实现数字化：网络保险为企业提供保障

商业世界波诡云谲，变幻无常。如今，企业家正致力克服全球疫情带来的挑战，而科技则不断缔造新机遇。自疫情爆发以来，数字生活大行其道，虽然带来便利，却也打开了「潘多拉盒子」，招致新的风险。

疫情下，各地广泛实施社交距离和封城等措施，因此一些犯罪行为如盗窃、爆窃、欺诈和抢劫等也从现实环境转移到网上，形成各种网络威胁，当中以网络钓鱼、僵尸网络和恶意软件(包括勒索软件)最为常见。

据估计，去年全球有超过60%的机构至少曾遭受一种形式的网络攻击，每天平均有30,000个网站被黑客入侵，每39秒就有一家公司成为网络攻击的受害者，而每天新建立的恶意软件约有300,000个。令问题更为严峻的是，现时的网络攻击手法日趋成熟，超过三分之一为前所未见。

有见及此，业界已广泛采用不同的缓解策略来应对各种网络风险，例如零信任云端网络、虚拟专用网络(VPN)以及Wi-Fi存取保护2和3(WPA2 和 WPA3)等，以增强数据加密和网络防卫能力。

由于目前许多网络风险都不受传统保单保障，因此网络保险(cyber insurance)越来越受企业欢迎。香港贸发局环球市场首席经济师陈永健专访伟然保险顾问有限公司执行董事邱恺敏，以进一步了解香港的网络保险市场，以及这个领域的发展可对香港公司的网络防卫能力发挥甚么作用。

数据泄漏也是最常见的网络风险事件，仅次于勒索软件攻击。黑客入侵和网络钓鱼仍然是制造数据泄漏事故的主要方式，加上自全球疫情爆发以来，人们纷纷转为在家购物、工作、学习、娱乐和健身，企业也推行遥距工作措施，令上述情况显著增加。即使大多数员工和机构都日益警觉网络潜藏的风险，提防开启钓鱼电邮和点击可疑连结，但歹徒仍可通过黑客入侵和网络钓鱼来窃取用户的名称和密码、信用卡凭证，以及从财务到健康等各类个人资料。如今，网络安全事故仍以惊人的速度增加，而人为错误依然是最薄弱的环节，约95%的事故都是由此所致。

在香港，2021年，三分之二以上的恶意软件都是经云端储存空间下载的。政府电脑保安事故协调中心(GovCERT.HK)是香港政府成立的电脑保安事故应变小组，专责为政府协调处理信息及网络安全事故。该中心预料，以上趋势在2022年仍然持续。

陈：除了财务索赔外，网络保单有没有什么增值服务？网络保险与其他财产和意外保险产品有何不同？一般而言，网络保单会否与其他保险产品捆绑销售？

邱：网络保险全都包含一些由鉴证服务供应商或信息科技顾问提供的服务，而其他一般保险产品只在出现诉讼或索赔时，才由保险公司理赔，因此两者大为不同。当发生数据泄漏事故时，大部分保险公司都会派出信息科技顾问和网络安全专家小组，协助投保人诊断网络安全系统，修复错误和漏洞，防止日后再发生同类事故。换句话说，公司购买网络保单后，不仅可通过索赔获得经济赔偿，还可在出现事故时获取专业服务，协助解决网络安全问题。

以往，保险公司曾试图将网络保险与其他保险产品捆绑销售，例如办公室或投资管理保险等。然而，鉴于网络保险性质不同，且索赔越来越频繁，如今大多数保险公司都倾向把网络安全列为独立的承保类别。

陈：科技正以惊人的速度改变世界。各类新型网上业务可瞬间窜红，例如加密货币和非同质化代币(NFT)等。网络保单如何确保投保人可就所有网络安全风险获得足够保障？你认为这些趋势会如何影响网络保险的普及？你对新进入这个领域的公司又有何建议？

邱：网络保险会就网络安全漏洞造成的损失提供保障，范围涵盖发生网络泄漏事故时各项针对公司及其人员提出的索偿，以及处理监管机构调查所产生的法律费用。当发生网络泄漏事故时，公司的当务之急是找出网络安全系统中的漏洞，并恢复数据系统，这两点对那些十分依赖技术和互联网的公司尤其重要。网络保险可以将投保人与信息科技顾问和其他服务供应商联系起来，以便在网络遭受入侵后进行补救，同时就相关收入损失为投保人提供财务保障，让他们得以尽快恢复业务。

鉴于涉及勒索软件和网络犯罪的索赔与日俱增，保险公司在接受新企业投保时都变得更加保守。与加密货币和NFT相关的网络风险，通常与诈骗和欺诈等网络犯罪有关，这对保险公司来说是个新领域。由于性质独特，以及难以确定所有权，因此传统保险公司倾向拒绝承保。即使保险公司可以承保，也只会按保单设定的最高赔偿限额理赔。不过，现时新兴保险公司也会因应不断增长的需求，考虑承担此类风险。

因此，若公司面临的网络风险日增，便必须采取足够的网络安全措施，并制订相关的业务持续运作或应急计划，以保障业务正常运作。在核保过程中，网络保险公司会提出很多问题，以评估投保公司的网络风险。公司应将核保过程视为类似定期检查的自我评估程序，趁机检视网络安全系统和业务应急计划的稳健状况及有效性。

员工的网络风险教育也非常重要，因为许多网络泄漏事故都是由于员工培训不足或粗心大意，不慎点击网络钓鱼超连结、浏览可疑网站或误信诈骗电邮所造成。公司也应定期更新和测试软件及系统。

企业千万不要以为自己不会受到网络攻击。「预防胜于治疗」这句话同样适用于网络世界。企业一旦受到攻击，所面对的影响和后果均十分严重，无论是损失和索赔后的保费都是如此。一家公司若在购买网络保险前曾遭客户或业务合作伙伴提出网络索偿，日后投保就很困难。他们不仅先要解决索偿问题，准承保商开出的保费也会更高，所作的风险筛查也会更为彻底。

我们也留意到，现时越来越多公司要求业务合作伙伴购买网络保险。保险公司在核保过程中，往往会发现投保人的网络安全系统存在漏洞，但他们本身却不察觉。这些漏洞未有造成重大损失，很多时实属侥幸，而核保过程所作的网络风险筛查，则可使问题及时受控。由此可见，核保过程可为公司提供良机，彻底审视其网络安全风险并处理有关问题。任何人都可能成为网络攻击的受害者，所以公司无论规模大小，都应将网络风险视为一大威胁，必须定期审视。

陈：2020年，美国单独网络保单的直接损失和抗辩及费用限额(defence and cost containment，DCC)比率为70%左右，许多主要市场业者的损失率更超过100%。以受欢迎程度和盈利能力而言，你认为网络保险在香港的未来发展将会如何？

邱：有见消费者和企业越来越多参与数字活动，也日益依赖科技，网络保险只会更趋普及。保险公司进入网络保险市场面临的主要障碍，是如何在预期网络索赔将会增加的情况下，以合宜的价格发出保单。保险公司当然明白市场对网络保险需求殷切。然而，由于网络保险需要一个庞大的支援生态系统，例如与律师、服务提供者和申报系统的联系，准业者在发展中市场开展新的业务活动时，先决条件是确保有利可图。至于现时已有提供网络保险的业者，我们相信他们会长期发展下去。

此外，保险公司若在索赔、支付、保障范围和保费等方面拥有更多可靠的历史数据，以进行更佳的风险价值(VAR)评估，便会更有信心进入网络保险市场。我们希望在不久将来，网络保险的受欢迎程度和盈利能力能稳定增长，吸引更多亚洲业者涉足。这样，企业就有更多保险公司和网络保险产品可供选择。

从更广泛的角度来看，改善网络风险评估和管理政策可以加强公司的企业管治制度，从而强化其整体的环境、社会及管治策略(ESG)。不难料想的是，一家公司的ESG表现越好，发生事故和索赔的可能性就越低。换句话说，在ESG上取得成效，有助公司在各种保险计划中获得更好的条款，包括但不限于一整套的金融保险解决方案，以便在当今充满挑战和变化的商业世界中，为公司、管理人员和专业人士的潜在责任提供保障。