金研院看世界－勒索软体撼动资安保险模型

勒索软体的市场化反而使风险更容易建模，保险公司即使靠着模型准确算出风险，也无法依此订出有效的保单价格，只是更确定被攻击的风险多高，但完全无法降低风险。图／本报资料照片

2017年左右，许多人非常担心随「欧巴马健保」（平价医疗法案）而起的健保市场即将落入「死亡螺旋」。该法案禁止保险公司根据既有病史资料，拒绝保单。这项规定结合高度的政治风险，使得医疗保险吃力不讨好，当时不知道还有多少保险公司会继续提供此类保单。

保险业会出现死亡螺旋，就是因为经济诱因开始主导风险估计方式。当保费上涨、承保条件限缩，风险较低的客户就会退出市场，只有风险较高的客户继续留着。而这会让保险公司的支出逐渐增加，于是它们只好提高保费，但这只会加剧恶性循环，使得安全的客户愈来愈少，最后保险市场只好关门大吉。

欧巴马健保的动荡最后稳定了下来，但目前的资安保险市场似乎落入类似困境。这类保单的价格暴涨，理赔范围却正在缩小，勒索软体、「战争行为」（只要骇客有拿国家支持就算），还有许多高度相关的威胁，全都不再理赔。

这些问题中有些是无法避免的，因为网路资安问题涉及全球各地不同公司，要为这样的风险建立财务模型本来就相当困难。保险可以一边提高整体资安标准，一边让企业自己注意风险，保险一旦崩溃，只会让政府订立更严格的规定，限缩整个产业的自由度。但保险业该怎么准确评估应对风险，却是个大难题。

■形式必须符合功能

在某种意义上，保险业的上述变化，并非道德风险带来的危机，反而可能促进该行业的健康发展。保险公司为了避免风险，本身会再保险。当再保险的比例愈来愈高，最初的保险公司就变成了中盘商，而非真正承担风险的人。但资安领域本身很新，不具备用来计算风险的长期统计资料，而承接再保险的公司也愈来愈谨慎。

当第一层的保险公司发现风险太大、太抽象，无法完全掌握时，就会使用再保险。保险公司Verisik财产请求服务主管Tom Johansmeyer在《哈佛商业评论》的文章中表示，用保险联结型证券（ILS）来转分保单，便可改善保险市场问题。

资安也是一样。程式码从上到下分为很多不同层次，维安的方式也应该要层层拆分。很多时候我们必须根据要达成什么功能，来决定要采取什么形式。

在这方面，某些客户难以买到保单，反而证实了激励机制正常发挥作用。资安的风险难以量化，但依然有迹可循。研究顾问公司Forrester Research最近发现，有投保资安险的公司，通常比没有投保的更安全。这表示保险公司确实让客户注重资安，降低了买保险的道德风险与选择偏差。也许我们应该把保险当成一种身分象征，而非一种权利，每个人在寻求外部协助之前，都应该做好基本的资安维护。

■受害人变成加害人

以前我们都假设，购买保单的顾客与保险公司的利益站在同一边，而且游戏规则相当公平。顾客如果看守不严，被入侵后受到的损失，会远远超过赔偿金能处理的范围跟层面。因此双方都没有动机去滥用规则。但勒索软体蓬勃发展大幅改变了诱因结构，让道德风险主导了市场，如今赔偿金已不只是保险公司要支出的成本，而是对犯罪行为的补贴。

而死亡螺旋就是这样发生的。勒索软体成功入侵之后，公司通常会请专业顾问来谈判赎金，保险市场就是因此受到影响。谈判时，双方必须建立信任。凶手必须向受害者保证，只要拿到赎金就会归还资料的存取权。照理来说，背信的凶手日后会拿不到赎金，但受害者很难知道这次遇到的凶手是谁、以及是否可信。

更令人惊讶的是，受害者如果跟凶手打好关系，反而可以降低伤害。资安公司MindSense创始人Kurtis Minder指出，称赞对方的攻击才艺高超，会让凶手觉得你至少懂一点资安，跟他们有共通语言，因而降低开出的赎金价格。

无论从个人还是整体环境的角度来看，为了避免自己受到攻击，以及为了防止大家的保费最后落到凶手口袋，最好的选择都是不要保险。

■资安的本质是什么？

勒索病毒服务（RaaS）把事情搞得更糟。这个名词的出现，代表资安漏洞的增加已在暗中撑起了一个犯罪市场，攻破漏洞的人和利用金融方式获利的人已经成为了商业伙伴关系。不过讽刺的是，勒索软体的市场化（因加密货币的出现而更快发生）反而使风险更容易建模。当然扭曲的诱因依然存在，保险公司即使靠着模型准确算出风险，也无法依此订出有效的保单价格。我们只是更确定被攻击的风险多高，但完全无法降低风险。

所以到底哪种观点才对？到底是因为保险没有跟着资安画出层次，还是打从一开始就不该推出资安保险？答案取决于资安的概念到底是什么。

保险公司不应为犯罪提供投保，这既不道德也不实际。但这也表示法律必须能够识别哪些人是真正的罪犯，哪些是被牵连的路人。即使法律惩罚支付赎金的行为，人们还是会为拯救企业和生命支付赎金给歹徒，最后反而增加行政成本同时危及法治信任，且若要降低勒索软体的威胁，就需要相关威胁的最新资讯，如果执法机关与民间的关系逐渐对立，它们势必更难获得这些资讯。

要如何保障资料安全，减少骇客入侵，同时也维持自由经营的原则？保险层层转包的过程，以及诱因结构是两种不同的经济力量，哪一种力量会影响保险业的发展，将决定财产权的未来。

（本文译者为刘维人）