网络保险:值得，但要小心不包括在内

为了降低灾难性经济损失的风险，所有明智的人都会这样做:购买保险。当涉及到汽车和健康风险时，甚至没有选择——保险是法律强制要求。大多数人都会同意，拥有一所房子却不承担房主保险的人要么是傻瓜，要么是超级富豪。

那么，为什么不提供网络保险呢?

事实上，它的理由是令人信服的。数据泄露的成本高达数百万美元，而且还在迅速上升。正如波耐蒙研究所所说剧情简介在最近关于这个问题的一份报告中，“数据泄露已经变得像感冒一样常见，但治疗费用要昂贵得多。”

在另一个报告由惠普企业安全公司赞助的波奈蒙公司发现，“一个美国组织的基准样本的网络犯罪平均年成本为1270万美元”，比五年前上升了96%。解决单个漏洞的平均成本为160万美元。

正如CrowdStrike的服务副总裁邓文迪·拉弗蒂(Wendi Rafferty)早些时候对印度社会保障组织(CSO)所说的那样面试，任何谨慎的组织应对数据泄露的提前计划都应该包括数据泄露保险。

最大的原因是，一份普通的责任险已经不够了。insureon执行副总裁兼首席财务官贾里德•卡普兰(Jared Kaplan)表示，该服务涵盖了“身体伤害或财产损失的第三方索赔，但保险公司的趋势是不包括电子记录和数据。”

该领域在10年前首次引入，目前发展迅速。网络数据风险管理公司(Cyber Data Risk Managers)总裁克里斯汀•马西亚诺(Christine Marciano)表示，“有近50家保险公司提供独立的网络保单。”

Rafferty称其为“一个新兴的行业，几乎每周都会有新的组织进入市场。”

然而，获得有效的网络保险并不简单。数据泄露，除了代价昂贵之外，也是出了名的复杂。它们需要大量成本高昂的回应，包括法庭调查、通知第一和第三方、履行法律和合规义务、可能的诉讼、与执法部门合作、公共关系、信用监控费用、危机管理——不胜枚举。

而且，不同的行业有不同的风险——医疗保健和零售不一样，零售和教育也不一样。

这意味着仅仅购买一份“千篇一律、现成的”保单是在自找麻烦，因为它可能会排除重大费用。

根据最近的帖子在暗读中，许多此类政策不包括以下方面的保险:

• 泄露纸质文件中的受保护信息。
• 由政府或监管机构，包括公民权利办公室、卫生和公众服务部以及司法部长办公室提出的索赔。
• 当第三方供应商的系统发生违约时，委托给第三方供应商的数据的替代责任。
• 未加密的数据。

马西亚诺说，另一个常见的排斥是“基于疏忽的计算机安全。”如果发生数据泄露，那些没有尽最大努力安装软件更新或发布，或没有在电脑系统上安装安全补丁的公司将得不到保护。”

Rafferty说，另一种“日益普遍”的排除，是由于“披露个人身份、机密的公司或个人健康信息”而导致的第一方通知的费用。

她说，原因在于这些成本，尤其是在零售行业(如大型零售商的违规行为)塔吉特和家得宝),都在飞涨。

专家们认为，所有这些都意味着公司需要定制他们的保险范围。卡普兰说:“没有两项政策是相同的。“‘重要’和‘合理’完全取决于企业所做的工作。”

他说，医疗领域的公司就是一个例子。“与其他类型的数据相比，它们更有可能成为政府或监管机构索赔的目标，因为管理医疗数据的州和联邦法律比管理其他类型的数据更严格。”

Rafferty说，任何保险计划都必须“由具有调查网络入侵丰富经验的人进行彻底审查”，以确保它符合该组织的具体需求。

当然，有些损害是无法精确衡量的。AccessData的企业防御架构师Lucas Zaichkowsky说:“保险政策不能减轻对声誉的损害。”“随着忠诚的客户改变忠诚度，短期和长期的预期收入都会下降。”

但是有一些方法可以弥补覆盖面的差距。最明显的方法之一是实践良好的安全“卫生”，包括数据的端到端加密和使软件与所有最新补丁保持同步。

卡普兰说，避免“替代责任”排除的明显方法是，“只与有保险的第三方供应商合作;这样，在最坏的情况下，你就有了寻求赔偿的途径。”

他还说，正如许多专家所做的那样，要避免重大数据泄露带来的麻烦和成本，最好的办法之一就是让企业成为更难以对付的目标。

“对员工进行数据安全最佳实践培训非常重要，”他说Verizon的企业在美国，2013年发生的数据丢失事件中，有25%“不是因为黑客攻击，而是人为失误”。另外14%是因为设备被盗或丢失。”

试图避免保险索赔的另一个原因是，即使消除了大多数除外责任，它也不会涵盖所有的费用。马西亚诺提供了一份不同领域、不同规模组织的典型年度保费清单，从一家医生诊所50万美元的区区649美元，到一家规模40亿美元的药品福利管理公司500万美元的8.4万美元。

许多保费在6,000美元至37,000美元之间的保单，将保额限制在100万美元以内，在当今世界，这一金额几乎无法覆盖总费用。

而这些限制可能会消失。Marciano表示，"随着技术风险继续演变，许多运营商开始缩减其将覆盖的行业类型和风险。"

简而言之，网络保险可以缓解痛苦，但不能消除它。“大多数政策都不包括相关的所有成本违反Rafferty说，“但是他们肯定可以抵消应对的成本和第一方的经济损失。”

这篇文章，“网络保险:值得，但要小心除外”最初发表于方案 。