近日，欧盟发布《网络保险的需求：对OES的挑战和前景的分析》报告，报告分析了基本服务运营商（OES）在获得网络保险服务方面的当前观点和挑战。

本分析的主要目标是了解和确定基本服务运营商（OES）在签订网络保险合同时面临的当前要求和挑战。进行的工作旨在阐明阻碍OES购买网络保险的潜在障碍。本报告只涉及网络保险市场的"需求方"，适用于OES的特定情况。

网络保险行业的需求方

01 风险管理实践

网络保险是减少风险的策略，因此在一个组织内的风险管理过程中得到解决。在所有的受访者中，超过77%的人表示遵守正式的流程来识别网络风险。相反，分析还显示，23%的人没有使用正式的流程，或者不确定是否有这样的流程。当受访者被问及现有的风险缓解工具和控制措施的决策过程时，差距扩大了。32%的情况下，确定风险缓解工具和控制措施的程序没有到位。

综上所述，可以说，对于一部分OES来说，风险管理过程的成熟度是可以提高的。获得的数据表明，随着风险管理成熟度的提高，网络保险的覆盖面也会增加。

02 网络保险和其他保险

本研究的一个关键方面是了解OES的网络保险。此外，还调查了通过其他现有政策的覆盖面，以及覆盖面的类型、缺失的元素和过去获得网络保险的失败尝试。同时还分析了签订网络保险的动机和主要挑战。

目前的网络覆盖率显示，只有26%的受访者目前拥有网络保险。这表明覆盖率略低于2022年的NIS投资结果，该结果报告称32%的OES/DSP拥有网络保险。虽然该网络保险调查报告的覆盖率略低于NIS投资报告，但它确实显示了过去几年的下降趋势。

其他保险保障

除了特定的网络保险，其他保险有时也可能提供网络事件保险。可能通过网络附加险明确规定，也可能是通过不排除任何网络事件隐含的。超半的受访者表示没有这种保险，但26%的受访者表示通过其他保单拥有某种形式的网络保险。

网络保险政策

网络保险的覆盖范围相当广泛，包括各种损害和事件。保障范围包括（分布式）拒绝服务（DDoS）攻击、恶意软件、勒索软件攻击、被盗凭证（未经授权访问和使用数据资产和计算机系统）、网络钓鱼攻击、网络中断等。然而，受访者对续保的难易程度以及延期的不保事项、限制和价格表示担忧。尤其是在过去几年中，获得勒索软件的保险变得越来越困难。

主要发现：

•市场研究和访谈表明，网络保险价格在上升，而覆盖面却在下降；

•OES越来越多地关注其他风险缓解策略；

03 网络保险公司的识别和选择

本节介绍与网络保险公司的识别和选择阶段相关的方面，作为网络保险合同流程的一部分。同样，本节讨论了OES对保险公司接受的看法。定向、识别和选择 数据显示，26%的受访者目前拥有网络保险，74%没有。然而，37%的受访者确认他们已经将网络保险确定为风险缓解工具，20%的受访者表示正在考虑在一年内或两年后购买。56%的受访者表示“其他风险缓解工具被认为更充分”。在访谈期间，已与OES详细讨论了该主题，并且这种回应的原因通常与可用保险的高价格有关。

主要发现：

•在购买网络保险的标准中，价格似乎是最重要的，其次是：保险公司的声誉，承保范围，特定条款和支持；

04 合同与流程

对于13%的受访者，首席信息安全官（CISO）或安全团队负责购买网络保险。拥有网络保险的受访者更有可能拥有专门的保险团队参与网络保险的采购。

39%的总体经验表明，合同不可谈判，并且基于标准模板；而大多数经验表明，合同即使不能完全谈判，也至少可以进行部分商榷。

主要发现：

•多数情况下，有关购买保险的决策是在CISO职能之外进行的；

•只有少数的OES表示合同及其附件不明确；

•在拥有网络保险的受访者中，过半的受访者认为合同条款明确或有些明确；

05 维护与支持

在探索OES收购的网络安全保险中嵌入的附加功能或服务的领域时：

• 40%的受访者表示其保险公司在预防网络事件方面提供支持;

•68%的受访者表示其保险公司提供事后网络支持

主要发现：

•对于OES，网络保险公司提供的事故后响应服务比事件前响应服务更为突出；

06 意识与技能

为了提高对网络保险的认识，最重要的回应是沟通和传播、更好的覆盖面、特设协作网络和同行学习。有趣的是，提到了更好的覆盖范围，这可能表明网络保险被视为一种缓解策略，风险本身的范围有限。受访者提到，并不认为网络保险是一种可行的风险缓解策略。非正式学习和建议被认为是改进战略的好方法。较少提及的选项是公众支持、研究和科学证据。为了增加网络保险的购买量，排名靠前的回应分别是：

• 更好的覆盖范围

• 更少的排期

• 更清晰的政策措辞

• 沟通和传播

受访者表示他们对网络保险作为降低风险策略的兴趣下降，近年来网络保险保单费用大幅上涨，同时保单条款（除外责任、分项限制等）变得不那么有吸引力。由于价格和覆盖范围的变化，网络保险的吸引力下降是采访中反复出现的主题。对网络控制的投资）通常被认为在减轻网络风险方面更有效。

主要发现：

•沟通和传播、更好的覆盖面、设置协作网络和同行学习是提高对网络保险相关性的认识的重要领域；

•OES认为，增加购买网络保险的关键方面是：更好的承保范围，更少的除外责任，更清晰的政策措辞，沟通和传播；