保險(xiǎn)業(yè)網(wǎng)絡(luò)安全市場(chǎng)政策、建設(shè)現(xiàn)狀及關(guān)注點(diǎn)有哪些？

由于市場(chǎng)的高度集中，因此頭部險(xiǎn)企是保險(xiǎn)行業(yè)網(wǎng)絡(luò)安全建設(shè)的重要參與者。

1.政策解讀

保險(xiǎn)業(yè)的網(wǎng)絡(luò)安全政策、法規(guī)和規(guī)范是保障行業(yè)穩(wěn)健運(yùn)營(yíng)和客戶信息安全不可或缺的基石。它們 圍繞保險(xiǎn)數(shù)據(jù)的全生命周期，包括采集、存儲(chǔ)、處理、傳輸和使用等環(huán)節(jié)，設(shè)定了明確的管理要求和 標(biāo)準(zhǔn)。為確保業(yè)務(wù)的合規(guī)性和客戶信息的安全性，保險(xiǎn)業(yè)必須恪守國(guó)家法規(guī)，如《網(wǎng)絡(luò)安全法》和《個(gè) 人信息保護(hù)法》。這些法律為行業(yè)提供了數(shù)據(jù)保護(hù)、隱私維護(hù)和網(wǎng)絡(luò)安全事故應(yīng)對(duì)的核心指導(dǎo)。此外， 行業(yè)內(nèi)也細(xì)化落實(shí)了一批相關(guān)政策、法規(guī)和規(guī)范，為保險(xiǎn)業(yè)提供了網(wǎng)絡(luò)安全組織架構(gòu)、人員培訓(xùn)、安 全審計(jì)和風(fēng)險(xiǎn)評(píng)估等具體的實(shí)踐指導(dǎo)，以確保行業(yè)在應(yīng)對(duì)網(wǎng)絡(luò)安全挑戰(zhàn)時(shí)能夠迅速、有效地采取行動(dòng)。 

2023 年，工信部與國(guó)家金融監(jiān)督管理總局在保險(xiǎn)行業(yè)細(xì)分領(lǐng)域聯(lián)合發(fā)布了具有里程碑意義的政 策文件《關(guān)于促進(jìn)網(wǎng)絡(luò)安全保險(xiǎn)規(guī)范健康發(fā)展的意見》（如圖 25 所示）。這一文件的出臺(tái)，標(biāo)志著我 國(guó)網(wǎng)絡(luò)安全保險(xiǎn)行業(yè)正式邁入規(guī)范化、健康化的發(fā)展軌道。通過實(shí)施相關(guān)措施，將有力推動(dòng)網(wǎng)絡(luò)安全 保險(xiǎn)行業(yè)的有序發(fā)展，提升行業(yè)企業(yè)應(yīng)對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的能力，為中小企業(yè)數(shù)字化轉(zhuǎn)型提供堅(jiān)實(shí)保障， 并構(gòu)建起完善的網(wǎng)絡(luò)安全社會(huì)化服務(wù)體系。這不僅有助于提升我國(guó)制造業(yè)和網(wǎng)絡(luò)安全領(lǐng)域的整體實(shí) 力，更將為建設(shè)制造強(qiáng)國(guó)和網(wǎng)絡(luò)強(qiáng)國(guó)注入強(qiáng)大動(dòng)力。

以上所提及的政策、法規(guī)和規(guī)劃共同構(gòu)筑了我國(guó)保險(xiǎn)業(yè)網(wǎng)絡(luò)安全的堅(jiān)實(shí)基石。它們不僅凸顯了技 術(shù)安全措施的關(guān)鍵性，還加強(qiáng)了對(duì)個(gè)人信息保護(hù)的法律約束。鑒于技術(shù)的飛速發(fā)展和網(wǎng)絡(luò)安全挑戰(zhàn)的 日益嚴(yán)峻，保險(xiǎn)業(yè)必須與時(shí)俱進(jìn)，持續(xù)更新和完善這些政策、法規(guī)和規(guī)范。特別是在云計(jì)算、大數(shù)據(jù) 和人工智能等前沿技術(shù)的運(yùn)用中，以及網(wǎng)絡(luò)安全保險(xiǎn)服務(wù)的探索過程中，保險(xiǎn)業(yè)更應(yīng)確保技術(shù)的安全 性和合規(guī)性，從而為客戶提供更加穩(wěn)健可靠的服務(wù)，為市場(chǎng)注入更多信心與活力。

2.保險(xiǎn)網(wǎng)絡(luò)安全建設(shè)現(xiàn)狀及關(guān)注點(diǎn)

保險(xiǎn)行業(yè)的市場(chǎng)集中度較高，大型保險(xiǎn)集團(tuán)（控股）公司通常擁有包括壽險(xiǎn)、財(cái)險(xiǎn)在內(nèi)的多個(gè)子 公司。頭部保險(xiǎn)機(jī)構(gòu)占據(jù)了市場(chǎng)上的較大份額，根據(jù) 2023 年原保費(fèi)收入的統(tǒng)計(jì)數(shù)據(jù)，中國(guó)人保、中 國(guó)人壽、平安保險(xiǎn)和中國(guó)太平洋保險(xiǎn)的保費(fèi)收入占據(jù)了我國(guó)總體原保險(xiǎn)收入的將近 50%。 保險(xiǎn)機(jī)構(gòu)的組織架構(gòu)通常包括集團(tuán)總部、子公司、區(qū)域辦事處、營(yíng)銷服務(wù)部等多層次機(jī)構(gòu)，形成 了一個(gè)層級(jí)分明的管理架構(gòu)。在網(wǎng)絡(luò)安全方面，這種多層次的結(jié)構(gòu)也同樣適用。以中國(guó)人壽為例，該 公司已經(jīng)建立了一個(gè)多層次的網(wǎng)絡(luò)安全組織架構(gòu)，有效地保障了人壽集團(tuán)的網(wǎng)絡(luò)安全建設(shè)。

由于市場(chǎng)的高度集中，因此頭部險(xiǎn)企是保險(xiǎn)行業(yè)網(wǎng)絡(luò)安全建設(shè)的重要參與者。通過分析這些頭部 險(xiǎn)企近年的網(wǎng)絡(luò)安全采購情況，我們發(fā)現(xiàn)它們的安全體系已經(jīng)較為完善，鑒于保險(xiǎn)行業(yè)涉及大量個(gè)人 隱私信息，業(yè)務(wù)操作中對(duì)客戶信息的真實(shí)性、數(shù)據(jù)分析的可靠性以及與第三方共享協(xié)作的保密性有著 較高的要求。因此，這些公司的網(wǎng)絡(luò)安全建設(shè)重點(diǎn)集中在身份與訪問管理，個(gè)人信息和數(shù)據(jù)的安全保 護(hù)、隱私計(jì)算以及安全運(yùn)營(yíng)等方面。

a) 基礎(chǔ)終端及網(wǎng)絡(luò)安全 近年來，隨著等級(jí)保護(hù)合規(guī)、實(shí)網(wǎng)攻防演習(xí)以及數(shù)字化轉(zhuǎn)型的推進(jìn)，大中型保險(xiǎn)公司已經(jīng)逐步構(gòu) 建起基本的網(wǎng)絡(luò)安全防護(hù)體系。他們通常已經(jīng)采購了網(wǎng)絡(luò)終端準(zhǔn)入 NAC、數(shù)據(jù)泄露防護(hù) DLP、防病 毒、防火墻 FW、Web 應(yīng)用防火墻 WAF 和網(wǎng)絡(luò)檢測(cè)與響應(yīng) NDR 產(chǎn)品。特別是在疫情期間，遠(yuǎn)程工作 成為保險(xiǎn)行業(yè)的主流趨勢(shì)，同時(shí)隨著保險(xiǎn)公司的數(shù)字化轉(zhuǎn)型，定價(jià)核保、營(yíng)銷分銷、理賠處理等在內(nèi) 的環(huán)節(jié)越來越多地采用線上方式，線上業(yè)務(wù)比例逐年提高，客戶也愈發(fā)依賴移動(dòng)應(yīng)用進(jìn)行保險(xiǎn)的相關(guān) 操作，因此自 2020 年起，大中型保險(xiǎn)公司開始加強(qiáng)移動(dòng)應(yīng)用的安全防護(hù)。 觀察發(fā)現(xiàn)，領(lǐng)先的保險(xiǎn)公司已經(jīng)開始部署終端檢測(cè)與響應(yīng) EDR 系統(tǒng)以及網(wǎng)絡(luò)流量分析 NTA 等設(shè) 備。

b) 云安全 國(guó)內(nèi)的大型保險(xiǎn)企業(yè)普遍采用云化分布式的 IT 架構(gòu)，構(gòu)建了以私有云為主、公有云為輔的混合云平臺(tái)。在云技術(shù)應(yīng)用方面，近兩年頭部保險(xiǎn)企業(yè)的上云速度顯著加快。比如，中國(guó)人民保險(xiǎn)集團(tuán)已 經(jīng)完成了核心應(yīng)用的全面改造并成功上云；太平洋保險(xiǎn)則建立了基于全棧信創(chuàng)技術(shù)的保險(xiǎn)云原生平 臺(tái)。截至 2023 年，中國(guó)太平洋保險(xiǎn)已經(jīng)完成了四朵云的建設(shè)，涵蓋了從驗(yàn)證、開發(fā)測(cè)試到生產(chǎn)災(zāi)備 云的各個(gè)階段，并實(shí)現(xiàn)了超過 50 個(gè)應(yīng)用的云上運(yùn)行。中國(guó)人壽已經(jīng)實(shí)現(xiàn)了重點(diǎn)產(chǎn)品的云原生化。 從安全角度來看，云安全的建設(shè)略顯滯后于上云的速度。目前，雖然多數(shù)保險(xiǎn)企業(yè)已經(jīng)部署了云 主機(jī)防護(hù)系統(tǒng)，但在容器安全方面的使用率和覆蓋范圍仍然有限。2023 年頭部保險(xiǎn)企業(yè)明顯加大了 對(duì)云安全的投入。例如，人保科技啟動(dòng)了云安全管理平臺(tái)建設(shè)項(xiàng)目，旨在建立面向云環(huán)境的安全管理 體系和安全運(yùn)營(yíng)規(guī)范。

c) 身份與訪問管理 保險(xiǎn)機(jī)構(gòu)機(jī)已經(jīng)建立了基礎(chǔ)的身份與訪問管理系統(tǒng)，大部分險(xiǎn)企已經(jīng)購買了堡壘機(jī)、特權(quán)賬號(hào)管 理、多因素認(rèn)證、統(tǒng)一身份管理平臺(tái) IAM 等系統(tǒng)。在 2022 年，作為信創(chuàng)試點(diǎn)，大部分險(xiǎn)企開始采購 國(guó)產(chǎn)化終端和堡壘機(jī)，進(jìn)一步加強(qiáng)身份與訪問管理。目前，部分險(xiǎn)企已經(jīng)開始探索零信任技術(shù)，并部 署了零信任系統(tǒng)，以滿足公司員工安全遠(yuǎn)程工作和移動(dòng)辦公的需求。

d) 開發(fā)安全 隨著保險(xiǎn)業(yè)數(shù)字化轉(zhuǎn)型的加速，構(gòu)建敏態(tài)的業(yè)務(wù)逐漸成為保險(xiǎn)機(jī)構(gòu)建設(shè)的共識(shí)。大型頭部險(xiǎn)企普 遍已經(jīng)建立了 DevSecOps 體系，該體系整合了敏捷開發(fā)和持續(xù)集成/部署工具 CI/CD、應(yīng)用程序安全 測(cè)試 AST，并且定制化或自主研發(fā)了開發(fā)安全管理平臺(tái)。 對(duì)于中小型險(xiǎn)企來說，它們尚未建立起完整的開發(fā)安全體系，而是主要通過購買代碼審計(jì)相關(guān)服 務(wù)以及基礎(chǔ)工具如 AST 來保護(hù)代碼安全。