伦敦劳合社：网络安全保险不再承保国家级APT攻击造成的损失

外媒报道，近日英国伦敦保险巨头劳合社 (Lloyd's) 发布了一份公告，表明其网络保险产品将不再涵盖国家之间“网络战争”造成的损失，并且这一定义扩展到对国家运营职能产生“重大不利影响”的网络行动。

 

据悉，作为英国的一家保险巨头，劳合社服务于普通社会大众，同时也为业内众多的保险公司提供决策建议，它的决策往往代表着保险业的某个风向。

 

劳合社新的网络安全保险政策以“网络战争和网络运营排除条款”的形式出现，劳合社表示，它不想再承担“网络战争”造成的损失。正如该公司所定义的那样，排除条款包括在正式战争状态期间的网络攻击以及一国对另一国的报复性攻击行动引发的后果。令人惊讶的是，该条款提出的包含对国家职能产生“重大不利影响”的网络行动，意味着可能发生安全事件的关键基础设施（例如油气运输管道和 JBS 攻击事件）将不能够通过市场的网络保险政策投保。

 

通过这一举措，劳合社正试图将具有约束力的法律条款应用于网络世界，比如，当前没有任何国家承认拥有与其相关联的“高级持续威胁”（APT）组织；这些组织通常由安全研究人员在信息归因后命名，他们只会记录这些团体留下的攻击模式和薄弱证据。

 

虽然劳合社公告中的措辞并未完全明确将与 APT 组织有微弱联系的网络攻击视为拒绝网络保险的“网络战争”行为，但显然对关键基础设施的网络攻击可能会导致保险业拒绝为其出具网络保险，即使这些攻击并非来自已知的国家背景攻击者。

 

劳合社明确指出，不需要将攻击正式归因于国家行为者来触发该条款；保险公司可以使用“客观合理的推断”来自行确定任何特定的网络攻击是否符合这些新标准。如果保险公司确定归因花费了“不合理的时间”，他们也无需等待可能即将到来的政府归因。

 

劳合社的这一系列做法，旨在为其平台上的保险公司规避巨额案件的赔偿，尤其是勒索软件攻击案件。到2021 年，勒索软件攻击的平均恢复成本已上升至200 万美元（高于 2020 年的约 750,000 美元）。在过去的一年里，勒索软件攻击也变得更有针对性，犯罪团伙表现出偏爱以提供网络保险政策而闻名的大型组织。

 

事实上，劳合社也并非保险业第一个提出“战争免赔”的保险公司，在2017年NotPetya 勒索软件攻击之后，苏黎世保险集团利用政府将此次攻击归咎于俄罗斯作为拒绝向零食巨头亿滋支付损害赔偿的理由，此后保险业一直在探索这一想法。公司援引的一些战争排除条款依赖于可追溯到 20 世纪早期的保险法。

 

Cowbell Cyber的保险主管 Chris Reese指出，全行业正在重新审查网络安全保险条款：“虽然95% 的美国保险经纪人报告第三季度对网络保险的需求有所增加，但网络保险也亟需转型。保险公司需要彻底改革其承保策略，以应对网络风险的独特性质——不断变化的威胁、由于数字化而迅速扩大的风险、IT 基础设施的复杂性——以避免与他们承诺承保的风险脱节。”