報導摘要
隨著網路攻擊的頻率與複雜性不斷上升，網路保險已成為企業轉嫁風險的重要工具。然而，保險業者正逐漸改變其理賠策略，不再對所有網路資安事件照單全收。特別是，若資安事件是由於企業未能及時修補已知的公開漏洞（如列在CVE資料庫中的漏洞）所導致，保險公司可能會拒絕或限縮理賠金額。這項趨勢凸顯了網路保險不再僅僅是事後的財務補償，更是對企業資安成熟度與積極性的評估。保險公司現在期望被保險人能證明其已實施基本的網路衛生規範，如多重身分驗證（MFA）、定期漏洞修補與備份管理等，以降低風險。若企業無法證明其已善盡應有的資安防護責任，理賠申請很可能會面臨延遲甚至被拒絕的風險。
一、網路保險理賠政策的轉變：從被動補償到主動風險管理
過去，許多企業將網路保險視為抵禦網路攻擊的最後一道防線，認為只要支付保費，就能在事件發生後獲得財務支援。然而，這種觀念已不再適用於當今的網路保險市場。隨著勒索軟體攻擊、資料外洩事件的頻繁發生，導致保險公司的理賠金額激增，保險業者開始審視並收緊承保與理賠條件。他們將重點從單純的事件後補償，轉向要求被保險人必須證明其已採取足夠的「主動」資安防護措施。
這項轉變背後的邏輯相當明確：若企業未能修補已知的、可被公開利用的漏洞，形同是為駭客敞開大門。這種疏忽被保險公司視為「不負責任的網路衛生」，如同火災保險公司會要求住戶安裝煙霧警報器一樣。他們認為，如果保險理賠涵蓋了因明顯過失所造成的損失，將會鼓勵企業疏於防範，從而導致風險螺旋式上升，最終使整個網路保險市場難以維繫。
二、為何「未修補的漏洞」成為理賠拒絕的關鍵因素
未修補的漏洞，特別是那些已被列入Common Vulnerabilities and Exposures（CVE）資料庫中的漏洞，對駭客而言是公開且易於利用的攻擊途徑。資安業者Sophos的研究報告顯示，駭客利用未修補漏洞發動的勒索軟體攻擊，其成功率和破壞性都比其他攻擊方式（如憑證外洩）來得更高。這類攻擊不僅導致資料加密率更高（67%），也更常迫使受害者支付贖金（71%）。
當企業申請理賠時，保險公司會聘請第三方數位鑑識專家進行詳細調查。這些調查會仔細檢視攻擊進入點、入侵路徑，以及企業的網路環境。如果鑑識報告發現攻擊是透過一個已發布補丁但未被應用的漏洞所達成，保險公司便有足夠的理由以「未能盡責」或「違反保單條款」為由拒絕理賠。著名的案例包括2017年的Equifax資料外洩案，駭客正是利用了Apache Struts框架中一個已發布補丁但未修補的漏洞，導致數百萬用戶的敏感資料外洩，成為資安歷史上因未修補漏洞而釀成巨災的經典案例。
此外，保險公司也開始在保單中明確定義所謂的「已知漏洞」與「修補時間」。例如，部分保險公司會給予客戶一個寬限期（如45天），要求在此期間內修補所有已公開的高風險CVE漏洞。若超過期限仍未修補，則理賠額度將會遞減，甚至完全失效。這項條款迫使企業必須建立一套完善的漏洞管理與修補機制，以確保其資安防護能力符合保險公司的要求。
三、網路保險業者對企業的具體資安要求
為了有效降低風險，網路保險業者在承保前會要求企業填寫詳細的問卷，並進行資安評估。這些評估通常包括以下幾項核心要求：
多重身分驗證（Multi-Factor Authentication, MFA）：MFA被視為防止帳號盜用的基本防線。許多保險公司要求企業在所有關鍵帳戶，特別是遠端存取和雲端服務，啟用MFA，否則理賠申請將會被直接拒絕。
漏洞與修補管理（Vulnerability and Patch Management）：這是理賠的關鍵。保險公司要求企業必須有一套明確的政策與流程，來定期掃描系統漏洞，並在規定時間內修補高風險漏洞。這套流程必須能夠被審核和證明，以便在理賠時作為已盡責的證據。
備份與復原計畫：針對勒索軟體攻擊，保險公司會審查企業的備份策略。如果備份不足、未定期測試或備份系統與生產網路連接，都可能被視為不符合要求，導致理賠被拒絕。
事件應變計畫（Incident Response Plan）：保險公司要求企業必須制定並定期演練資安事件應變計畫。這項計畫必須明確定義在事件發生後，應如何通報保險公司、數位鑑識專家和相關利害關係人，並如何恢復業務運營。
這些要求不僅是為了降低保險公司的風險，同時也為企業自身提供了一個明確的資安改善路線圖。
四、企業如何因應以確保理賠與降低風險
面對網路保險業者日益嚴格的要求，企業必須將資安視為一項核心業務功能，而不僅僅是IT部門的責任。以下是幾項應對建議：
建立自動化的漏洞管理機制：企業應投資於自動化的漏洞掃描與修補工具。這些工具能持續監控網路環境，發現新的漏洞並自動或半自動地部署補丁。建立標準化的流程，將漏洞依據CVSS（Common Vulnerability Scoring System）評分進行優先級排序，並在規定時間內完成修補。
完善資安政策與文件化：企業必須將所有的資安流程（如修補流程、員工資安培訓等）正式寫入政策文件，並進行記錄。在事件發生後，這些文件將是證明企業已盡責的關鍵證據。
定期進行資安演練：除了書面計畫，企業應定期進行資安事件應變演練。這包括模擬網路釣魚攻擊、勒索軟體入侵等情境，並測試員工的反應與應變計畫的有效性。
選擇合適的保險產品：企業在購買網路保險時，應仔細閱讀保單條款，特別是理賠 exclusions（除外條款）與要求。如果企業無法滿足某項嚴格要求，應與保險經紀人或保險公司討論，尋找更適合的承保方案，或先改善資安狀況再投保。
擁抱主動式資安思維：最終，企業必須將網路保險視為其全面風險管理策略的一部分，而不是萬靈丹。只有將預防措施（如MFA、漏洞管理、員工培訓）與事後補償（網路保險）結合，才能建立一個真正有韌性的資安防護體系。
總結來說，網路保險市場的演變，正迫使企業從被動防禦走向主動管理。對於未能及時修補漏洞的企業而言，不僅面臨更高的資安風險，其所購買的保險也可能無法提供預期的財務保障。這項趨勢傳達了一個清晰的訊息：在當今的數位世界，良好的「網路衛生」不再是可選的加分項，而是企業生存與發展的必備條件。
資料來源：https://www.darkreading.com/cyber-risk/cyber-insurers-may-limit-payments-breaches-unpatched-cve