報導摘要：保費上漲與承保缺口的新常態

近年來，全球工業部門在面對日益頻繁且複雜的網路攻擊時，發現其風險轉嫁的傳統途徑——網路安全保險，正變得越來越不可靠。保費急劇上漲、承保範圍縮限以及更嚴格的核保標準，正在將許多工業組織推向一個艱難的境地。過往被視為企業風險管理重要工具的網路保險，如今不僅成本高昂，更可能在最需要的時候失效，留下巨大的承保缺口。

對於許多工業組織來說，提交網路安全保險理賠已成為一項艱鉅的任務，尤其是在越來越多的保單不再承保與民族國家或「類似戰爭」事件相關的攻擊的情況下，這讓企業陷入困境，因為證明網路攻擊來自民族國家極為困難，而保險公司又有各種理由拒絕賠償。遺留設備、修補漏洞和限制、可用性需求以及安全約束越來越多地被納入核保模式，這導致保費上漲、續保要求更加嚴格，在某些情況下甚至直接拒絕承保高風險環境。眾所周知，以倫敦勞合社為例，該保險公司在2023年規定，其保單不承保國家支持的網路事件造成的損失。對此，保險公司和承保人開始更加嚴格地規定他們在營運技術 (OT) 環境中願意承擔的風險，保險公司希望查看資產清單、SBOM 和完整的風險概況等詳細信息，以了解其風險敞口，這提高了組織必須共享資訊的標準。即使已經拿到保單，許多公司也可能在關鍵時刻發現自己的風險暴露。

這份報告將深入探討工業部門在網路保險領域面臨的種種挑戰，並提供具體的應對策略，旨在協助企業理解當前的市場動態，並有效提升自身的資安韌性，以因應這個充滿不確定性的新時代。

第一章：保險市場的風雲變幻與工業部門的獨特挑戰

1.1 從天災到人禍：網路攻擊的本質演變

傳統上，保險業基於對風險的量化與歷史數據的統計來運作。然而，網路攻擊的本質與傳統風險截然不同。網路威脅並非來自自然災害，而是源於惡意的人為行為，其動機複雜，包括經濟利益、政治報復或間諜活動。尤其在工業領域，網路攻擊的目標從單純的資料竊取擴展到破壞生產線、操縱工業流程，甚至造成物理性損害。這種跨越虛擬與實體的攻擊模式，讓傳統的保險核保模型難以適用。

1.2 OT環境的獨特性與保險難題

與企業資訊科技（IT）網路不同，營運技術（OT）環境有其特殊性。工業控制系統（ICS）、監控與資料擷取系統（SCADA）等OT設備，許多設計之初並未考慮到網路安全，它們往往是運行數十年、無法輕易停機修補的遺留系統。

• 遺留設備（Legacy Equipment）： 許多工廠的設備可能比IT系統壽命更長，它們使用老舊的作業系統，且缺乏現代資安防護功能。

• 修補困難（Patching Challenges）： 為了確保生產線的連續性，OT設備無法像IT伺服器那樣隨時進行修補或重啟。任何中斷都可能導致巨大的經濟損失，這使得修補漏洞的過程變得極其困難。

• 可用性優先（Availability as a Priority）： 在OT環境中，「可用性」永遠是第一優先。任何影響設備運行的安全措施都可能被拒絕，這與IT環境中「機密性」和「完整性」並重的原則不同。

• 物理影響風險（Risk of Physical Damage）： 勒索軟體攻擊不僅會癱瘓IT系統，若蔓延至OT網路，更可能造成設備損壞、環境汙染或人員傷亡等物理性後果，這使得保險理賠的範圍和金額難以估算。

這些獨特的挑戰使得OT環境的風險評估變得異常複雜，保險公司因此對承保工業部門持謹慎甚至排斥的態度，直接導致保費飆升和承保範圍緊縮。

第二章：保險公司的嚴格審核與新的核保模式

2.1 從IT思維到OT思維的轉變

過去，網路保險核保主要關注IT環境，例如防火牆、防毒軟體、入侵偵測系統、備份與恢復機制等。然而，面對來自OT系統的特殊風險，保險公司意識到舊有的核保模型已不足夠。承保人正積極將核保重點從IT轉向OT，要求企業提供更為細緻且針對性的資訊。

2.2 資訊透明化的新要求

保險公司不再滿足於籠統的風險報告，而是要求企業提供詳細的風險概況，以精確評估其潛在風險。

• 資產清單（Asset Inventory）： 這是了解OT網路風險的第一步。企業必須提供一份完整的資產清單，包括所有連接到網路的ICS、SCADA設備、PLC控制器等。這份清單需要包含設備型號、軟體版本、作業系統、連接方式等詳細資訊。

• 軟體物料清單（SBOM）： SBOM就像是軟體的成分表，它列出了軟體中包含的所有開源和商用組件。在OT環境中，許多軟體都包含來自第三方供應商的組件，這些組件可能存在未知的漏洞。保險公司要求提供SBOM，以評估供應鏈攻擊的潛在風險。

• 完整的風險概況（Comprehensive Risk Profile）： 這不僅包括技術層面的風險，還涵蓋了組織層面的風險，例如資安治理框架、員工安全意識培訓、事件應變計畫等。

2.3 核保與保費的掛鉤

保險公司將這些新的核保要求與保費緊密掛鉤。那些未能提供詳細資訊、未能證明其OT環境得到妥善保護的企業，將面臨更高的保費，甚至被拒絕承保。相反，那些積極投資於OT資安、能夠提供詳細風險概況的企業，則更有可能獲得更具競爭力的保費和更廣泛的承保範圍。

第三章：民族國家攻擊的「戰爭」排除條款

3.1 挑戰：難以界定的攻擊來源

這是一個在網路保險領域日益突出的難題。許多保單明確規定，由民族國家發動或「類似戰爭」的網路攻擊所造成的損失，不在承保範圍內。然而，在實務上，要證明網路攻擊的來源極其困難。

• 複雜的歸因（Attribution Challenge）： 駭客組織通常會使用代理伺服器、跳板機、加密通訊等多種手段來掩蓋其真實身份和地理位置。即使是頂尖的資安公司和政府機構，也需要花費大量時間和資源才能做出有信服力的歸因。

• 法律與道德困境： 當一家企業受到攻擊後，他們需要向保險公司證明攻擊不是來自民族國家，否則理賠可能被拒絕。這在實務上幾乎是不可能完成的任務。保險公司可以輕易地以攻擊來源不明或「懷疑與國家有關」為由拒絕理賠。

3.2 歷史案例與法律爭議

近年來，這一條款已在多個重大網路攻擊事件中引發法律爭議。例如，NotPetya勒索軟體攻擊最初被認為是俄羅斯發動的網路戰，許多保險公司因此引用「戰爭排除條款」拒絕理賠。這導致受害企業與保險公司之間陷入長期的法律訴訟。這些案例凸顯了保險公司在制定保單時的模糊性，以及企業在簽訂合約時可能面臨的巨大風險暴露。

第四章：工業企業的自救與應對之道

面對嚴峻的保險環境，工業企業不能再將網路安全視為單純的IT問題，而必須將其提升到企業營運風險管理的戰略高度。

4.1 核心策略一：加強OT資安防護

• OT資產可視化與盤點： 這是所有防禦工作的基石。企業必須使用專門的工具來自動化發現和盤點OT網路中的所有資產，並持續監控其安全狀態。

• 網路分段與微隔離（Network Segmentation and Micro-segmentation）： 將OT網路與IT網路進行物理或邏輯上的隔離，防止IT網路的威脅蔓延至OT網路。進一步，在OT網路內部進行分段，限制不同生產單元之間的通訊，即使單一設備被入侵，攻擊者也難以在整個網路中橫向移動。

• 漏洞管理與修補計畫： 雖然OT系統的修補困難，但企業仍需建立結構化的漏洞管理計畫。這包括定期進行漏洞掃描、評估漏洞的風險等級、制定風險緩解措施，並在允許的停機時間內進行有計劃的修補。

• 強化遠端存取安全： 工業4.0趨勢下，遠端存取OT設備越來越普遍。企業必須使用多因素驗證（MFA）、最小權限原則等安全措施，確保遠端存取通道的安全性。

4.2 核心策略二：提升企業資安韌性

• 建立和演練事件應變計畫（IRP）： 一個健全的IRP是應對任何資安事件的關鍵。這份計畫必須詳細說明在OT系統受到攻擊時的應變流程，包括：

  • 通訊協議： 誰負責通知誰？如何與內部團隊、外部顧問、執法機構和保險公司溝通？

  • 角色與職責： 明確界定每個團隊成員在應變過程中的職責。

  • 技術應變步驟： 包括如何隔離受感染的設備、如何進行數位鑑識、如何從備份中恢復系統等。

• 制定業務連續性與災難恢復計畫（BC/DRP）： 除了應對網路攻擊，企業還需要確保即使在最壞的情況下，也能快速恢復生產。這包括定期備份關鍵資料、測試備份恢復流程，並制定替代性的營運方案。

• 持續監控與威脅偵測： 部署專為OT環境設計的威脅偵測系統，以即時發現異常行為或惡意活動。這類系統能夠識別出與正常生產流程不符的通訊或命令，從而在攻擊造成損害前發出警報。

• 教育與培訓： 員工是資安防線的重要一環。定期對OT與IT員工進行資安意識培訓，教導他們如何識別惡意郵件、如何避免不安全的行為，並強調遵守安全規定的重要性。

第五章：與保險公司建立夥伴關係

企業不能僅僅將保險視為風險轉嫁的工具，而應將其視為與保險公司建立夥伴關係的機會。

5.1 證明你的能力

保險公司希望承保那些能夠有效管理風險的企業。企業需要主動向保險公司展示其在OT資安方面的投資和努力。

• 提供詳細文件： 主動提供最新的資產清單、網路架構圖、安全審核報告、事件應變計畫等。

• 進行第三方風險評估： 聘請專業的第三方資安公司對OT環境進行風險評估和滲透測試。這些報告可以作為企業資安能力的有力證明。

• 展示韌性指標： 企業可以量化其在資安方面的表現，例如事件平均回應時間（MTTR）、恢復時間目標（RTO）的達成率等。這些指標能夠向保險公司證明企業具備快速從攻擊中恢復的能力。

5.2 尋求專業顧問的協助

許多保險經紀人或顧問專門從事網路保險業務，他們對市場趨勢和核保要求有深入了解。與這些專業人士合作，可以幫助企業找到最適合的保單，並確保提交的資訊滿足承保人的要求。

結論

網路安全保險市場的變革，是工業領域網路威脅本質演變的必然結果。過去的「一紙保單保平安」思維已經過時。未來的工業企業必須將網路安全保險視為其全面風險管理策略的一部分，與其說是購買一份保險，不如說是向保險公司證明自己具備管理和控制風險的能力。

這場變革對工業企業來說既是挑戰，也是轉機。透過主動投資於OT資安防護、提升資安韌性，並與保險公司建立透明的溝通，企業不僅能夠獲得更優渥的保險條件，更能從根本上提升自身的競爭力。在數位轉型與智慧製造浪潮中，誰能有效管理網路風險，誰就掌握了未來的關鍵。

資料來源：https://industrialcyber.co/features/industrial-sector-faces-tougher-cyber-insurance-landscape-with-escalating-premiums-coverage-gaps/