如何量化网络安全风险？学一学精算师是怎么做的！

2月28日下午，我参加了上海网络安全产业创新大会的网络安全保险与供应链安全分会。原本是冲着供应链安全技术分享去的，但现场与一般技术论坛不同，整个会场汇集了保险、科技、安全等各种角色的人，强烈感受到了跨界的氛围。

在分会中,一场题为《保险视角下的网络安全风险》的分享给我留下了深刻印象。演讲者提出了一种综合性的网安风险量化模型,旨在回答网安人员一直被反复询问的业务影响问题。这种模型应当具备以下几个关键特征:：

• 时间动态建模

• 事件分类管理

• 融入意识差异因素

• 技术与非技术双因子

• 案例理论双向支撑

短短30分钟的分享，启迪我对数字化实践进行反思：既然数字化的第一步是获取全量、全要素的数据,那我们若能虚怀若谷,打破思维壁垒,在数据建模过程中,融入精算师、数学家、业务人员、用户等不同视角的专业见解,考虑更全方位的因素,定能真正发掘数据中蕴含的价值洞见。

感谢大会邀请的讲者，感谢提供一次望其项背的机会。

*以下内容根据笔记整理，错误疏漏难免，具体内容以现场演讲为准！

一、网安保险和网安防护的风险量化需要桥梁

    （一）保险业务视角下的网安

    （二）需要模型来缝合保险和网安

    （三）站在巨人的肩膀上

二、创新性网安保险风险量化模型 

    （一）时间动态风险建模

        1 网安是一个大产业

        2 模型就是要创造融合各方视角的奇迹

        3 如何量化未知的未知？

        4 如何让预算更有效地起到作用

        5 时间是网络安全的本质

        6 网络攻击的瞬时和累积危险率模型

        7 模型的直观示例

    （二）事件分类与专业数据库

        1 需要分事件类别进行建模

        2 专有数据库为模型提供了数据支撑

        3 模型的直观示例

    （三）意识差异反诈骗量化

        1 诈骗和反诈就是意识的不平衡倾斜

        2 模型的直观示例

    （四）技术与非技术双因子

        1 起码要考虑两种风险因子

        2 风险因子的直观示例

    （五）案例驱动理论创新和验证 

        1 模型的直观示例

        2 模型的要求和挑战

        3 首单网安保险案例

三、王教授寄语

一、网安保险和网安防护的风险量化需要桥梁

唐涵喆先生发言的要点：

1. 网安保险的风险量化与网络安全防护的量化是两个不同的东西。安全量化是保险量化的重要组成部分,但不能代替保险风险量化。

2. 保险行业想要的量化结果与安全行业的测评结果不同,保险行业习惯自己的语言和方法。安全事件的发生大多不是单一的安全防护因素决定的,需要从保险行业的角度用它们更能理解的逻辑来解释安全。

3. 网络安全保险科技公司,要连接保险业和安全业，要构建保险行业和安全行业之间的桥梁,做语言和数字的翻译,服务保险行业的应用需求。

唐涵喆先生有20多年的保险从业经验，2年前踏入安全圈，他讲述二次创业做网络安全保险科技公司的初衷，阐明网安保险的风险量化与网安防护的量化之间的区别，他认为保险业务的关键在于保险定价的量化模型,需要构建一座连接保险业和网安行业的桥梁，并隆重介绍王树勋教授来提供创新解决方案。

（一）保险业务视角下的网安

唐先生一直在跟安全圈的朋友们说，网安保险的风险量化，和安全防护的量化是两个东西。安全量化是保险量化的其中一个重要组成部分，但是不能代替保险的风险量化。而且，安全事件的发生，基本不是自身安全防护这一个单一因素决定的，我们比保险圈的大多数人更了解安全，要用保险行业更能理解的逻辑去解释安全，给大家带来一些新的思路。 

网安保险起步后，市场有需求有机会，而且在建模方面和国外差不多是在同一起跑线。赛保保是网络安全保险科技公司，要构建保险行业和安全行业的桥梁，主要做语言和数字的翻译，因为保险想要的量化结果和安全行业测评结果不一样，保险行业习惯用保险的语言、精算的方法，做概率、百分比测算。赛保保的核心不是网络安全服务，主要是满足保险侧的应用需求，服务保险行业需要直观看到的一些内容。

（二）需要保险定价量化模型来缝合保险和网安

唐涵喆先生认为我们在国际保险界的影响力和话语权有限，典型的表现就是缺乏高认知度的保险定价量化模型。但是，网络安全保险的风险量化模型，我们和国外先进同行是在同一起跑线。

网络安全保险风险量化与传统网络安全防护量化之间有差异，具体差别在哪里？如何呈现给网络安全界？

（三）站在巨人的肩膀上

唐先生认为需要构建一座连接保险业和网安行业的桥梁，并隆重介绍王树勋教授，来讲述网络安全风险量化的创新解决方案。

王树勋，长期在学术界做保险的量化模型研究，2015-2019在南洋理工承接了新加坡金管局网络安全保险风险量化研究项目。该项目由政府部门支持，知名保险公司参与，是跨政产学研、融合保险业务和网络安全技术的项目。王教授现为南方科技大学金融系主任。

二、创新性网安保险风险量化模型

王树勋教授的创新方案，将保险视角与网安技术视角有机融合,努力量化传统被视为难以量化的网安风险,具有开创性意义。核心要素包括:

1. 时间积分模型。核心是将时间因素纳入网络攻防博弈的风险量化中,提出"进攻-防守瞬时和累积风险率模型",用数学公式刻画风险随时间的动态累积过程。

2. 事件分类与数据支撑。对网络安全事件和业务类型进行分门别类的管理,并建立专门的数据库为模型提供数据支持,使风险量化更精准。

3. 意识差异反诈骗模型。创新性地将"攻击者意识"和"防守者意识"的差异纳入模型,量化"隐私集"和"危险集"的不对称性,用于量化如诈骗等未知风险。

4. 双因子风险模型。融合技术和非技术两个因素,一方面评估系统防护能力,另一方面考虑人员培训、流程管控等非技术层面的风险管理。

5. 案例驱动理论创新。模型建立过程中,大量引用了典型的网络攻击案例,如情感诈骗案、Coincheck黑客入侵等,帮助理论创新和理论验证。

（一）时间动态风险建模

- 时间是网络攻防风险累积的关键因素

- 提出"进攻-防守瞬时和风险累积率模型"

- 用数学公式量化风险随时间的动态变化

- 案例:密码更新、短信验证码影响风险率变化

1**．网安是一个大产业**

今天我们要探讨的是有技术，怎么找到应用；有保险，怎么起到更好的作用。

王教授做新加坡金管局网络安全保险风险量化研究项目期间，于2018年曾去旧金山参加过网络安全会议，为期一周，四万三千人参会，门票大几千美元，说明网安是一个非常大的产业。  

网络安全、数据安全，是战场上攻击、防守博弈。两个案例，缅北有诈骗产业园区，诈骗已经是产业；香港sora视频深度伪造技术，伪装CFO诈骗了2亿。在数字、智能时代，要实现网安，不需要产业么？

2. 模型就是要创造融合各方视角的奇迹

保险业务和网安技术人员的视角非常不一样，这是个普遍现象，国外也是这样，今天，各种角色坐在一起就是一个奇迹。

• 网络安全技术的角度，是从左到右，从威胁、漏洞、看危害。

• 保险业务的角度，是从右边开始，因为是和钱打交道。到底会有什么损失，有什么样的资产需要保护。

3 如何量化未知的未知？

项目开始时，就有银行的CIO问，请你帮我们量化一下unknown unknown。未知的未知如何量化？是什么意思？一个大机构的CIO，一旦出大问题，他是需要负责、背锅的，他最担心的应该知道的不知道，外面谁能告诉他？网络世界，另一端的黑客整天想着怎么攻击，怎么诈骗，我们要怎样做量化？

4**． 如何让预算更有效地起到作用**

保险和钱打交道，第一个因素是预算。预算是否到位，英国公共安全NHS医疗部门，明明知道会被网络安全攻击，也知道预算不够，结果真的出事了，只能被攻击。

第二个因素是预算如何起到保护作用。评估需要帮助预算如何更有效地起到保护作用，是否通过保险的方式，保险花的钱不多，但是达到效果很好？

5**．时间是网络安全的本质**

6**．网络攻击的瞬时和累积危险率模型**

王树勋教授是数学出身，也是精算师， 要做量化模型，应该从什么角度？时间是关键！

进攻和防守的博弈。系统被攻击突破，钱被转走，都是一瞬间的事情，所以风险的积累是个时间因素。防守的积累，投入的积累，要做量化，说到底，是进攻-防守的相对优势怎么表示出来。

瞬时被攻破的风险，有个量化手段或公式，是关于时间的积分，随着时间积累起来。

时间是网络安全的本质，因此提出了网络攻击的瞬时和累积累风险率模型。

7**．模型的直观示例**

以我们很早（2015-2016年）做过的一个模型为例，密码长期不更新，累积风险率一直上升。每个季度都定期密码重置，提升了安全水平。现在要求短信验证码，瞬时危险率也会降低，安全程度上升。 

（二）事件分类与专业数据库

- 对复杂多样的网安事件和业务类型分类管理 

- 建立专门的数据库为模型提供数据支撑

- 数据支持模型更精准:如营业额与理赔相关

1.    需要分事件类别进行建模

网络安全、数据安全非常宽广，有大企业、小企业、个人，而且攻击类别也很多。我们有个建模实验室，为了量化，就需要分类，就是先给不同的风险分类，需要一个个类别搞清楚。

2.   专有数据库为模型提供了数据支撑

在新加坡期间，还建立了专有数据库。

最大损失是欺诈性转账和营业中断费用，这些都是保险可以起到作用的。

3.   模型的直观示例

我们梳理数据，发现保险承保损失（理赔数据）和营业额密切相关；定价模型，即保费怎么合理，应该和营业额也密切相关，第一个变量就是营业额。

（三）意识差异反诈骗量化

- 创新将"攻击者意识"和"防守者意识"差异纳入

- 量化"隐私集"和"危险集"的不对称性 

- 用于量化诈骗等"未知的未知"风险

- 案例:情感诈骗过程中的意识差异影响

1**．诈骗和反诈就是意识的不平衡倾斜**

反诈方面，我们在概念上、学术上有突破。

人员管理风险的瞬时风险率，有一个基准，Φ和1-Φ分别代表攻击和防守，不是真正的进攻和防守，而是意识。

意识可以使攻击者、防御者的知识集的不对称平衡倾斜。

• 红色的危险集是别人想知道你的情况，包括别人可以收集到的你的基本信息、公开演讲内容，甚至包括表情，都可以用来攻击你。

• 隐私集是你自己是不是意识到了别人要骗你，意识到了有这种骗法。

这些是可以量化的，对于危险集和隐私集可以做很多案例。

2. 模型的直观示例

真正的诈骗不是一天两天完成的，是一个长期过程，美国德州一位女士，损失了几百万美元。有个人一直收集她facebook上的信息，和她谈情说爱就特别顺畅，让她心花怒放，觉得“世界上唯一了解我的就是他”，把感情寄托给他，也把钱转给他。

积蓄、感情被骗走，是哑巴吃黄连，是一种羞辱。好的保险产品，事前事中有评估检测服务，事后能安抚、引导、咨询，能减轻损失。

（四）技术与非技术双因子

- 融合技术和非技术两个风险评估因子

- 技术因子:系统防护能力测试

- 非技术因子:人员培训、流程管控等

1**．起码要考虑两种风险因子**

保险模型：根据新加坡项目经验，光技术是不够的，你花很多钱买网安软件，最后可能还是不行，因为要有人会用、会运营，要知道什么资产最重要，要保护哪些资产，最核心的部分怎么保护。

双因子，技术层面如外围测试、加固防护，非技术层面包括人员与流程、预算、投入、隐私集和危险集双圈。

2. 风险因子的直观示例

• 感情诈骗和技术因素关系不大，更多是人员与流程、社交媒体的暴露信息。

• 勒索病毒与技术的关系就很明显。

（五）案例驱动理论创新和验证 

- 模型建立过程中大量引用典型案例

- 如Coincheck黑客入侵、缅甸诈骗产业园等

- 案例推动理论模型的创新、验证和优化

1.    模型的直观示例

案例：日本Coincheck比特币交易所，2014年成立，顶级的IT团队和IT投入。前期运行平稳，结果在2017年底比特币价格飙升，所有媒体聚焦，暴露在大众和黑客的视线里。

根据进攻和防守的力度和媒体曝光的粒度结合起来，发现瞬时攻破率就上去了，像百岁老人迟早会出问题一样，瞬时风险率就可以把攻破时间预测出来。黑客是哪里有钱去哪里，有个小团队，花了2-3个月时间讨论如何攻破coincheck，2018日本coincheck被攻击，损失5亿美元。

根据进攻-防守的瞬时风险率函数，资产价值上市，瞬时攻破率就上去了，可以预测攻击时间。实际上只要黑客想攻击，除非你把网络切断，否则是很难防住的，最好的办法是不要成为黑客的目标。

2.   模型的要求和挑战

总的来说,建立有效的网络安全保险风险模型,需要考虑供应链风险、信任机制、服务模式以及适当的保额设置,并将保险与安全技术服务相结合,以达到真正风险转移的目的。这对模型的设计提出了诸多挑战和要求。

• 供应链风险是关键挑战

  美国银行的首席风险官虽然对自身系统有信心,但更担心上千家供应商的网络安全风险。他希望保险界能设计出允许供应商投保的产品,以转移风险。

• 单纯的认证无法满足要求

  简单地对供应商进行网络安全认证是不够的,因为认证过程很容易被轻易通过,无法真正保证安全性。需要有担保机制来确保认证的可信度。

• 保险需要与安全服务相结合

  网络安全保险不应仅限于赔付,更应提供风险评估、监测、事件响应等增值服务,全方位防范和降低风险。

• 保额需与实际防护措施相匹配

  保险金额不能过高,否则会为黑客攻击提供经济动机。保额应与被保企业真实的安全投入和防护能力相匹配。

3.   首单网安保险案例

这是本场演讲之后的一个案例，管中窥豹。

三、王教授寄语

保险产品和安全要好好结合，打造生态，在数字化、人工智能时代、网络安全、数字安全增长会越来越快，大家走在一起，打造生态，应用技术，让保险成为安全、安详、放心的社会做出贡献。