发挥网络安全保险在网络安全风险治理中的积极作用

　　自2023年7月工业和信息化部与国家金融监督管理总局联合印发《关于促进网络安全保险规范健康发展的意见》之后，我国的网络安全保险进入发展的快车道。数据表明，截至2024年底，已有53家保险公司备案了341款网络安全保险产品，其中2024年新增56款网络安全保险产品，涵盖保障软件供应链责任、系统缺陷等创新型产品。不仅如此，在试点过程中，各地涌现出许多面向重点行业企业的网络安全保险服务新模式，如面向链主企业和链上中小企业的创新供应链网络安全保险服务，以及面向中小企业的创新轻量化保前风险评估和保中风险监测服务。此外，北京、上海、江苏等地方政府也积极响应，充分发挥市场机制作用，设身处地为企业解决发展中的突出安全问题。

图片来源于网络，如有侵权，请联系删除

　　何为网络安全保险？

　　为何要促进网络安全保险发展？

　　所谓网络安全保险，是指针对网络安全风险设计的新兴保险产品，旨在降低企业网络安全风险水平，并降低企业因遭遇网络安全事件导致的经济损失，是网络安全风险管理的一种重要手段。

　　与传统的企业财产保险、机动车辆保险相比，网络安全保险既有共性，同时也有明显的差异。从共性来看，它们都属于广义财产保险的范畴，都具备商业保险产品的所有要素，并遵循市场化的运作规则，等等。从差异来看，首先，网络安全保险的底层风险是网络安全风险，它是网络信息技术飞速发展的产物，具有场景多样化、非标准化等特征，并且其潜在后果呈不断增加之势，直接关系着经济、社会的稳定发展以及人民群众的切身利益；其次，网络安全保险虽然也具备经济补偿的基本功能，但是其更加重视对风险的防范与治理，这是因为，面对日益严峻的网络安全风险形势，主动防范与治理才是更有价值的选择，而被动赔偿只会让局面更为被动。

　　推进网络安全保险的发展，是我国在信息化时代应对网络安全风险的重要举措。当前，数字经济风起云涌，信息技术已经深刻地改变了人类的生产和生活方式，它满足了人们对于美好生活的需求，但同时也给国家安全和社会稳定带来前所未有的挑战。这不仅表现在我国关键信息基础设施面临的网络安全形势十分严峻，数据安全受到严重威胁，还体现在大数据、云计算等新技术新应用在隐私保护、数据安全等方面面临新的风险。事实上，我国网络安全领域近年来也出现了多起影响较大的风险事件，比如某省三甲医院系统因遭受勒索软件攻击导致瘫痪，某知名电商平台出现大规模用户信息泄露，国内多家大型交易所与游戏公司遭持续网络攻击，等等。在这种背景下，构建事前积极防范、事中及时控制、事后有效补偿的全流程网络安全风险管理体系，就成为我国网络安全产业高质量发展的应有之义。

　　网络安全保险在网络安全风险治理中有着多方面的优势

　　首先，网络安全保险是一种市场化的网络安全风险管理手段，是对法律规制、行政干预等方式的重要补充。网络安全风险的治理需要综合运用法律规制、行政干预、市场机制等方式，三者各有优劣，相辅相成。与法律规制、行政干预等强制性管控方式不同，网络安全保险主要遵循“政府引导、市场运作”的原则，意在充分发挥保险公司专业风险管理的作用，最终让企业基于自愿的原则利用保险机制来管理风险。

　　其次，网络安全保险可以提供包括事前预防、事中控制、事后损失补偿等在内的服务，是网络安全风险市场化治理机制的枢纽和重要抓手。就事前风险预防来说，保险公司在承保网络安全风险之后，出于缩小损失赔偿规模的动机，可以联合网络安全技术服务机构做好对企业风险的评估、监测工作，及时发现风险隐患。就事中控制来说，当企业遭遇网络攻击和威胁时，保险公司可以联合网络安全技术服务机构及时启动事先拟定的风险应急预案，为企业提供专业的技术支持，进行风险处置，尽可能降低损失。就事后补偿来说，当网络安全风险处置结束，对于因网络安全事故所导致的企业第一方损失（如直接物理损失、营业中断损失、数据资产重置费用等）和第三方索赔损失（如数据泄露责任、媒体侵权责任、外包商相关责任等），保险公司可以按照合同约定进行损失赔偿，进而减少企业的损失。

　　最后，网络安全保险的开展，有助于推动保险公司与网络安全技术服务机构的合作，促进二者围绕着企业的需求创新商业模式、提升专业技术水平，这将进一步促进网络安全产业与金融保险服务要素的深度融合，培育和壮大我国网络安全服务的产业链。

　　需要指出的是，与发达国家相比，虽然我国网络安全保险业务发展很快，但总体还处于起步阶段，市场也还处于培育早期。参考近年来我国安全生产责任保险的发展经验，要更好发挥网络安全保险在网络安全风险治理机制中的积极作用，我们尤其需要做好如下几方面的工作：一是采取多种方式调动和释放企业对网络安全保险的需求，让更多企业认识到网络安全保险的独特价值，只有行业形成了一定规模的需求，才能进一步引导保险公司、专业技术服务机构加强供给，进而形成良性循环；二是建立网络安全风险事故预防费用制度，要求保险公司必须投入一定比例的风险预防费用，用于聘请和委托网络安全专业技术服务机构开展风险预防和风险监测，制定专项预算，据实列支；三是加强对网络安全保险的政策支持，并不断优化网络安全保险发展的外部环境，充分发挥中国保险行业协会在示范条款、技术标准制定等方面的积极作用。（作者：对外经济贸易大学保险学院副院长　何小伟）