2022.04.22

2022年线上保险业务风险研究

近日,安全公司Black Kite发布了《2022年线上保险业务风险报告》,对承保人和整个线上保险行业面临的新型威胁进行了深入研究,并对目前排名前99的保险公司(按净保费计算)进行了分析。

 

Black Kite 研究团队从第三方风险的角度深入研究了保险公司的网络安全态势,并重点分析了目前最大的99家保险公司(按净保费排名),揭示了该行业的网络风险和潜在的关注领域。总体而言,保险公司的平均等级为“B”,技术评级为84.6。而评级为“B”的公司发生数据泄露的可能性是获得“A”评级的公司的3倍。

图片

 

图1 在线业务保险公司等级分布

 

数据还显示,保险公司的平均勒索软件易感指数评级为0.17(在0.0-1.0的易感等级上,这是个不错的分数)。然而,在这些保险公司中,有18%易感指数高于0.6的临界阈值,这表明其勒索软件的易感性很高。需要注意的是,低易感性并不意味着没有易感性。网络威胁和漏洞每秒都在发生,这也使得持续和主动响应成为了先决条件。

图片

图2 保险公司的勒索软件易感指数

 

而在与勒索软件相关的安全问题中,“网络钓鱼”的易感性位居榜首,占比82%;泄漏凭据占比66%;数据泄露占比43%;高危漏洞占比42%;公开可见的关键端口占比25%。网络钓鱼对于攻击者来说,成本极低,而一旦成功,即可创造巨额收益。根据思科《2021年网络安全报告》显示,去年86%的组织至少有一个人点击了网络钓鱼链接。此外,数据还表明网络钓鱼占数据泄露事件的90%左右。

图片

图3 与勒索软件相关的安全问题

 

在网络钓鱼事件中,最常见的请求包括披露凭证、共享个人信息或授予对平台的访问权限。即使是像证书这样简单的东西,也可能是攻击者访问企业整个数据库所需的关键。这也导致了第二个紧迫问题,即泄露的账号信息(占比66%),一旦被泄露到公开网络,就可能导致连锁效应。

 

由于未及时更新补丁,42%的保险公司至少存在一个可能的严重漏洞,可让黑客获取初始访问点,例如影响深远的Log4j事件就是由此开始的。此外,造成保险公司低技术评级和对勒索软件高易敏性的原因,就在于整体网络状况不佳。研究显示,85%的承保人认为保险公司应该加强其网络安全态势。



上一篇:实现人与“人”的对抗:常用AI安全工具盘点

下一篇:虚拟CISO会成为中小企业安全建设的“催化剂”吗?