RSAC 2024：顶级网络保险趋势、陷阱和建议

旧金山 — — 网络保险已经存在 25 年了，但专家表示，人工智能、新的隐私法和快速发展的威胁媒介正在挑战保险公司重新思考风险以及如何建议客户谨慎行事。

在 RSA 会议上举行的题为“网络保险的艺术：保险范围和索赔方面的新变化”的小组讨论中，小组成员讨论了影响承保流程、保险范围、索赔、监管和立法发展的最新趋势。

Corvus Insurance 的高级承保人 Peter Hedberg 列举了几个行业移动目标，包括缺乏标准保单术语。他表示，每个承销商对新技术和不断发展的技术的识别方式都不同，例如人工智能和端点检测和响应，没有标准的行业定义。

他说，当公司将一种网络保险政策与另一种网络保险政策进行比较时，缺乏共同语言可能会造成意想不到的混乱。

“当你的首席财务官购买保险时，一般责任、财产、汽车，这些都是标准化的……网络保险不是标准化的。每家保险公司都有自己的措辞，”HSB 小组成员兼理事会莫尼克·费拉罗 (Monique Ferraro) 说。

与定义类似，制定一项政策来防范采用人工智能和利用新型恶意软件技术的新对抗策略同样难以制定政策。挑战在于如何根据以前未考虑或尚未充分理解的事件来评估风险。

监管挑战

Crum and Foster 网络服务助理副总裁 Violet Sullivan 表示，监管和法律问题也造成了新的网络保险痛点。

举的一个例子是北卡罗来纳州 2022 年颁布的一项州法律，禁止学校、市政当局、水电部门等公共实体支付赎金来解密数据。对于一些保险公司来说，制定一份保单来保护北卡罗来纳州的企业免受因勒索软件攻击而造成业务中断的损失是不可能的。  

“为什么我现在想在[北卡罗来纳州]撰写网络报道？”赫德伯格说道。他说，业务中断保单可以弥补“在我的限额耗尽之前永无休止的损失”。

这迫使保险公司对不同司法管辖区的法规如何变化并影响保单保持高度警惕。沙利文说，这种警惕并不止于此。公司不仅需要关注新规则，还需要关注旧规则。

为新诉讼摒弃旧法律

沙利文说：“有很多我所说的‘僵尸诉讼’，旧法律被用来做他们从未想过的事情。”

一个例子涉及善意网站使用像素跟踪和网络信标等技术。原告诉讼已成功追究基于Pixel 跟踪软件的使用违反隐私规则 HIPAA 和 PHI 的行为。律师认为，网站通过像素、网络信标、cookie 和 IP 地址  非法剔除用户数据。

“你可能雇佣了一家营销公司来建立一个网站，营销公司打开了像素跟踪，而你可能还不知道，”赫德伯格说。

诉讼的焦点是指控一家公司违反了 GDPR 或 HIPAA 等隐私法规。这包括与针对此类索赔进行辩护相关的罚款、处罚和法律费用，这些索赔通常是由数据处理和保护失败引发的。这些诉讼迫使公司花费大量资源来捍卫普遍接受的做法。

沙利文表示，激进的律师正在“清理”近乎过时的法律（例如 1988 年的《视频隐私保护法》），对网站提起诉讼。

沙利文说：“几十年前颁布的这项法律并不是为了解决当今存在的数字数据交换的复杂性和隐私问题。” “我们还没有得到法官的良好裁决，说‘停止提起这些愚蠢的诉讼’。在我们这样做之前，这种情况将继续下去。”  

网络保险出现意想不到的变化

虽然排名前五的网络保险索赔是数据泄露、勒索软件攻击、商业电子邮件泄露、系统中断、欺诈性资金转移和违反隐私法，但网络保险的利基领域正变得越来越普遍。 Feffaro 表示，这些新兴的网络领域包括：

来自专业人士的建议

对于再保险或考虑保单的公司，小组成员建议了解第一方风险和第三方风险的暴露程度。第一方保险通常包括公司的直接损失，例如数据恢复和业务中断，而第三方保险则涉及对其他方的责任，例如数据泄露通知和法律索赔。风险可能包括您作为责任链中的第三方和第一方。

专家组反复强调，并非所有网络保险政策都是相同的，保险范围也可能存在很大差异。因此，公司应仔细审查潜在的保单，以确保其涵盖与其特定风险状况最相关的事件和损害类型。这可能包括勒索软件攻击、系统故障以及与数据泄露相关的法律费用。

沙利文说，法律和营销需要进行更多讨论，以避免暴露于 Pixel 和网络信标滋扰套件。

“法律部门需要了解正在收集的信息。这些系统可以收集与击键计时配对的 IP 地址。输入该信息的人并不是没有表示同意。但这并没有阻止律师提起巨额诉讼，即使没有根据。”