欧盟《数字运营韧性法案》（DORA）的出台，旨在保护金融企业免受重大信息和通信技术（ICT）风险的影响。
DORA要求包括保险公司在内的金融集团对其所聘用的技术供应商的安全性负责，因为第三方增加了该行业的脆弱性。
根据DORA，网络风险评级是一种可行的技术解决方案，能够客观评估保险公司的网络安全状况。
欧洲金融业正迈入监管的新时代。作为一揽子数字化举措的一部分，旨在使欧洲金融业能够利用技术和创新带来的益处，欧盟推出了《数字运营韧性法案》（DORA），该法案近期已获欧洲议会通过。
该法案旨在应对重大信息和通信技术（ICT）事件造成的恶劣影响，并旨在增强包括保险公司在内的金融行业的数字运营韧性。事实上，该法案在保险行业的实施有可能彻底改变保险公司管理和缓解网络风险的方式。
DORA如何运作？
DORA有五大主要支柱：
风险管理。
事件报告。
数字运营韧性测试。
ICT第三方风险管理。
信息与情报共享。
从本质上讲，DORA要求金融集团对其所聘用的技术供应商的安全性负责。该法案还适用于向保险行业提供关键ICT服务的第三方，例如云计算服务、软件（例如用于电子交易业务的承保平台）、数据分析服务和数据中心。
这是对该行业日益依赖第三方技术供应商的监管回应，因为其中一个节点的失效会波及整个系统。国际货币基金组织已指出，对共同服务提供商的依赖意味着攻击更有可能产生系统性影响，并可能使整个行业变得脆弱，损失可能很大并可能演变为宏观层面的关键问题。国际货币基金组织已指出，对共同服务第三方提供商的依赖意味着攻击更有可能产生系统性影响，并可能使整个行业变得脆弱——损失可能很大，并可能演变为宏观层面的关键问题。
因此，该法案对行业内的企业提出了若干要求，包括快速报告网络安全事件、掌握第三方依赖关系的可见性，以及具备응답审计请求的能力。
随着DORA将于2023年和2024年实施，关键问题在于：保险公司将采用哪些工具以符合DORA的要求，以及欧洲保险与职业养老金管理局（EIOPA）——该行业的主要监管机构——是否会将技术解决方案纳入DORA技术标准的考量范围？
世界经济论坛在网络安全方面开展了哪些工作？
网络安全中心为各方领导人提供了一个可信赖的平台，以共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业合作与洞察分享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
技术解决方案助力大规模增强安全性
一种可行的选择是网络风险评级，该评级基于网络安全、数据保护和事件响应能力等多种因素，客观评估组织的网络安全状况。管理数字供应链中的网络风险也日益关键。根据SecurityScorecard与Cyentia Institute的联合研究，98%的组织与至少一家在过去两年内曾遭遇数据泄露的第三方存在合作关系。
保险公司已在使用网络风险评级来评估网络攻击风险并确定适当的承保定价。利用这一工具管理自身的第三方风险并符合DORA的要求，是合乎逻辑的发展方向。通过采用网络风险评级，保险公司能够有效管理其第三方风险，并做出明智的承保决策。鉴于DORA的要求，随着保险公司必须证明其识别、评估和管理网络风险的能力，采用网络风险评级变得愈发重要。
鉴于第三方网络风险的系统性影响，EIOPA应以技术标准的形式引入强制性网络风险评级。这些标准可就保险公司为符合DORA而必须遵守的ICT要求和报告义务提供详细指引。
已有先例，即欧洲银行管理局（EBA）针对《支付服务指令》（PSD2）制定的技术标准——该标准旨在加强支付交易中的客户保护并促进商业创新——详细规定了在保持技术中立的同时，如何管理身份验证中的技术标准。
这是一项全球趋势；法国立法将强制推行网络风险评级。此外，法国《网络安全评分法》要求面向公众的数字平台取得网络安全认证。该法将于2023年10月1日生效。
法国《网络安全评分法》应成为EIOPA的范例，因为EIOPA在解释DORA技术标准方面有较大的空间。例如，IBM的研究发现，供应链入侵导致了近五分之一的数据泄露，而这些入侵使泄露事件的成本更高，并导致生命周期更长。
该研究还表明，供应链泄露事件的识别和遏制时间比全球平均水平多出26天。在具有系统重要性的金融服务领域，尤其是保险领域，这一风险水平是不可接受的。
通过促使保险公司采用创新工具（例如网络风险评级），并可能通过EIOPA引入强制性技术标准，DORA推动了更具韧性和安全性的金融行业发展。
