网络安全保险：风险与趋势2024

最新推荐文章于 2024-11-04 14:45:00 发布

网安学习

最新推荐文章于 2024-11-04 14:45:00 发布

阅读量1.1k

点赞数 17

文章标签： web安全网络安全网络安全保险

本文链接：https://blog.csdn.net/2302_76672693/article/details/141651161

版权

前言

随着网络安全保险市场的进一步发展成熟，未来市场的发展重点，将继续集中在满足日益增长的客户需求，管理动态演变的风险敞口，以及关注网络安全风险的可持续可保性与市场功能性。

Thomas Blunck

慕尼黑再保险董事会

成员，再保险CEO

“当前，未被保险覆盖的网络安全风险占比仍然过高。 根据慕再进行的一项全球网络安全风险与保险调研显示，87%受访的公司管理者表示其所在公司对网络安全风险的防范不足。而在侵略性网络犯罪、新型技术和依赖以及地缘政治危机等威胁迅速增长的大背景下，公司对网络安全的风险意识和保险需求将持续上升。”

【----帮助网安学习，以下所有学习资料文末免费领！----】

在（生成式）人工智能和云技术等科技飞速进步的推动下，网络安全风险在持续升高。全球各行业越来越依赖于信息技术（IT）、物联网（IoT）、运营技术（OT）和数字化服务（如云计算），对于众多风险责任人而言，这些技术和服务均是供应链中的关键组成部分。此外，日益复杂的网络犯罪和紧张的地缘政治局势也进一步影响了网络威胁态势，并危及全球社会发展。

点击图片，可放大查看

在全球数字化经济中，保险公司在保障企业面临的网络安全风险方面发挥着重要作用。**依托专业知识、强大的协作网络以及在数据分析、风险量化和风险累积建模等方面的持续投入，保险行业对网络安全威胁形势及可保性边界限制有着深刻、敏锐的洞察。**尽管当下的价值链在很大程度上依赖于数字资产，但保险保障仍显不足。根据慕再2024年网络安全风险与保险调查显示，全球87%的高管级受访者表示，其所在公司目前对网络攻击防范不足。网络安全保险的渗透率和相关抵御能力有待进一步提高。本报告将分享我们对网络安全风险态势和网络安全保险热点话题相关的动态展望。

当前全球网络安全风险热点态势

在过去的几个月中，慕再已观察到网络攻击事件激增的趋势，勒索软件攻击也再次上涨。 根据Chainalysis公司的数据显示，每年的加密货币赎金支付额从2022年的5.67亿美元骤升至2023年的11亿美元。其他代价高昂的攻击路径还包括商业电邮泄露（BEC）和供应链攻击。2021年至2023年期间，商业电邮泄露给全球2.2万受害者共造成了约30亿美元的损失（数据来源：Symantec）；仅2023年，商业电邮泄露事件的数量就翻了一倍（数据来源：Verizon）。此外，2023年发生的软件供应链攻击数量约为此前三年间事件总和的两倍。2023年，软件供应链攻击事件共发生约24.5万起，给企业造成约458亿美元损失（数据来源：Juniper Research）。其中，利用数据传输软件中的零日漏洞对MOVEit的攻击，是这一类别中最为突出的攻击事件。数据泄露事件的频发，使得平均损失达到了历史新高，约445万美元，（数据来源：IBM）。

点击图片，可放大查看

相关专家和当局在汇编有关网络犯罪的统计数据方面也面临着挑战，官方收集的数据很可能只是网络犯罪的冰山一角。例如，据德国联邦刑事警察局（BKA）估计，未报告的网络犯罪事件占比高达91.5%。据Statista预测，每年全球网络犯罪的成本将从2023年的8.15万亿美元增至2028年的13.8万亿美元。

以上数据皆清晰地表明，保险在网络安全风险管理过程中将发挥着前所未有的重要作用。 受网络攻击影响的公司和组织可能会面临因营业中断、应急响应及数据泄露等所产生的费用和损失。网络安全保单则可以覆盖以上财务损失。

2024年主要网络安全风险与趋势

虽然过去的风险趋势不一定总能代表未来走向，然而，从过往的攻击模式、漏洞及损失中吸取经验教训对应对未来的网络安全风险非常重要。同样，预测潜在威胁对各个层面（从个人到公司乃至国家）的主要影响也至关重要。慕再专家认为，影响2024年及未来网络风险格局的主要风险和趋势如下:

点击图片，可放大查看

人工智能的 “善与恶”

随着ChatGPT的发布，大语言模型（LLM）和生成式AI已成为主流。然而，当前（生成式）AI时代才刚刚开局，对经济、社会和地缘政治的长期影响仍难以预测。但几乎可以肯定的是，国家及商业行为主体将在多个领域部署AI技术。而就AI对网络安全的影响而言，慕再专家预测，网络攻击将愈发趋于自动化和个性化，并且以各种语言进行大规模扩散的成本更低，速度更快。例如，攻击者会使用AI驱动的网络钓鱼邮件及电话进行诈骗。WormGPT等新型恶意大语言模型的开发，也将使技术水平较低的威胁行为者更具攻击能力。

反观积极的一面是，**预计AI也将帮助网络安全防御者逐步增强其防御能力。**AI和相关技术可专用于加强监测和响应能力，并通过映射对手的技术、策略和程序，提高网络攻击溯源效率。

2024年3月，欧盟通过了《人工智能法案》，标志着全球人工智能领域监管迈入新时代。相信全球范围内会有更多国家层面的类似措施出台以加大其治理和监管力度。

在保险领域，AI无疑将被广泛应用于整条行业价值链。慕再预计AI将在以下方面发挥积极作用：

加强风险评估，例如可能会由虚拟代理人提供风险量化或网络安全建议服务

通过优化承保范围设计，提供更高效、更适应市场需求的定制化产品

提高事件监测和响应速度，加快理赔流程

提高大众对网络安全和风险管理解决方案的意识，进一步增强风险韧性

简化运营流程，深化与客户和中介机构/经纪人的关系，提高承保和销售效率

提供先进的数据分析、远程信息处理和预测建模

尽管上述应用案例和发展前景非常广阔，AI目前还无法取代精准理解和承保网络安全风险所需的专业技能和知识。慕尼黑再保险集团董事会成员Stefan Golling表示：“技术的发展，尤其是AI的潜在应用也将改变保险行业。尽管如此，持续加强对网络安全领域人才、专业技能和知识的投入以确保对网络风险的精准理解和承保，始终会是慕再业务健康可持续发展的核心支柱。”

网络安全保险的主要损失驱动因素

根据慕再积累的损失数据和行业经验，我们可以清晰地看到网络安全风险及其对网络安全保险的影响，尤其是在勒索软件、商业电邮泄露、商业通讯泄露、数据泄露和供应链漏洞等方面。

勒索软件

在网络安全保险面临的主要风险和损失上，勒索软件仍将是占主导地位的驱动因素。而应用技术和攻击策略的进步表明，勒索软件在未来将变得更为复杂、更具破坏性，更多、更强大的勒索软件集团也将通过使用提示注入策略等方式缩短停顿时间。通过AI驱动或强化自身，勒索软件即服务（RaaS）模型在暗网市场将变得更具竞争力。在AI的助推下，黑客攻击可以实现高度自动化和个性化，量身定制的网络钓鱼或电子勒索邮件可以轻松且高质量地被翻译成多种语言，同时在多个地区扩散。

此外，慕再专家预计，勒索方法也将更加多样化，双重和三重勒索策略越来越受到攻击者的偏爱，其关注的重点也逐渐转向可供出售的数据，员工、供应商、客户和其他第三方等都可能成为目标对象。

慕再的累积数据可以看出分行业的勒索软件损失占比情况：

点击图片，可放大查看

据慕再集团网络安全数据分析团队的观察，迄今为止，勒索软件是造成网络安全保险损失的最主要原因。其中制造业是勒索软件理赔事件发生数量最多的行业。

商业电邮泄露 和商业通讯泄露

慕再专家预计，2024年及以后，商业电邮泄露 (BEC) 和商业通讯泄露 (BCC)攻击事件将急剧增加。这些攻击事件会诱导公司内部人员做出威胁公司网络安全的行为，例如安排未经授权的付款或与外部共享敏感数据。由于攻击者意在寻找相对容易受骗的目标，BEC仍将是主要的攻击载体，特别是鉴于其易操作性，几乎无需任何专业技术即可收获高昂回报。不仅电子邮件会被用作网关，所有通信平台和社交媒体都可以被利用。毋庸置疑，BEC和BCC攻击不仅会造成巨大的经济损失还会导致信任和声誉受损。

首席执行官（CEO）欺诈，即黑客冒充高管指示员工转账便是个典型的例子。由于AI工具和深度伪造技术已沦为主流犯罪分子的犯罪工具，通过虚假电话或数字会议以及视频用于欺诈的情况屡见不鲜，且犯罪成本较低。2024年初，一名任职于香港某跨国公司的员工受骗，诈骗者利用深度伪造技术换脸成其同事们（包括该公司首席财务官），视频通话后，该员工向对方转账近2600万美元。该员工是参加视频通话的唯一一个真人，其他参与者均为AI冒充。

数据泄露

到2024年底，隐私监管将覆盖全球四分之三的消费者数据，但考虑到技术驱动下的高数据增长率，全球所有受监管实体中有60%都将难以遵守日趋严格的数据保护监管和隐私要求（数据来源：Gartner）。并且，5G将继续带动移动数据增长：到2029年，5G在移动数据流量中的占比将激增至76%。视频流量将成为移动数据中的主力军，在移动数据中的占比预计会从目前的略高于70%，到2029年将提高至80%（数据来源：Ericsson）。

纵观所有技术发展，在讨论数据泄露或其他网络事件时，有一大因素不容忽视，即数据的价值和重要性，以及管理数据监管和有关责任的潜在问题，这些问题将导致更多提供黑客雇佣和数据窃取等服务的团体的出现。尽管如此，即便是使用了AI增强型鱼叉式网络钓鱼攻击技术造成的数据泄露事件，90%左右的情况仍会存在人为因素（数据来源：Forrester）。无论是现在还是将来，我们都必须采取多方面努力，提高风险防范意识并采用技术以外的防御措施来应对人为风险。

慕再理赔数据显示，包括错误披露和错误收集在内的隐私类理赔案件分行业的占比排名如下：

点击图片，可放大查看

该排名也反映了金融和医疗数据的重要性及其数据泄露风险。

供应链漏洞

市场对软、硬件供应链及数字服务的依赖将持续大幅增加。作为企业的阿喀琉斯之踵，供应链更容易吸引网络攻击者。慕再专家预测，数字供应链（IT/OT/IoT）上的供应商、制造商等遭受网络黑客攻击的风险将进一步增加。各企业将面临更多“供应链攻击即服务”的风险，也更易受到其他技术水平较低的黑客组织攻击。

从潜在影响的角度来看，根据世界经济论坛的一项研究（WEF 2024）显示，41% 的受访公司受到过第三方网络事件的影响。中小型供应商越来越多地成为攻击目标，目的是间接入侵其大型客户的系统。全球企业因软件供应链攻击而产生的损失预计将从2023年的460亿美元增至2025年的600亿美元（数据来源：Juniper Research）。

网络安全保险的基石

近十年来，网络安全保险已成为企业和个人管理网络安全风险的重要工具。在网络威胁态势不断动态变化的大环境中，特别是在地缘政治和技术压力因素的激化下，一个尚在发展中的保险市场要想实现长期可持续发展，关键在于如何应对可保性挑战和管理累积风险。保险公司和风险建模者一直在探索可保性边界。市场有必要进一步审慎发展，同时，保险和另类资本市场也需要做好准备以应对未来全球的承保能力需求。

网络安全风险必须得到妥善管理，对于私营部门无法管理或至少不能完全管理的风险也不例外。

累积风险

累积风险管理对提供保险保障和分配承保能力至关重要。风险模型是保险公司设立健康的风险偏好的基础，因此在最大损失考量中必须充分反映潜在的巨灾性、系统性网络事件。建模越准确，保险公司承保的不确定性就会越低。

慕再持续投资各类举措和资源，以加深其自身和行业对累积的网络安全风险敞口的理解，并进一步精进风险建模。慕再所有的承保和风险管理活动都需要稳健的累积风险模型支撑，而我们具有复合学科背景的网络专家团队是支持这些活动的核心力量。

慕尼黑再保险网络安全保险首席核保官Jürgen Reinhart表示：“我们所肩负的使命非常明确，并对实现经济繁荣至关重要。我们与客户、合作伙伴和经纪人通力合作，为市场提供有效的网络安全保险解决方案，以保护数字环境，增强其韧性。同时，我们的行业面临的一大核心挑战就是如何确保累积风险模型契合网络安全保险市场需要，实现可盈利和可持续发展。慕再将始终在自身建模方面追求卓越，支持各类举措，推动整个行业的发展。”

此外，**慕再积极与行业利益相关者就累积模型展开多方面合作，旨在调和风险认知差异，推动整个市场的模型可靠性不断提高。**例如，慕再专家与第三方数据提供商、服务提供商和模型供应商合作，提高数据质量和数量，更好地了解风险，推进风险量化与建模。复杂且契合市场需要的网络累积模型是确保网络安全保险市场实现盈利和可持续发展的基石，也是整个行业所面临的挑战。明确可保性边界是实现模型可靠性的先决条件。要想确保网络安全保险市场能够实现长期可持续发展，必须规定必要的除外条件，尤其是针对网络战争的除外。慕再对于现代网络战争除外的态度是始终坚定的。

政府支持的网络安全保护

网络安全保险无疑将助力建立更具韧性的网络安全环境。然而，保险业的风险承受能力是有限的。网络战争或关键基础设施中断等灾难性系统事件造成的损失将远远超出行业的承受能力。这些巨灾风险情形亦会对宏观经济稳定构成威胁，因此需要政府等相关方参与风险管理。慕再明确主张将实施经济性网络防护作为风险把关的最后一道防线，并积极参与并支持解决方案的制定。

慕尼黑再保险网络安全保险首席核保官Jürgen Reinhart补充道：“数字化带来的风险会危及整个社会。保险行业在风险减量方面发挥着重要作用。然而，最严重的系统性网络安全风险，例如关键基础设施故障或网络战争造成的损害无法由私营部门一力承担。我们准备通过寻求替代解决方案，帮助各国政府共同管理这些潜在的灾难性系统风险。”

网络安全保险市场趋势

2023年，全球网络安全保险市场规模达140亿美元。据慕再估计，到2027年，这一数字将增长至290亿美元左右。随着人们越来越意识到网络攻击的复杂性、发生频率和损失程度在不断增加，监管要求也愈发严苛，全球网络安全保险市场还有巨大的发展潜力。所有行业持续的数字化转型和技术进步，以及供应链上业务合作伙伴有待满足的具体要求也将成为助推市场进一步发展的驱动因素。总体趋势表明，网络安全保险作为网络安全风险管理的核心组成部分，将发挥着重要作用。

点击图片，可放大查看

过去五年，网络安全保险市场的规模几乎增加了两倍。这也归功于再保险公司对这类风险的坚定承诺以及资本市场近期对这一领域表现出的一定兴趣（尽管当前程度较低）。然而，迄今为止，保险的渗透率还很低，特别是中小企业领域。大型公司仍是保险业务盘子的主要来源。

保险公司在努力缩小经济损失和保险损失的差距方面面临重大挑战。鉴于数字经济风险的动态增长趋势，提高网络安全保险渗透率是首要目标。通过守护数字世界，保险公司将再次印证其所在的行业与经济和社会韧性息息相关。同时，保险行业也将继续提供多样化、定制化的解决方案来吸引尚未投保的客户。与此同时，保险公司还要着重确保提供的保险保障是充足且可持续的。凭借专业知识和稳健发展，慕再始终致力于满足被保险人和直保客户日益增长的（再）保险需求。