金研院看世界-勒索軟體撼動資安保險模型

勒索軟體的市場化反而使風險更容易建模,保險公司即使靠着模型準確算出風險,也無法依此訂出有效的保單價格,只是更確定被攻擊的風險多高,但完全無法降低風險。圖/本報資料照片

2017年左右,許多人非常擔心隨「歐巴馬健保」(平價醫療法案)而起的健保市場即將落入「死亡螺旋」。該法案禁止保險公司根據既有病史資料,拒絕保單。這項規定結合高度的政治風險,使得醫療保險吃力不討好,當時不知道還有多少保險公司會繼續提供此類保單。

保險業會出現死亡螺旋,就是因爲經濟誘因開始主導風險估計方式。當保費上漲、承保條件限縮,風險較低的客戶就會退出市場,只有風險較高的客戶繼續留着。而這會讓保險公司的支出逐漸增加,於是它們只好提高保費,但這隻會加劇惡性循環,使得安全的客戶愈來愈少,最後保險市場只好關門大吉。

歐巴馬健保的動盪最後穩定了下來,但目前的資安保險市場似乎落入類似困境。這類保單的價格暴漲,理賠範圍卻正在縮小,勒索軟體、「戰爭行爲」(只要駭客有拿國家支持就算),還有許多高度相關的威脅,全都不再理賠。

這些問題中有些是無法避免的,因爲網路資安問題涉及全球各地不同公司,要爲這樣的風險建立財務模型本來就相當困難。保險可以一邊提高整體資安標準,一邊讓企業自己注意風險,保險一旦崩潰,只會讓政府訂立更嚴格的規定,限縮整個產業的自由度。但保險業該怎麼準確評估應對風險,卻是個大難題。

■形式必須符合功能

在某種意義上,保險業的上述變化,並非道德風險帶來的危機,反而可能促進該行業的健康發展。保險公司爲了避免風險,本身會再保險。當再保險的比例愈來愈高,最初的保險公司就變成了中盤商,而非真正承擔風險的人。但資安領域本身很新,不具備用來計算風險的長期統計資料,而承接再保險的公司也愈來愈謹慎。

當第一層的保險公司發現風險太大、太抽象,無法完全掌握時,就會使用再保險。保險公司Verisik財產請求服務主管Tom Johansmeyer在《哈佛商業評論》的文章中表示,用保險聯結型證券(ILS)來轉分保單,便可改善保險市場問題。

声盼网络拟注销,锤子科技持股70%罗永浩任董事长

醫嬌 月雨流風
同学你变异了
高武大师

資安也是一樣。程式碼從上到下分爲很多不同層次,維安的方式也應該要層層拆分。很多時候我們必須根據要達成什麼功能,來決定要採取什麼形式。

在這方面,某些客戶難以買到保單,反而證實了激勵機制正常發揮作用。資安的風險難以量化,但依然有跡可循。研究顧問公司Forrester Research最近發現,有投保資安險的公司,通常比沒有投保的更安全。這表示保險公司確實讓客戶注重資安,降低了買保險的道德風險與選擇偏差。也許我們應該把保險當成一種身分象徵,而非一種權利,每個人在尋求外部協助之前,都應該做好基本的資安維護。

美股离崩盘不远?「巴菲特指标」飙惊人数字 市场警铃大响

■受害人變成加害人

以前我們都假設,購買保單的顧客與保險公司的利益站在同一邊,而且遊戲規則相當公平。顧客如果看守不嚴,被入侵後受到的損失,會遠遠超過賠償金能處理的範圍跟層面。因此雙方都沒有動機去濫用規則。但勒索軟體蓬勃發展大幅改變了誘因結構,讓道德風險主導了市場,如今賠償金已不只是保險公司要支出的成本,而是對犯罪行爲的補貼。

2024选战超关键!许淑华为「下一代」拚了:为守护台湾努力

而死亡螺旋就是這樣發生的。勒索軟體成功入侵之後,公司通常會請專業顧問來談判贖金,保險市場就是因此受到影響。談判時,雙方必須建立信任。兇手必須向受害者保證,只要拿到贖金就會歸還資料的存取權。照理來說,背信的兇手日後會拿不到贖金,但受害者很難知道這次遇到的兇手是誰、以及是否可信。

更令人驚訝的是,受害者如果跟兇手打好關係,反而可以降低傷害。資安公司MindSense創始人Kurtis Minder指出,稱讚對方的攻擊才藝高超,會讓兇手覺得你至少懂一點資安,跟他們有共通語言,因而降低開出的贖金價格。

無論從個人還是整體環境的角度來看,爲了避免自己受到攻擊,以及爲了防止大家的保費最後落到兇手口袋,最好的選擇都是不要保險。

■資安的本質是什麼?

勒索病毒服務(RaaS)把事情搞得更糟。這個名詞的出現,代表資安漏洞的增加已在暗中撐起了一個犯罪市場,攻破漏洞的人和利用金融方式獲利的人已經成爲了商業夥伴關係。不過諷刺的是,勒索軟體的市場化(因加密貨幣的出現而更快發生)反而使風險更容易建模。當然扭曲的誘因依然存在,保險公司即使靠着模型準確算出風險,也無法依此訂出有效的保單價格。我們只是更確定被攻擊的風險多高,但完全無法降低風險。

所以到底哪種觀點纔對?到底是因爲保險沒有跟着資安畫出層次,還是打從一開始就不該推出資安保險?答案取決於資安的概念到底是什麼。

保險公司不應爲犯罪提供投保,這既不道德也不實際。但這也表示法律必須能夠識別哪些人是真正的罪犯,哪些是被牽連的路人。即使法律懲罰支付贖金的行爲,人們還是會爲拯救企業和生命支付贖金給歹徒,最後反而增加行政成本同時危及法治信任,且若要降低勒索軟體的威脅,就需要相關威脅的最新資訊,如果執法機關與民間的關係逐漸對立,它們勢必更難獲得這些資訊。

要如何保障資料安全,減少駭客入侵,同時也維持自由經營的原則?保險層層轉包的過程,以及誘因結構是兩種不同的經濟力量,哪一種力量會影響保險業的發展,將決定財產權的未來。

(本文譯者爲劉維人)

影》韩国无人车辆Arion-SMET 美国陆战队测试通过

小說 限制 級

新手爸爸幸福家庭美梦破碎 娇妻嘿咻隐瞒卸货出「爱滋女儿」

新聞新聞