網絡風險似乎往往很難量化，這使得保險公司很難適當地承保其網絡風險政策。威脅載體的數量和不斷發展的威脅，如新型惡意軟件/勒索軟件，導致出現對適當定價的困惑。承保網絡風險政策的公司需要衡量指標，以幫助降低其投資組合中的風險。

01

為什么保險公司需要“注意缺口”？

隨著網絡風險的重要性不斷增加，公司現在認識到，傳統的商業一般責任(CGL)政策缺乏對這些新風險的覆蓋。認識到這一點，保險公司試圖利用專門的網絡風險政策。網絡風險政策充當“缺口”保險，在CGL和業務連續性政策中的排除限制投保人恢復的情況下提供保險。

例如，在最近的一次保險糾紛中，一家保險公司聲稱NotPetya攻擊是網絡戰，從而援引戰爭排除來限制保險。然而，即使包括了網絡風險政策的排除，網絡風險公司也需要知道投保人的控制是否應該有效地減少惡意軟件和勒索軟件威脅。

02

為什么公司難以承保網絡安全政策

網絡政策承保類似于上世紀90年代中后期的環境污染政策問題。正如沒有人能夠預測化學品泄漏將在何時以及如何發生一樣，也沒有人能夠預測惡意行為者將在何時以及如何試圖侵入公司的系統、網絡和軟件。然而，同樣類似于環境覆蓋，組織可以對其業務實踐和控制負責。

誰收集數據?

許多組織收集數據，但有時公司從別人那里購買或為別人管理數據。如果你的投保人不是收集信息的人，你需要了解是誰在收集信息，并了解他們在傳輸、存儲和收集信息方面的安全程度。

數據存儲在哪里?

與了解誰收集數據類似，你還需要知道信息存儲和傳輸的位置。用戶需要知道數據是存儲在本地、云端還是數據中心。你甚至可能需要知道信息所在的區域。

如何保護數據?

即使你知道數據收集的“人”和“地點”，你仍然需要知道投保人及其供應鏈如何保護數據安全。供應流中的一個薄弱控制就可能導致數據泄露，保險公司必須根據其網絡風險政策進行承保。

03

建立承保網絡安全保險政策的指標

無論你的保險公司希望通過這些信息來確定一家公司是否值得投資，還是你的精算師正在努力評估你的網絡風險產品的財務風險，你都需要了解你的保險客戶如何保護他們的數據。

安全評級幫助保險公司更好地定價其網絡風險政策，以降低其投資組合中的風險。安全評級使用公開可用的信息，并評估由控制弱點引起的潛在數據泄露風險。網絡安全保險提供商可以使用安全評級來了解您的投保人及其供應流合作伙伴保護數據的方式，以便您可以根據指標編寫政策，而不僅僅是猜測。

安全評級提供了清晰的指標，幫助網絡風險保險公司分析投保人對業務的風險。就像保險公司在撰寫CGL或汽車政策前審查信用評級或個人駕駛歷史以獲取可操作的情報一樣，安全評級提供了關于投保人或潛在投保人的安全配置文件的信息。

Web應用風險

惡意行為者使用基于web的應用程序作為獲取未經授權訪問用戶信息的方式。一些最常見的形式包括跨站腳本(XSS)、SQL注入和安全配置錯誤。安全評級平臺持續監控互聯網的潛在控制弱點，增加了惡意行為者使用web應用程序訪問系統、網絡和服務的風險。當使用安全評級來降低承保風險時，低評級的潛在投保人有一些弱點，使他們更有可能遭遇數據泄露，并增加您提出索賠的可能性。

網絡安全風險

隨著組織將關鍵任務的業務操作轉移到云端，網絡安全變得更加重要。一個配置錯誤的云資源可能會對整個供應流造成嚴重破壞。安全評級有助于收集信息，例如使公司面臨數據泄露風險的令人討厭的錯誤配置S3存儲桶。網絡安全得分低意味著該公司對您的保險公司是一個增加的責任。

IP信譽

惡意軟件和勒索軟件攻擊，如NotPetya攻擊，通過在后臺運行，看起來像常規程序來滲透到組織的基礎設施中。安全評級可以幫助識別其網絡被感染的潛在投保人。此外，由于安全評級不斷監測這些類型的滲透，保險公司可以實時了解其投保人和潛在投保人的反惡意軟件和反勒索軟件保護的工作情況。公司越早發現潛在的惡意軟件或勒索軟件攻擊，公司經歷的資金和停機時間就越少。知識產權聲譽類別的低安全評級意味著投保人面臨更大的風險，沒有很好地管理其控制。

補丁速度

許多公司缺乏財務資源來定期更新其IT資產。無論是舊筆記本電腦還是服務器，所有IT資產都需要使用最新的安全補丁進行更新。惡意攻擊者通過使用常見漏洞(CVE)和攻擊組織缺乏安全補丁更新來滲透到組織中。雖然30天是普遍接受的安全更新時間框架，但并不是所有組織都定期打補丁。如果你希望承保一家安全評級較低的公司來打補丁，你可能會增加保險公司的財務風險。

04

虹科網絡安全評級

如何幫助網絡風險保險公司

虹科網絡安全評級持續監控互聯網，攝取公開的信息，為確定一家公司是否值得冒風險提供必要的衡量標準。我們的分析和機器學習能力不斷更新，以便保險公司可以監控其投資組合中的威脅。

我們的研究發現，評級為D或F的公司遭遇數據泄露的可能性是評級為A-C的公司的五倍。網絡安全政策承保人可以使用我們的評級來確定投保人或潛在投保人是否保持有效的控制。例如，如果一家評級為A的公司遭遇數據泄露，疏忽的可能性很低，這意味著政策可能會彌補他們的損失。然而，安全評級為D或F的投保人可能不會保持持續有效的控制，這可能表明保險問題。

虹科網絡安全評級不僅為組織的總體安全狀況提供信息，而且我們的平臺還為我們的十個因素提供個人安全評級。使用虹科網絡安全評級的網絡風險保險公司可以對個人控制弱點獲得可操作的洞察。例如，雖然一家公司的網絡安全評級可能是A，但其補丁速度評級可能是D。網絡風險保險公司可以定期審查其投資組合，并使用虹科網絡安全評級平臺的補救建議向投保人提供可行的反饋。這些詳細的分析還可以幫助深入了解發生數據泄露索賠時的特定控制弱點。

最后，虹科網絡安全評級易于閱讀的安全評級使您的保險公司的所有成員都能夠了解承保潛在政策的內在風險。承銷商可以很容易地看到一家公司的風險有多大，以及這些風險在哪里，從而實現更準確的定價。