网络安全保险无法单打独斗

表面上看，网络安全保险似乎是危险发生时的完美解决方案。2022年，勒索软件攻击急剧增加，占所有泄漏的四分之一。因此，如果你的公司确实遭受了攻击，至少你有办法在底线之上挽回的一点损失。

但是，对于想要尽快解决这个日趋严重的问题的人来说，网络安全保险也有其缺点。首先它的价格越来越高，令人望而却步。它所提供的保护并没有解决你是如何被攻击的这一原始问题，以及你如何阻止未来继续被攻击的问题。而且，它不能保证你的数据安全或保持数据的可用性。

那些尽最大努力为其数据和业务提供保险以抵御网络攻击的公司，出发点是正确的。但是，许多公司更关注于获得保险赔付，而没有做必须的工作来真正地保护他们的关键资源。他们需要做的是用其他类型的“保险”来扩充网络安全保险的内容，以抵御威胁和备份数据。

什么是网络安全保险?

虽然保险的概念本身可以追溯到14世纪，但网络保险是一个相对较新的现象。保险公司在21世纪推出了他们的第一个全面的网络政策，以提供对恶意软件、勒索软件和分布式拒绝服务(DDoS)攻击的抵御。不同的保单涵盖了诸如第三方数据被盗、业务中断的费用以及外泄调查法证服务等方面的责任。

网络保险有时是有用的。例如，索尼希望它有以网络为重点的保险，以缓解它为解决2011年PlayStation网络泄漏的诉讼而花费的1.71亿美元的影响。但法院裁定，索尼的保险只涵盖了对实体财产的损害，不包括与网络有关的费用。

现在签署网络保险的公司仍被视为先行者。Forrester的一项研究表明，55%的企业有某种网络保险，只有19%的企业有超过60万美元的涵盖网络事件的保险项目。但使用网络保险的企业的数量正在增加。2021年，全球网络安全保险市场为76亿美元，预计到2027年将增长至204亿美元。

那么，为什么不是所有人都去购买网络保险呢?成本是一个大问题。在过去五年中，许多购买商业网络保险的公司经历了两位数的网络保费增长，这促使风险管理者质疑其整体价值。加拿大西部的一个客户，见证了其年度保费上升到营收的90%。随着网络攻击的频率和严重性的升高，一位欧洲最大的保险企业之一的公司领导人最近说，这些威胁正迅速成为“不可保风险”。

流程是另一个难题。保险公司在支付网络索赔时，往往需要大量的文件--从网络访问报告到网络流量日志的所有文件。这些文件在正常情况下很难收集;在事件发生后，IT部门为恢复服务而争分夺秒，这将进一步推迟响应保险请求。

网络保险也不会对网络威胁本身提供任何进一步保护。当飓风席卷时，虽然造成了巨大的损失，但结束之时，它们就结束了。明年可能会出现又一场飓风，但眼前的危险已经结束。而为勒索软件购买保险却不能消除眼前的危机。如果你为一个网络攻击犯买单，其他人是否仍然可以访问你的系统?你是否已经修复了黑客找到入口的漏洞?

底线是：网络保险计划可以提供帮助，但企业需要大力防范网络威胁，并做好自己解决网络相关问题的准备。

以下几点可供借鉴：

打补丁：创建一个全面的补丁管理流程是维护企业IT基础设施的一个关键部分。在新功能发布后迅速修复漏洞可以帮助企业保护其资产，避免昂贵的停机，并抵御勒索软件的攻击。

员工培训：IBM的一项研究认为，95%的网络安全泄漏的主要原因是人为错误。这凸显了员工培训的必要性。企业应持续审查常见的安全错误，以确保员工使用安全性更高的密码，避免网络钓鱼，并保护重要的公司信息。

完善事件响应计划：当网络灾难发生时，迅速采取行动是至关重要的。许多企业甚至没有制定一个响应计划来建立一个指挥链和一系列行动。那些有计划的企业应该定期进行审查并保持更新。

建立适当的数据备份：安全的备份基础设施是防御勒索软件的最后一道防线。将数据保护集成到全面的网络防范战略中，可抵御外部威胁，并在网络事件发生时提供最快速和最具战略性的方式来确保业务的连续性。

网络保险是一个有价值的资源，面对破坏性的泄漏可以帮助企业应对。但这是不够的。一些常识性的网络准备技术可以提供高水平的保险，这在今天这个网络威胁不断升级的时代是必要的。(作者：Veeam企业战略副总裁Dave Russell、Veeam产品战略高级总监Rick Vanover)