医院能否为勒索病毒防护软件再加一道保险？

来源：HIT专家网    作者：朱小兵

创新无止境，网络安全高科技领域也能衍生出保险金融产品。

在8月21-23日于南京举行的2020年中华医院信息网络大会（2020CHINC）上，杭州美创科技有限公司（简称：美创科技）联合北京源堡科技有限公司（简称：源堡科技）、国任财产保险股份有限公司（简称：国任保险）共同宣布，推出一款结合勒索病毒防护软件和数据资产保险的组合产品——“诺亚防勒索系统+保险”方案。

面对日益猖獗的勒索病毒，医院本能的反应是采购部署勒索病毒防护软件。如今，为什么在勒索病毒防护软件之外还要再增加一道“保险”？这一组合方案出炉的背景是什么？面对复杂的数据资产定损和理赔等问题，如何确保可操作性？

医院面临的网络安全威胁依然严峻

根据360公司发布的报告，2020年前十大网络安全威胁中，勒索病毒依然名列首位。更有报告预计，2021年勒索病毒将带给全球的损失超过200亿美元。据介绍，2020年，勒索病毒发展呈现新的趋势，主要包括：勒索赎金定制化、威胁公开机密数据成为勒索病毒攻击新手段、攻击对象从普通用户转向中大型政府和企事业单位、勒索病毒传播场景多样化、勒索病毒多平台扩散等。

最近两年来，由于医疗数据价值凸显，与此同时医院IT基础薄弱或网络安全意识淡薄，医疗行业成为勒索病毒的重灾区。自2017年5月WannaCry（勒索病毒）爆发以来，勒索病毒已成为各行各业的挑战，其中医疗行业是受影响最大的行业之一。腾讯智慧安全在2019年发布的《医疗行业勒索病毒专题报告》显示，当年在全国三甲医院中，有247家医院检出了勒索病毒，以广东、湖北、江苏等地区检出勒索病毒最多。

一批医院“中招”的惨痛教训，让大部分医院开始从领导层重视补齐网络安全防护的短板，具体措施包括从规章制度的建设到必要的软硬件投入。政府主管部门也加大了安全管理力度，医院关键业务信息系统被列入网络安全三级保护要求，各地医疗机构纷纷开展安全等保认证工作。

但是，医院信息人才匮乏、网络安全基础薄弱、网站往往疏于维护、临床医务人员偏好弱口令或为图省事多人共用账户和口令、电子签名普及程度较低、疫情加速互联网医疗上线等诸多因素，令医疗机构网络安全依然危机四伏。

“即便医疗机构部署了勒索病毒防护软件，也不能确保万无一失。”美创科技技术总监蔡毅坦言。因为在多种条件下，勒索病毒依然有可能突破这道防线。正是在外部环境和医院内在需求的共同作用下，“防御+保险”可能是一种更有效的勒索病毒风险解决方案。

当勒索病毒防护软件遇上保险

2020年8月上旬，中国网络安全产业联盟（CCIA）公布“2020年优秀网络安全解决方案和网络安全创新产品”最终获奖名单。美创诺亚防勒索系统凭借出色的勒索病毒防护能力与领先的创新技术，荣获“2020年网络安全创新产品优秀奖”、“2020年网络安全创新产品最具投资价值奖”双料大奖，成为本次评选中为数不多捧得双料奖项的企业之一。

诺亚防勒索系统的设计思想是主动防御，从资产、入侵和风险三个视角出发，围绕用户数据生命周期，采用底层驱动技术，从操作系统层面精准监控对文件的写操作，确保只有被允许的合法操作才能被执行，避免勒索病毒对文件加密和修改。产品同时创新融合沙盒、蜜罐、人工智能等安全保护技术，从而更精准、更主动、更有效地主动防御已知和未知病毒的入侵。

诺亚防勒索系统设计如此优秀，为什么还是推荐用户再加一道“保险”？

蔡毅介绍，这一“保险”方案是基于客户需求推出的。实际上，美创科技自主研发推出诺亚防勒索系统已经有多年。3年前，勒索病毒开始肆虐，客户提出能否在安装诺亚防勒索系统之后，再签署相关赔付的协议。在市场需求的倒逼下，美创科技联合源堡科技、国任保险，从2020年7月开始，为客户提供配套保险服务。该方案面向包括医疗机构在内的诺亚防勒索系统用户，在采购部署软件之外，每年再花费不多的预算，即可获得保险公司提供的数据资产保全赔付方案，最大限度降低客户损失。

“事实上，业界针对网络安全的保险一直存在，近年来也广受业界关注。但这款专门针对勒索病毒的保险，填补了数据安全领域保险的空白。”蔡毅坦言，“对于医疗机构在内的各行业而言，任何网络安全措施都不能100%地杜绝安全风险，勒索软件防护保险是一种可以帮助用户转嫁风险、降低经济损失的途径，这与很多企业购买的财产损失保险、责任保险、信用保险、保证保险有相似之处。此外，医疗机构购买勒索软件防护保险也是组织风险控制的手段，比如前期风险评估，在保期间的勒索威胁情报、意识培训等，都能从一定程度提升组织对于潜在安全风险的识别能力、突发安全事件的应对能力和事后的恢复能力。”

据介绍，这一保险将面向金融、医疗、能源等勒索病毒攻击的热点行业用户推出。目标受众是任何有意愿购买诺亚防勒索系统的医疗机构，包括已经打造了安全等级保护体系的三甲医院，因为勒索病毒攻击的途径是十分多样的。

如何落实勒索软件防护​保险

源堡科技防勒索软件产品负责人宗朔介绍，勒索软件防护保险在本质上属于财产险。与任何财产险类似，保险公司和投保客户之间，需要通过第三方机构进行评估和鉴定，确保这一险种的落地。

源堡科技就是这一保险产品的“第三方”量化风险管理平台。它的工作职责主要包括三方面，一是提供自动化工具进行专业评估，筛选出符合投保条件的客户，并在线提供具体的投保建议方案，提高投保效率；二是帮助保险公司从网络安全专业角度把控风险，不仅帮助评估客户网络安全风险，而且可以评估网络安全产品，从而降低保险公司的商业成本；三是提供独立第三方的风险量化管理平台。在与保险公司的合作过程中，传统安全企业的目标是希望通过保险公司的渠道售卖自己的安全产品，与保险公司的利益并不完全一致；对于保险公司来说，与某个安全厂商合作存在风险集中、道德风险等问题，一旦该产品有漏洞被黑客利用，可能会导致保险公司承保的企业全部出险，因此保险公司更倾向于与独立第三方评估企业合作。

据了解，源堡科技是一家网络安全领域的技术公司，基于具有自主知识产权的风险量化评估模型和平台，主要为客户提供“服务+保险”的主动型风险管理解决方案。简言之，其主要业务是为保险和再保险公司提供网络安全保险产品的模型开发和技术服务，同时也为投保企业提供主动型风险监测和预警的“健康管理服务”，借助网络安全保险提升企业整体风险管理水平。

国任保险的前身是信达财产保险股份有限公司（简称：信达财险），是经保险监督管理部门批准，于2009年8月在北京成立的一家全国性保险公司，注册资本40.07亿元人民币，2018年1月更名为国任保险，现为深圳金融总部企业。

这一方案是否会助推网络“黑产”和勒索攻击的嚣张气焰？“网络防护系统和勒索软件防护保险是一种互补的关系。买保险，就是买一个安心。”蔡毅表示，提供保险，其实是为了尽可能不让客户用上保险赔付方案。二者是相辅相成的关系，根本目的是帮助医疗机构用户增强针对数据安全防护的措施和信心。

【责任编辑：陈曦】