网络保险清算：为什么 AI 驱动的攻击会破坏覆盖范围（以及下一步会发生什么）

快速阅读: 据《VentureBeat 公司》最新报道，本文介绍了网络安全保险的重要性和覆盖范围，特别是在AI日益普及的背景下。网络安全保险通常涵盖业务中断、攻击修复、客户通知等费用，但也存在一些排除条款。预计2024年索赔将增加，保费上涨，CISO保障范围也将扩大。保险公司要求客户具备健全的第三方风险管理计划。

本文是VentureBeat特别报道的一部分，“网络弹性手册：应对新威胁时代”。更多内容请访问此处。当今的网络攻击对现代企业来说可能是瘫痪性的——并且极其昂贵。黑客利用人工智能，正以前所未有的速度利用漏洞。然而，标准的企业保险产品，如综合责任保险或专业责任保险（错误和遗漏，即E&O）通常不涵盖因数据泄露或其他网络相关事件导致的损失或损害。这使得网络安全保险在2025年及以后变得愈发重要。尤其是随着AI改变并简化黑客的方法论。网络安全特定保险政策涵盖了范围广泛的修复成本和恢复努力，帮助企业限制损失、更快恢复并改善整体网络安全状况。但与任何其他类型的保险一样，网络安全保险可能复杂且充满法律术语和漏洞。让我们了解基础知识，为什么它很重要，应该寻找什么以及今年随着AI成为焦点，我们可能会看到哪些趋势。

那么网络安全保险覆盖什么？通常，网络安全政策提供第一方（直接损失）和第三方（业务外部）损害的保障。一般保障包括：

业务中断：系统离线时的收入损失；

攻击修复：事件响应、法医调查或系统维修；

客户通知和声誉管理：当客户的个人身份信息（PII）可能被访问时自动发出警报；

信用监控和数据泄露热线；

公关工作以修复品牌形象；

法律费用：因数据泄露而引发的诉讼（如客户或供应商提起的诉讼），即所谓的“辩护责任”；

监管行动：需要法律服务和潜在罚款的调查。

对于勒索软件而言，值得注意的是，虽然提供商过去曾支付过赎金，但许多现在正在放弃这一做法，因为勒索软件攻击频发，黑客要求的金额越来越高，监管机构也在进行审查。在某些情况下，赎金支付可能会受到“子限额”的限制，或者有支付上限。“鉴于近年来勒索软件攻击频发，这些子限额越来越低，因此在付款前应先咨询其经纪人和相应的保险公司，”律师事务所GB&A建议道。

另一方面……再次强调，与其他类型的保险一样，网络安全保险也有排除条款。例如，由于社会工程攻击（如网络钓鱼或短信诈骗）涉及用户操纵和人为错误，保险公司通常不会覆盖后续损失（或会额外收费）。同样，内部威胁——当员工的恶意或疏忽行为暴露企业——通常也不在保障范围内。已知漏洞的利用，如果公司知道但未修复，通常不在保障范围内，同样，由于配置错误或其他错误导致的网络故障（而不是全面的数据泄露）也不在保障范围内。

需要注意的是，一些保险公司除非公司拥有强大的安全措施（如零信任能力、多因素认证（MFA）控制、端点检测、详细的风险评估和事件响应计划以及定期的安全意识培训），否则甚至不会考虑提供报价。为了降低网络安全保险的保费，专家建议安全领导者主动沟通组织为减少网络安全风险所采取的措施，并采用行业标准框架，如NIST或ISO 27001。“一些保险公司甚至为能够证明符合这些框架的公司提供折扣或降低保费，”安全公司Portnox指出。在风险评估方面，“保险公司通常将其视为降低保费的机会，特别是当评估由第三方供应商进行时。”

确保阅读细则与任何保险合同一样，GB&A建议仔细审查保单限额。保单应包含对勒索和攻击者威胁的广泛定义。例如，攻击者威胁：

更改、损坏或销毁数据、软件、硬件或程序；

访问、出售、披露或滥用信息；

执行分布式拒绝服务（DDoS）攻击；

网络钓鱼或其他垃圾邮件客户和客户；

通过企业的网络或网站向第三方传输恶意代码。

保单还应包括对特定计算机系统的定义（硬件、软件、固件、操作系统、虚拟系统和机器、无线设备以及任何与网络相关的其他内容）；涵盖的收入损失（恢复期间的经营费用或聘请法医会计师或其他顾问的成本）；以及涵盖的数据恢复（重建受损或丢失数据的成本）。

此外，GB&A强调保单应明确列出关于勒索费用的保障范围，如数字货币或财产的类型、调查成本以及尝试付款时发生的损失。“遭受勒索软件攻击的保单持有人在付款前应先咨询其经纪人和相应的保险公司，”该公司建议。

我们在2024年的网络安全保险中看到了什么——以及2025年可能会发生什么

商业电子邮件欺诈（BEC）、资金转账欺诈（FTF）和勒索软件是2024年报告最多的索赔。索赔金额从1,000美元到超过5亿美元不等。展望未来一年，根据保险经纪和咨询公司Woodruff Sawyer预测，保费将会上涨。该公司指出，2024年最一致的争议领域是未经适当同意收集个人信息，这一问题在2025年很可能继续成为一个高度争议的领域。

此外，预计CISO（首席信息安全官）的保障范围将持续扩大。这是由于新的证券交易委员会（SEC）审查——特别是在该机构因SolarWinds公司2020年底著名黑客事件而对其安全负责人提出指控之后。正如Woodruff Sawyer所指出的，CISO责任保障可以在网络安全政策和董事及高级管理人员（D&O）政策中找到。一些保险公司也提供单独的保障来覆盖CISO的个人责任。

此外，保险公司要求其客户必须具备健全的第三方风险管理计划。这应包括对供应商购买网络安全或技术错误和遗漏（E&O）保险的要求，并提供网络安全认证的证据。Woodruff Sawyer强调：“CrowdStrike公司在2024年7月的宕机是针对科技公司的一系列显著事件中的最新一起，目的是获取或扰乱客户网络。网络安全保险公司期望客户具备健全的第三方风险管理计划。”

(以上内容均由Ai生成)