网络犯罪与网络不安全问题曾位列全球十大风险之中（2023年）。
随着技术的发展，创新带来的收益日趋有限，而网络安全风险却不断加剧。
保险行业或许能够帮助消费者和企业应对这一态势。
在网络安全问题上，毫无疑问对于“默认安全”的重要性。这一方式可确保产品用户在无需采取任何特殊措施的情况下，免受最常见威胁的侵害。然而，在全行业推行默认安全确实面临挑战，例如，产品成本和创新速度可能承压。
论坛如何应对全球网络安全挑战？
网络安全中心为各界领袖提供可信赖的平台，共同厘清不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。
通过促进跨行业合作与洞见分享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
好消息是，默认安全的执行无需普及到所有产品即可产生效果。少数成熟产品造成了大部分网络风险，而其创新回报正在递减。
令人意外的是，推行默认安全标准未必最终由政府承担。事实上，在落实最高级别的网络安全保护方面，保险行业可能是一位默默无闻的英雄。
政府实际上更可能有选择地采纳保险标准并将其转化为合规要求，从而使消费者免于承担全部合规成本。
巨大的网络安全风险至关重要
大约30年前，软件开始驱动商业活动时，网络风险极低，每次新版本都带来巨大的功能提升，因此当时优先考虑快速创新周期是合理的。软件向来“勉强能用”，而与故障技术相关的风险几乎全部由买方承担。
这一方式已不再适用：2023年，网络犯罪与网络不安全问题被列为全球十大风险之一，据世界经济论坛报告。如今大多数商业软件已趋于成熟。新版本带来的生产力提升日益有限，却往往产生影响数十亿用户的严重漏洞。
应用最广泛的软件产品理应承担最高的安全标准。它们拥有庞大的用户群，且已高度成熟。例如：过去五年间，美国50%的勒索软件攻击源自内置于Windows操作系统中的单一远程访问工具（RDP）。
因此，相较于试图解决整个科技行业的风险，一种务实、分层的方法更能有效降低网络风险，即优先在最相关的软件中，通过设计和默认设置实现高标准安全。
世界经济论坛正在采取哪些措施应对网络安全人才缺口？
降低网络风险的干预措施
虽然未必明说，但软件目前运行于“自担风险”的模式之下。这意味着大多数科技供应商无需为其通过持续存在的软件漏洞所造成的风险后果承担问责或法律责任。当攻击者利用漏洞时，使用该软件的企业（及其保险提供方）需承担由此产生的财务、法律和声誉负担。
对于拥有专门安全团队、能够及时跟进持续更新和新出现漏洞的大型企业而言，风险或许可控。然而，缺乏专职内部安全团队和资源的中小企业承担的风险更大，而且它们往往直到为时已晚时才意识到可能造成的灾难性损失。
此外，随着恶意软件技术不断进步，企业用于抵御这些风险的安全工具也在升级。这些精密工具对大多数小企业而言不仅价格过高，而且需要专业人员操作，而这些小企业既负担不起聘用此类人员，也无力从托管安全服务公司租用相关服务。
归根结底：小企业正面临网络安全市场失灵。它们被抛在身后，面对日益复杂且不断增长的威胁环境、价格高昂的工具、科技供应商对其自身制造的安全漏洞毫无问责，以及几乎得不到政府支持。这一市场失灵不会自行消除。
保险：全球事实上的风险监管者
网络保险或许最适合解决这一问题，因为它具有独特能力，可以为安全合规创造市场无法自然产生的财务激励。
保险行业拥有数据、专业知识和动机，能够确定哪些措施有助于将网络风险降低至可投保的水平。历史上，保险一直是各类风险体系中事实上的安全调节者，在跨行业标准化风险缓解技术和流程方面承担了大部分责任。一个典型例子是保险行业推动在每辆汽车中安装安全气囊：尽管汽车行业表示反对，该行业仍曾起诉美国联邦政府至最高法院，要求将其列为强制性要求。
保险公司具有可信度。它有资金利害关系，对哪种安全方案胜出保持中立，并拥有大规模数据，包括网络事件的实际成本，而不仅仅是事件的发生频率。承保要求是一种出色的合规工具，能够有效确立标准。高风险或配置不当的软件用户将受到“惩罚”，从而使供应商对其所做选择承担问责。安全软件将获得保费优惠以及保险公司的认可。
随后，政府可以借力保险行业所做的工作，在适用的情况下将这些标准转化为合规要求。
InsurSec：融合保险与安全
对于小企业而言，保险公司还能够解决当前使软件难以获取的市场失灵问题。通过承担风险，保险公司有动力帮助企业提升安全水平、避免安全事件。在某些情况下，保险公司还可提供安全软件和运营服务，以帮助降低客户损失。此外，保险公司也有动力支持小企业选择更优质的软件并管理其配置。
新一代的InsurSec公司（保险+安全）有望推动我们迈向一个强大安全成为常态而非例外的世界；在这个世界里，消费者无需为其所依赖软件的缺陷承担责任。
