网络安全保险领域首份政策文件落地：推动网络安全产业和金融服务融合

南方财经全媒体记者 郑嘉意 北京报道

当前，以数字科技为核心的科技变革和产业密集涌现，数据共享力度持续加大，数字化应用不断上线，如何转移企业残余数字风险已成为社会各界关注的焦点。

这一背景下，保险作为风险转移的重要手段，逐渐被更多国内企业纳入网络风险管理框架中。

7月17日，工业和信息化部、国家金融监督管理总局共同发布《关于促进网络安全保险规范健康发展的意见》（以下简称《意见》），对网络安全保险的标准体系建设、产品服务创新、产业需求释放及优质生态发展等问题作出引导。

据悉，此次发布的《意见》是我国网络安全保险领域的首份政策文件，旨在加快推动网络安全产业和金融服务融合创新，引导网络安全保险健康有序发展，培育网络安全保险新业态，促进企业加强网络安全风险管理，推动网络安全产业高质量发展。

推动网络安全产业和金融服务融合

近年来，随着数字资产在全球范围内愈加受到重视，勒索攻击、数据泄露等威胁逐渐蔓延到在线金融、医疗、教育等社会生活的方方面面。为应对新型网络安全威胁，各类网络安全防护技术与产品得到快速发展与普及。

源堡科技创始人兼CEO韩冰对记者表示，企业对网络安全的投入存在明显的边际效用递减的现象。在网络安全能力建设的早期，购买网络安全产品可防范大部分风险；但在中后期，企业会转向寻求性价比更高的网络安全服务，购买网络安全保险的方式来转移残余风险。

“网络安全保险的价值首先在于降低社会总成本。网络安全保险和配套服务能够赋能企业的网络安全整体防灾水平，可通过保险的责任转移机制来有效降低网络安全事件发生的风险。其次，为企业标注安全标签。”韩冰指出。

在此背景下，作为承保网络安全风险的新险种、网络安全服务的新模式，网络安全保险的重要性日益凸显。

7月17日，工业和信息化部、国家金融监督管理总局共同发布《意见》，围绕完善政策标准、创新产品服务、强化技术支持、促进需求释放、培育产业生态等提出5方面10条意见

一是健全完善网络安全保险支持政策；二是全方位加强网络安全保险产品服务创新；三是加强全生命周期风险监测；四是撬动网络安全产业需求释放；五是培育网络安全保险发展生态。

值得注意的是，此次发布的《意见》是我国网络安全保险领域的首份政策文件。

早在2022年11月，工信部就曾会同原银保监会起草《关于促进网络安全保险规范健康发展的意见（征求意见稿）》（以下简称《征求意见稿》）。广泛征集保险机构、网络安全企业、基础电信运营商、互联网企业等产业各方意见后，《意见》在《征求意见稿》的框架和内容上对个别条款细节作出补充。

例如，在“完善网络安全保险政策制度”部分，《意见》补充，在推动健全完善财政政策时，可充分利用地方首台（套）、首版（次）等现有政策，提供保险减税、保险购买补贴等措施；“健全网络安全保险标准规范”部分，《意见》补充，应统一行业术语规范；在“宣传推广网络安全保险服务”部分，《意见》强调，应开展网络安全保险教育培训，引导加强从业人员自律，规范网络安全保险推广应用。

下一步，工业和信息化部与国家金融监督管理总局表示，为推进《意见》落实，将从政策宣贯、标准研制、试点推广、生态培育等进一步深化工作部署，深入推进网络安全保险工作。

强化技术赋能关注风险量化与监测

业内人士指出，事前投保可以有效降低企业在遭到攻击后的维护成本，且专业保险公司在风险管理与损失填补方面的经验，有助于企业保障基本的防护要求，做好安全规划。

韩冰对记者表示，对于网络攻击，“防患于未然”的成本比事故发生导致的损失要低得多。在保险产品的设计中，对潜在风险的量化技术是制定承保方案的关键所在。

但众安科技与赛博研究院发布的《2022网络安全保险科技白皮书》指出，尽管我国在网络安全方面有着庞大潜在市场，但我国网络安全保险产业起步较晚，存在企业投保需求受众还需进一步激活、保险公司风险把控能力还需提升、网络安防技术尚待与保险评估定损流程相匹配等问题。

此次发布的《意见》即强调科技赋能，要求保险公司关注网络安全风险量化评估、网络安全风险监测两方面内容。

所谓安全风险量化评估，实际上就是从风险管理角度对企业信息系统数字资产价值、安全防护能力、可能的损失等属性进行数据层面的量化分析，并将分析结果转化为服务于安全建设的决策信息。

《意见》强调，应聚焦网络安全风险量化评估：一是加强电信和互联网、工业互联网、车联网、物联网等网络安全风险研究。二是探索建立网络安全风险量化评估模型，加强网络安全风险影响规模预测、经济损失等分析。三是支持研发网络安全风险量化评估技术，开发轻量化网络安全风险量化评估工具。四是鼓励建立网络安全风险理赔数据库，支撑网络安全风险精准定价。

韩冰表示，当前，科技公司可通过风险量化管理技术为保司提供全面、清晰的网络安全评估及核保报告。“这可以帮助保险公司解决可保性的问题，也可以让投保企业清晰了解自身网络安全健康程度、并根据报告结果及时修复自身网络安全薄弱点。”

除风险量化评估外，《意见》同时指出，网络安全风险监测能力也必不可少。

《意见》强调，保险公司应开展网络安全保险全生命周期风险监测，覆盖事前、事中、事后等重要环节；充分利用网络安全风险监测技术手段，针对网络安全漏洞、恶意网络资源、网络安全事件等开展网络安全威胁实时监测，及时发现网络安全风险隐患，提升网络安全风险监测预警、应急处置等能力。

促进网络安全保险服务应用

近年来，以勒索软件为代表的各类网络安全威胁，给企业生产、社会生活和公共机构运行都产生了极大影响，数字经济的发展一方面给不同行业发展带来了诸多机遇，也催生了产业链条的网络安全隐患。

为加快网络安全保险服务应用推广，《意见》从以下三方面推动网络安全产业需求释放：

一是推动重点行业领域先行先试。面向电信和互联网、能源、金融、医疗卫生等重点行业，以及工业互联网、车联网、物联网等新兴融合领域，开展网络安全保险服务试点。充分发挥网络安全产业、网络安全保险相关联盟协会等作用，形成可复制、可推广的网络安全保险服务模式。

二是鼓励重点行业完善风险管理机制。推动制造业、能源、金融、交通、水利、教育等重点行业企业积极利用网络安全保险工具，完善网络安全风险管理机制，提升网络基础设施、重要信息系统和数据的安全防护能力。

三是推动中小企业网络安全防护能力提升。支持中小企业积极参与网络安全保险，有效监控网络安全风险敞口，建立健全网络安全风险管理体系，不断加强网络安全风险应对能力。

同时，工业和信息化部与国家金融监督管理总局表示，网络安全保险是网络安全和金融服务的创新融合，涉及主体广泛，需要多方凝聚共识、加强协作。

一方面，需通过网络安全保险优秀案例征集、网络安全保险应用示范等活动，培育一批专业能力突出的保险机构；另一方面，则需要宣传推广网络安全保险服务，充分发挥相关行业联盟协会、重点企业带动作用，整合资源优势，促进网络安全产业和金融服务要素流动。