新规：网络平台泄露用户信息可入罪 或将催生网络责任险巨大市场

根据两高相关规定，自11月1日起，对拒不履行信息网络安全管理义务的前提要件和入罪标准等作出了明确规定：致使用户信息泄露，具有“致使泄露行踪轨迹信息、通信内容、征信信息、财产信息五百条以上的”，具有“致使泄露住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的用户信息五千条以上的”等8种情形，应当认定为刑法“拒不履行信息网络安全管理义务罪”规定的“致使用户信息泄露，造成严重后果”。保险业内人士认为，这一规定促使网络服务提供者积极履行法律、行政法规规定的信息网络安全管理义务，同时，也将对保险市场特别是网络安全风险防范带来巨大市场机遇。

根据安达保险全球数据风险库的信息，2018年披露的超过6500起数据泄露事件中，有三分之二来自商业部门。同时，政府部门占13.9%，医疗部门占13.4%，教育部门占6.5%。有12起数据泄露事件涉及人数超过1亿或更多，这些泄露事件占去年所有记录的74%。

从这些泄露发生的原因看，有些数据泄露并不是黑客利用安全漏洞所致，而是错误的行为导致数据可被网上公开访问，比如2018年优衣库的信息数据泄露，以及美国Exactis公司的数据泄露，后者因数据库配置错误，导致2.3亿用户和1.1亿商业联系人的个人详细信息可被公开访问。

安达保险金融险部负责人周一芳认为，信息数据泄露的另两个常见原因是雇员报复和社交工程犯罪：公司内部人员因泄愤报复公司而有意破坏公司信息系统，或员工因防范意识不足遭遇黑客的信息诈骗攻击而泄露公司重要数据。政治咨询公司剑桥分析通过第三方应用程序从8700万Facebook用户档案中获取数据的事情就属于这一类。

周一芳表示，网络攻击和信息泄露可能给企业带来的影响包括营业中断或者收入显著下降、法律责任、监管和行业的调查等等；而对于用户端也会产生如无法享受服务或服务体验下降、个人隐私泄露、财产损失等负面影响。这就要求各个企业在发展业务的同时，必须加强相关的安全防范措施。

此次两高针对日趋严重的网络数据风险，对个人责任以及责任追究做出了明确规定，同时也督促有关网络安全监管部门履行好监管责任，促使网络服务提供者切实承担起安全管理义务。网络责任保险，则能分担网络服务提供者的风险。网络责任险是传统责任险的新型升级，普通责任险的保单不承保电子数据损失，被保险人或其员工的犯罪或故意行为，或索赔前发生的费用，而网络责任安全保险可以承保计算机因实际或被指称发生安全故障而未能阻止攻击，或减轻计算机攻击所造成的损失等。

网络事件往往以其突发性、复杂性和非常规性令企业客户措手不及。为迅速有效地应对突发网络事件，部分险企还为企业客户搭建了专属的网络事件应急响应平台。以安达中国为例，其全新推出的“应急响应流程”简明扼要、操作简单，投保客户可在任何时间通过多种方式（热线电话、网站在线、手机应用程序）报告事件，联系“应急响应经理”。

目前网络风险在不断加强，但是国内企业在网络安全系统的投入不到3%，而欧美成熟企业每年的网络安全系统投入约占整体IT投入的10%。与此同时，预计到2020年，网络安全市场的产值将达到1700亿美元，且将保持至少10%~15%的年增长率。随着中国国内法制的不断健全，可以预见的是，中国网络风险管控领域市场巨大。