簡單地說，每個信息安全計劃都涵蓋兩個方面：保護和響應(yīng)。成功的網(wǎng)絡(luò)安全計劃應(yīng)該包括這兩者，不過無論就哪個方面來講，企業(yè)需要處理好這五個問題：
1.他們已經(jīng)控制并完全實施的事情;
2.他們可以處理，但難以解決的事情;
3.他們必須努力應(yīng)對但仍然無法管理的事情;
4.他們不知道如何處理的事情(在流程、技術(shù)或人員方面的投資不會帶來差異);
5.他們的程序由人來定義和管理，而人難免犯錯。
現(xiàn)在的問題是：企業(yè)如何應(yīng)對這些不可避免的現(xiàn)實問題，特別是認(rèn)識到在損害發(fā)生之前企業(yè)無法檢測所有的攻擊，或者無法在不影響業(yè)務(wù)的情況下緩解每個安全事件。
對于某些企業(yè)來說，這些問題的答案就是網(wǎng)絡(luò)安全保險。
保險經(jīng)紀(jì)公司Lockton公司網(wǎng)絡(luò)風(fēng)險業(yè)務(wù)主管Ben Beeson表示：“首席信息安全官完全會支持網(wǎng)絡(luò)安全保險，因為這可以稍微減輕他們的負(fù)擔(dān)。”
盡管如此，網(wǎng)絡(luò)安全保險是每家公司都應(yīng)該考慮的做法嗎?或者說，這只是少部分公司的可行選擇?為了回答這些問題，我們需要看看網(wǎng)絡(luò)安全保險在企業(yè)安全計劃內(nèi)發(fā)揮的作用，但首先我們需要明確網(wǎng)絡(luò)安全保險是什么。在2016年RSA大會中，網(wǎng)絡(luò)安全保險是多個討論的焦點。在本文中，技術(shù)以及金融服務(wù)的專家探討了這個話題以及它如何適用于現(xiàn)代企業(yè)安全計劃。
網(wǎng)絡(luò)安全保險市場什么樣?
根據(jù)金融服務(wù)的一些人表示，網(wǎng)絡(luò)安全保險的概念已經(jīng)存在12到16年。Optiv Security公司安全培訓(xùn)副總裁Blake Huebner表示，網(wǎng)絡(luò)安全保險在上世紀(jì)90年代就已經(jīng)出現(xiàn)。
無論它何時出現(xiàn)，網(wǎng)絡(luò)安全保險的部署最初主要受隱私和數(shù)據(jù)泄露法規(guī)所推動(這與網(wǎng)絡(luò)安全技術(shù)類似)，現(xiàn)在實際發(fā)生的安全泄露事故也在推動網(wǎng)絡(luò)安全保險的發(fā)展。
Huebner表示：“鑒于Target和Home Depot遭遇的數(shù)據(jù)泄露事故，這個市場得到很大的推動。醫(yī)療保健行業(yè)的部署率最高，其次是教育、游戲、公用事業(yè)、金融服務(wù)和零售業(yè)。這是一個快速成熟的市場。”
在網(wǎng)絡(luò)安全保險領(lǐng)域，現(xiàn)在有很多供應(yīng)商和經(jīng)紀(jì)公司，這個市場已經(jīng)開始賺很多錢。
金融服務(wù)公司CNA Insurance網(wǎng)絡(luò)及媒體部門技術(shù)負(fù)責(zé)人Jacob Ingerslev表示：“目前有將近100家保險公司提供網(wǎng)絡(luò)安全保險，80%到90%的業(yè)務(wù)集中在10家公司。”
“在2015年，網(wǎng)絡(luò)安全保險市場的收入在25億到30億美元之間，”Beeson在2016年Advisen網(wǎng)絡(luò)安全會議上說道：“根據(jù)PricewaterhouseCoopers統(tǒng)計，這已經(jīng)是一個有利可圖的市場，在未來四年，這個市場將會增長近四倍，到2020年，該市場估值為70億到80億美元。”
顯然，保險公司正在賺錢，主要來自少量企業(yè)。PivotPoint Risk Analytics公司總裁兼首席執(zhí)行官Julian Waits表示：“在美國只有2%的公司有網(wǎng)絡(luò)安全保險，最大的問題是量化風(fēng)險，這不是線性的，精算信息也不成熟，因此保險公司會面臨各種問題‘我們?nèi)绾螌@種風(fēng)險定價?’他們需要購買什么以及購買多少，他們實際得到什么回報。”
網(wǎng)絡(luò)安全保險并不能取代安全最佳做法，但專家表示這是填補安全計劃空白的重要組成部分。風(fēng)險評估公司DatumSec聯(lián)合創(chuàng)始人兼首席執(zhí)行官Jonathan Niednagel表示：“任何安全專業(yè)人士都會告訴你，你永遠(yuǎn)不可能100%防止攻擊。如果這是真的，那么最佳做法和盡職調(diào)查會給你95%的保護，而網(wǎng)絡(luò)安全保險會涵蓋剩下的5%。但很多專業(yè)人士認(rèn)為他們可以部署松懈的安全措施，因為他們買了保險，得到了保險的保護。”
網(wǎng)絡(luò)安全保險該如何整合至企業(yè)安全計劃中?
專家表示，總的來說，網(wǎng)絡(luò)安全保險意義非常。盡管保險單可能意味著要花費很大的成本，但這會讓某些企業(yè)覺得在網(wǎng)絡(luò)安全計劃中包含網(wǎng)絡(luò)安全保險是更安全的做法。
然而，這并不是像打電話給保險公司或經(jīng)紀(jì)人并要求開保單那么簡單，其中需要涉及大量分析工作。讓事情更復(fù)雜的是，企業(yè)開始用不同的目光審視風(fēng)險和網(wǎng)絡(luò)安全保險。
在Target公司數(shù)據(jù)泄露事故之前，網(wǎng)絡(luò)安全保險保單是基于靜態(tài)方法來評估風(fēng)險。企業(yè)要填寫評估表，向承包方進行講述，可能還需要進行某種形式的對話。在完成評估、開好保單后，保險人將會離開并祈禱未來12個月的安全。
但在Target數(shù)據(jù)泄露事故發(fā)生后的世界，我們看到數(shù)據(jù)泄露事故總是在發(fā)生。對保險公司來講，這種“希望和祈禱”模式已經(jīng)不再可行。網(wǎng)絡(luò)安全和風(fēng)險管理公司Stroz Friedberg副總裁William Dixon表示：“網(wǎng)絡(luò)安全保險是相對較新的金融工具，在我看來，此前網(wǎng)絡(luò)安全保險只是被視為企業(yè)網(wǎng)絡(luò)安全計劃的之后的想法。”
Dixon補充說：“企業(yè)現(xiàn)在意識到他們永遠(yuǎn)無法通過人力、流程和技術(shù)來確保100%的安全性。所以我們看到很多客戶開始選擇把網(wǎng)絡(luò)安全保險加入網(wǎng)絡(luò)安全計劃。這并不是作為提高其技術(shù)和流程安全成熟性的補充，而是用于處理數(shù)據(jù)泄漏事故時的恢復(fù)工作，包括修復(fù)、數(shù)據(jù)泄露通知、信用監(jiān)督和外部法律顧問的支持。”
安永公司全球信息安全負(fù)責(zé)人Ken Allan解釋說，對于有些企業(yè)來說，想要獲得良好的網(wǎng)絡(luò)安全保險困難重重。Allan說道：“我們一個大型銀行客戶通過分析以弄清楚他們可對其網(wǎng)絡(luò)安全投資做些什么，能否通過花更多錢來保護更多重要資產(chǎn)。結(jié)果是，在某些情況下，安全技術(shù)非常復(fù)雜，采購和維護的成本太高，該銀行最后選擇使用網(wǎng)絡(luò)安全保險來涵蓋這些風(fēng)險。”
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。