无论你在哪里关注新闻，关于网络风险和数据中断的报道几乎总令人沮丧。一份又一份报告显示，网络事件的数量和成本正在迅速上升。（Ponemon研究所最新发布的《2015年数据泄露成本研究：全球分析》称，恶意攻击是47%的数据泄露事件的根本原因，高于去年的42%；相关业务成本自2013年以来增加了23%。）来自世界各地的网络安全专家如今异口同声地表示：如果你的企业尚未遭到黑客攻击，那么被入侵只是时间问题。
许多此类新能力都得益于大数据分析。它能够处理网络中各种各样设备的日志，将数据集中到一处并加以分析，从而发现遭到入侵的迹象。”
网络风险新闻令人不安，但企业不能只是闭上眼睛、祈求一切顺利。在这方面，有一点好消息。“如今，企业拥有比以往更多的选择，可以帮助自己增强韧性，应对威胁。安全解决方案正被更积极地用于追查不法分子，而个人也越来越意识到自己有责任保护网络边界，这既是个人责任，也是企业责任。”苏黎世保险集团（Zurich Insurance Group，简称Zurich）北美地区全球企业部战略业务风险主管琳达·康拉德（Linda Conrad）说。此外，保险公司不断扩展网络风险管理方面的专业能力和支持，并重新审视如何设计保单，以应对不同行业特有的网络风险。
最好的防御是主动出击
一段时间以来，网络安全一直是所有企业的必备条件，但趋势正从防护型安全转向检测型安全。“传统”的防护措施——防火墙、杀毒软件等——仍是网络安全工具体系的一部分，如今它们与有助于企业发现黑客踪迹并将其驱逐的流程协同使用。理想情况下，这些技术工具还应配合相应指导，帮助员工采取明智的网络风险管理实践，更好地保护企业。
“高级威胁检测领域出现了大量创新，”苏黎世风险工程部网络安全业务总监格里·凯恩（Gerry Kane）说。“许多此类新能力都得益于大数据分析。它能够处理网络中各种各样设备的日志，将数据集中到一处并加以分析，从而发现自身环境中遭到入侵的迹象。网络安全领域的大多数创新都发生在这一方面。”
董事会层面参与网络风险管理，可使数据泄露成本每条记录降低5.50美元；保险保障还可进一步使每条记录的成本降低4.40美元。”
顶尖的信息安全团队也在主动追查不法分子，往往会聘用熟悉黑客藏身之处的人。这种做法仍相当新颖，但凯恩表示，若实施得当，效果积极。“这种做法也与另一个创新趋势紧密相连——信息安全部门之间共享信息，”他说。“例如，金融服务业、能源行业，甚至一些州和地方政府，都成立了信息共享与分析中心。这些行业的公司聚在一起分享经验，让群体中的其他成员从中学习并运用这些见解，寻找此类行为并追查威胁。这仍是新生事物，但正逐渐获得发展势头和认可。”
网络风险如何融入整体风险图景
尽管越来越多的证据表明情况并非如此，网络风险仍可能涉及更多无形因素，与其他风险相比也更容易让人觉得有些假设性。“网络中断或数据泄露可能对整个企业产生广泛影响，”康拉德说。“组织不仅应防范数据丢失，还应考虑装配线、供应采购或物流中的自动化系统。销售订单处理甚至薪资发放也经常实现自动化。明智的做法是评估这些风险敞口及其可能造成的业务影响，然后实施技术和人员管控，并配置网络保险保障。”
Ponemon报告印证了苏黎世长期倡导的网络风险管理基本原则之一，即董事会层面的参与至关重要。事实上，据该报告称，此类参与据称可使数据泄露成本每条记录降低5.50美元。保险保障还可进一步使每条记录的成本降低4.40美元。
如今，我们更常被问到的已不是“我的网络保单能承保哪些其他地方未承保的风险？”，而是网络保险如何与其他保单衔接，以及可能存在哪些保障缺口。”
网络保险与通常被视为较传统的保险类别大不相同，例如财产保险：企业主更容易想象相关风险并理解其影响。但网络保险能够广泛发挥作用，通过降低企业成本和停工时间来应对网络风险。正如网络风险不断演变，企业增强韧性的方法以及可用于主动管理这些风险的保险保障也在不断发展。
“可以说，许多企业仍在努力理解网络风险管理中的保险部分，”苏黎世全球特殊险业务主管洛里·贝利（Lori Bailey）说。“从21世纪初主要关注网络安全和科技公司以来，这部分保险已经有了长足发展。随着保险保障不断改进，值得花时间了解的不只是保险保障本身，还有它如何适用于你的组织：它能带来什么价值？它实际上能为你抵御什么风险？”
所有公司都可能面临脆弱性，但在保护网络责任、网络安全和隐私方面，某些行业有非常具体的风险敞口和需求。例如，对于金融机构，市场上已有多种保险产品能够承保网络风险的某些方面，但它们并非真正的网络风险保单。贝利说，在这些行业，“人们正在进行定制，努力使现有保险产品与可能已经购买的其他产品相匹配，或满足该行业特有的具体要求”。
相互关联的风险管理
让网络保险与现有保单相衔接，是管理相互关联的网络风险的自然下一步。随着企业重新评估网络保险——保单承保什么以及如何设计——人们越来越意识到，在发生网络事件、网络安全漏洞或隐私事件时，其他保险保单可能在哪些方面提供保障，或在哪些方面不再承保。
购买网络保险的好处之一，是保单附带的主动服务。我们不只是处理索赔，还可以实时构建并演练网络风险情景，帮助企业有效开展风险评估。”
“如今，我们更常被问到的已不是‘我的网络保单能承保哪些其他地方未承保的风险？’，而是网络保险如何与其他保单衔接，以及可能存在哪些保障缺口，”贝利说。“例如，制造商购买网络保单时，通常已经有财产险和意外险计划，也可能有一些供应链和物流保障，尤其是因为去年超过50%的供应商中断由网络问题造成。因此，最初的问题会转变为基于情景的问题。如果制造商的网络遭到黑客入侵并瘫痪，哪份保单会响应？是‘一切险’供应链保单吗？网络保单吗？如果漏洞导致了某种实体损害，会由财产保单响应吗？在某些情况下，可能会触发多份保单；我认为，随着网络风险增加企业的风险敞口，这正是企业面临的挑战之一。因此，苏黎世从整体角度应对与网络风险相关的需求。”
要让企业像看待保险的其他领域一样，对网络保险建立信心，风险工程至关重要。“购买网络保险的好处之一，是保单附带的主动服务，”贝利说。“我们不只是处理索赔，还可以实时构建并演练网络风险情景，帮助企业有效开展风险评估。”
长期以来，苏黎世一直在财产险领域运用风险工程，例如在潜在事件发生前尽量减少损失。如今，在承保流程中，苏黎世也将其中一些相同原则应用于网络安全和隐私领域。“在苏黎世，我们派出自己的专家，帮助企业预先评估网络风险，确定其计划中的保障缺口。然后，我们与企业合作，尽可能在索赔发生前弥补这些缺口，”贝利说。
本文由 Zurich Knowledge Hub合作发布。本文刊发并不意味着世界经济论坛认可其中观点。
要及时了解议程， 订阅我们的每周通讯。
作者：乔·里奇（Joe Ritchey）是Capital Region Water的风险经理。
图片：在这张摄于2013年2月28日的资料图片中，一名男子在波兰华沙敲击电脑键盘。路透社/Kacper Pempel/资料图片。
