标（IoC），以增强石油和天然气、金融服务或零售与酒店等行业或领域的集体韧性。STIX和TAXII（截至2021年6月已更新至2.1版）是为此目的制定的结构化数据共享协议。

大型企业或许应寻找类似途径，建立保险从业者社群，让成员受益于汇总并匿名化的TTP（战术、技术和程序）以及与数据泄露事件或业务中断相对应的数据。如果再将安全供应商提供的更深入威胁情报源加入这一事件和威胁行为者信息库，我们或许就能助力打造真正坚韧而强大的集体防御能力。