文章架构

一、这东西叫什么名字？

二、卖得多吗？

三、按什么收费？

四、谁都能买吗？

五、中了就赔吗？

六、这东西真正的价值是什么？

结语

你有没有想过一 个问题：中了勒索病毒，几十台服务器被加密，黑客要50个比特币，公司停摆三天，这笔账到 底 谁来付 ？

你可能会说： 不是有保险吗？买了就赔吧？ （ 你要是没买勒？总要有个人背锅吧，至于是谁嘛，有外包找外包，没外包找小弟！ ）

我只能说：你想多了。保险公司比你精多了。

一、这东西叫什么名字？

正式名字叫 网络安全保险 （Cyber Insurance）。

它不是专门给勒索病毒开的险种，勒索赔付只是它的一部分。完整的网络安全保险覆盖的范围大概包括：

• 数据泄露的响应费用（通知客户、请律师、请取证团队）；

• 业务中断的营收损失；

• 勒索赎金和赎金谈判费用；

• 数据恢复的技术成本；

• 第三方索赔（因为你的数据泄露导致客户告你）。

但实话实说，赎金赔付是这两年最受关注的部分。毕竟勒索软件一年在全球搞掉几百亿美元，保险公司首当其冲。

二、卖得多吗？

分两头看。

美国市场

2024年网络安全保险全球保费大约 140亿美元 ，美国一家的市场规模就占了将近四分之三。

这玩意儿在美国已经不是"买不买"的问题，是大企业必须有的标配。很多大企业的商业合同里明确要求供应商必须持有网络安全保险，你没保单，合同都签不了。

中间有个插曲。2019年到2022年勒索软件大爆发期间，美国网络安全保险的 保费涨了将近三倍 。不是因为买的人突然多了，是因为保险公司赔怕了。2021年Colonial Pipeline、JBS、Kaseya连着三个大案，保险行业在网络安全险上的综合赔付率一度冲到 120%， 收10块保费赔12块，谁扛得住？

所以2022年以后保险公司集体收紧：保费翻倍、保额砍半、承保条件加了一堆前置要求。这个险种从一个"试试水"的东西变成了一个"严进严出"的东西。

国内市场

说句不好听的， 刚学会走路 。

工信部2024年搞了第一批网络安全保险试点，数据是这样的：

• 1500多张企业保单；

• 总保费 1.5亿 元；

• 平均每单约10万元；

• 53家保险公司参与，341款备案产品。

对比一下：中国财产险市场一年保费1.4万亿。网络安全保险连零头的零头都不到。

要知道中国是全球第二大经济体，中小企业几千万家。1.5亿保费意味着什么？意味着绝大多数企业根本不知道有这个东西存在，就算知道，我干嘛要买？

但反过来也说明： 这玩意儿的增长空间大得离谱。

三、按什么收费？

很多人以为网络安全保险跟财产险一样：你有100台服务器，按100台算钱；你有50TB数据，按50TB算钱。

完全不是。

保险公司的定价逻辑更像是在给你做入职体检，然后给你打一个综合健康分。核心看五样东西：

举个真实的定价场景，你就明白了：

• 一家年收入5000万的制造企业，有防火墙、有杀毒软件、每周做离线备份；
• 报价： 8万/年，保额300万；
• 但如果保险公司在评估中发现你 没有离线备份 ，同样的保额报价变成 15万/年 ，而且勒索事件的免赔额从2.5万涨到10万。

为什么差这么多？因为没离线备份，中招了你只能付赎金。保险公司算得比谁都清楚。

核心逻辑就一句话：你的安全做得越烂，保费越贵，安全足够烂的， 直接拒保 。

你看这个逻辑多有意思，这其实比任何安全合规要求都管用。GDPR、等保、护网，说破了大天有些甲方该躺还是躺，但保费翻倍是真金白银，财务总监看到安全预算和保费此消彼长，他会替安全团队去找老板要预算的。

四、谁都能买吗？

不是一个花钱就能买的保险。

购买流程一般是这样的：

• 询价阶段 ： 保险公司扔给你一份巨长的安全评估问卷，二十页起步，问你有没有防火墙、有没有MFA、备份策略是什么、最近一次渗透测试什么时候做的、员工有没有做过钓鱼识别培训、过去三年有没有出过安全事件……

• 核保阶段 ： 保险公司根据你的自评综合打分，分不够的，

• 加价 ： 保费翻倍

• 加前置条件 ： 限期整改，比如"三个月内部署完MFA，否则保单作废"

• 拒保 ： 对不起，您这安全水平我们接不了
  

• 签单后 ： 不是一签就完事了。很多保单有"持续合规条款"，你签单时承诺了有离线备份，如果后面取消了，出事了照样不赔。

对中小企业来说，工信部试点里推了"轻量化评估"，流程简化了，门槛比大企业低。但对应的，中小企业的保额上限也低，一般50万到500万顶天了。大企业可以保到上亿美元。

个人能不能买？ 基本买不到。国内有针对个人消费者的反诈险、账户安全险，但那跟勒索保险是两码事。网络安全保险目前是企业专属。

五、中了就赔吗？

绝对不是， 这可能是全文最值得看的一章。

保险公司不是你说"我中招了，赔钱"就乖乖掏钱包的，赔付有严格的审查流程，而且，拒赔的理由比你想象的多得多。

常见拒赔场景

1. 你自己没做该做的事。

这是拒赔率最高的一类。你签保单的时候承诺了有MFA、有离线备份、定期打补丁，结果调查发现你MFA从来没开过，补丁三个月没打，备份存在同一台服务器上被一块儿加密了，保险公司的结论："你自己的过失，不赔。"

这不叫坑你，这叫合同。就跟 车险不赔酒驾一个逻辑。

2. 赎金流向被制裁组织。

如果你中了一个被OFAC（美国财政部外国资产控制办公室）列入制裁名单的黑客组织，支付赎金本身就违法。保险公司不会出一分钱，而且可能反手举报你。

现实操作中很多企业会找专门的赎金谈判公司来规避这个风险，让他们去确认攻击者身份，评估支付赎金的合法性和风险。

3. "网络战"除外条款。

这是最模糊也最容易扯皮的一条。大部分网络安全保险都有一个"战争免责条款"，如果攻击被认定为国家ji网络战行为，不赔。

听起来很有道理对吧？但问题在于：你怎么界定"网络战"？

2017年的NotPetya就是经典案例。它表面上是勒索软件，实质上是俄罗斯对乌克兰的网络攻击，但波及了全球。马士基损失3亿美元，默克损失14亿美元，联邦快递的TNT业务损失4亿美元，而全球所有受害者的损失合计超过百亿美元。保险公司引用战争条款拒赔，默克起诉保险公司，官司从2018年打到2024年，最终默克胜诉。这个案子到现在都是网络安全保险行业的分水岭事件。

一句话总结：攻击者的身份和意图在事发时很难判断，事后保险公司跟你各执一词，最终可能得上法庭。

4. 赎金谈判失败了赔不赔？

要看保单。有的保单只覆盖"支付赎金"这个动作，如果黑客收了钱不给解密器，保险公司的回应是"这不归我们管，你去找黑客"。好一点的保单会覆盖赎金谈判失败后的替代方案，比如重新部署整个IT环境的费用。

5. 间接损失不赔。

系统瘫痪期间每天的营收损失可以赔（业务中断险），客户数据泄露的响应费用可以赔。但"因为中招导致客户不信任、品牌名声臭了、股票跌了"，这种间接损失，不赔。

六、这东西真正的价值是什么？

讲了半天不赔的场景，你可能觉得网络安全保险就是骗钱的。其实不是。它的真正价值不在"赔钱"， 在 逼你把安全做及格 。

你看这个逻辑链条：

• 安全做得烂 → 保费贵（或被拒保）

• 安全做得好 → 保费便宜

• 保费跟安全预算此消彼长 → 财务部门会主动帮安全团队要预算

这比任何等保测评、护网演练都管用。因为等保是应付监管，护网是应付演练，但保费是 真金白银 。老板可能听不懂"零信任架构"，但他看得懂"保费25万 vs 保费8万"的差别。

美国网络安全保险市场发展这么多年，最有意思的副产品不是赔付了多少赎金，而是 它实质上替整个行业建立了一套安全基线 ， 你想买保险就必须做到这些事，做不到就别买，这个推动力比任何行业标准都强。

中国市场现在1.5亿保费，看起来小得可怜。但换个角度想：如果有一天这块做到150亿，那意味着几万家企业的安全水位被迫拉到了及格线以上，这对整个行业的价值，远比赎金赔付那点钱大得多。

结语

勒索软件跟网络安全保险的关系，有点像小偷和防盗门的关系，当小偷太猖獗了，防盗门就成了刚需。但保险公司不是慈善机构，他们是世界上最会算账的一群人。

买保险之前，先把MFA开了、离线备份做了、补丁打了。这三件事做到了，据行业估算保费至少能省40%。做不到的话，你花的每一分保费都是在为你的懒惰买单。

而且你想啊，如果勒索组织知道你有保险，你觉得赎金谈判的时候他们会怎么开价？

这次写这个，是基于公开信息进行整理，不构成任何保险购买建议。具体保险方案请咨询持牌保险经纪人。

附：快速问答