作者何麗新、池騁
一、互聯(lián)網保險的類型化界定
目前學界對于互聯(lián)網保險的研究未能跟上腳步，首當其沖地體現在對于互聯(lián)網保險的定義與類型研究上: 有的學者錯誤地將互聯(lián)網保險定義為“通過互聯(lián)網銷售保險”，該定義嚴重地限縮了互聯(lián)網保險的研究，忽略了保險人通過互聯(lián)網銷售保險之后為客戶提供互聯(lián)網核保、理賠服務的內容。還有學者將互聯(lián)網保險歸納為“互聯(lián)網保險是指保險公司或者保險中介機構借助互聯(lián)網為客戶提供產品及相關服務信息，實現網上投保、承保、保全和理賠等保險業(yè)務，完成保險產品的在線銷售及服務，同時借助第三方機構來實現保險相關費用的電子支付等經營管理活動?！痹摱x雖然涵蓋了保險人通過互聯(lián)網實現投保、承保、保全和理賠等保險業(yè)務的內容，但卻沒有將因互聯(lián)網而生的“互聯(lián)網信息安全保險”納入其中。
筆者認為，以互聯(lián)網保險的保險利益與互聯(lián)網依附程度以及法律規(guī)則受到沖擊的程度的不同，可以將互聯(lián)網保險分為如下三種主要類型:
第一類: 投保人以互聯(lián)網行為本身為保險標的，以可能因網絡安全風險而遭受損失為保險利益，與保險人簽訂保險合同并支付保險費，保險人對因網絡安全事故而造成的重要資料丟失、知識產權受到侵犯、系統(tǒng)服務中斷等損失承擔賠償保險金的責任。筆者擬將此類互聯(lián)網保險定義為“互聯(lián)網信息安全保險”，此類保險業(yè)務的保險利益就是被保險人作為互聯(lián)網的參與人，與保險標的之間存在的法律上認可的經濟利害關系，其保險標的就是互聯(lián)網資料、網絡系統(tǒng)的運行、網絡虛擬空間的財產等互聯(lián)網行為或產物。通過互聯(lián)網信息安全保險合同的適用，投保人或被保險人可以得到保險保障。此類保險與互聯(lián)網的依附程度最高，沒有互聯(lián)網的存在被保險人就不可能享有保險利益。
第二類: 依托互聯(lián)網的優(yōu)勢實現線上線下融合的保險業(yè)務，即“O2O( Online To Offline 線上與線下)保險業(yè)務”。此類互聯(lián)網保險所承保的風險是一種融合線上與線下的保險利益，脫離其中一項此類保險利益即不存在。如網購“退貨運費險”的保險利益就是投保人在線上( 淘寶、京東等購物平臺) 購買貨物，在線下( 通過快遞公司的郵遞) 收到貨物后發(fā)現貨物不符合自己的要求在與賣家協(xié)商一致情況下進行退貨所產生的運費損失。當然，保險的投保、核保、理賠和給付等手續(xù)大都在互聯(lián)網上進行。此類保險的保險利益與互聯(lián)網的依附程度相對較高，盡管此類保險的部分保險利益須在線下實現，但脫離互聯(lián)網該類保險無法在線下獨立進行。O2O 保險因近幾年網購規(guī)模的不斷擴大已經被廣大保險消費者所接受，業(yè)務量和保費增速較快，但仍存在有保險人說明義務履行不完善、投保人認定困難、易出現道德風險等法律問題。
第三類: 以線下傳統(tǒng)的風險為保險利益，但結合互聯(lián)網為銷售渠道的保險業(yè)務，即“網銷保險業(yè)務”。此類互聯(lián)網保險業(yè)務所承保的保險利益均發(fā)生在非互聯(lián)網領域，如汽車碰撞風險、海上貨物運輸風險、火災風險等，但通過互聯(lián)網辦理投保、核保、理賠和給付等一項或多項手續(xù)。此類保險的保險利益與互聯(lián)網的依附程度相對較低，只是通過互聯(lián)網拓展了業(yè)務范圍，脫離互聯(lián)網此類保險亦能在線下進行。網銷保險已經成為我國保險行業(yè)的主要銷售渠道，發(fā)展已日漸成熟，將在未來取代人為代理、電話等形式成為保險營銷的主要模式。從法律規(guī)則的變動角度看，此類保險合同可能出現與第三方平臺發(fā)生法律糾紛、電子合同的時間與地點難以認定等問題，亟待解決。
二、互聯(lián)網信息安全保險
互聯(lián)網利用其無以比擬的技術優(yōu)勢席卷全球，其核心技術是使用一種專門的語言協(xié)議在由眾多計算機組成的虛擬網絡之間實現數據的傳輸，以保證數據安全、可靠地到達指定的目的地，這種語言分兩部分，即TCP( Transmission Control Protocol 傳輸控制協(xié)議) 和IP( Internet Protocol 網間協(xié)議) ?；ヂ?lián)網利用TCP /IP 協(xié)議實現數據的分組交換這種無紙化、即時性的傳輸方式，使人類的生產與生活方式發(fā)生了巨大的轉變，極大提高了人類工作的效率。但正是TCP /IP 協(xié)議本身所存在的缺陷會使互聯(lián)網及其終端隨時面臨著惡意性的攻擊( 如黑客編制的木馬、病毒等) 和系統(tǒng)性的崩潰( 如由于編碼錯誤造成的計算機網絡癱瘓) 兩種主要危險，前者就是互聯(lián)網危險的主要來源。據統(tǒng)計，2013 年共有3000 家美國公司遭遇黑客攻擊，而全球網絡攻擊犯罪行為每年會帶來超過4450 億美元的經濟損失。危險的相對面就是保險利益的存在，因此互聯(lián)網信息安全保險的保險利益就是互聯(lián)網用戶對于其互聯(lián)網行為可能產生的資產受損或責任承擔，這類保險可能為一種積極保險( 如投保人為網絡虛擬財產的所有權投保) ，也可能為一種消極保險( 如投保人為信息被破壞所產生的賠償責任而投保) 。
就互聯(lián)網信息安全保險產業(yè)的發(fā)展來說，美國、日本等發(fā)達國家已經歷經了兩個階段———萌芽階段和快速發(fā)展階段。21 世紀初，世界最大的網絡安全保險商———美國國際集團( AIG—American International Group) 推出的計算機病毒、信用卡和ID 被竊保險，Hiscox 保險集團推出的針對電訊、多媒體和科技類公司的病毒保險，Chubb 保險公司推出的關于“E 偷竊、E 破壞和E 敲詐”保險項目等都是發(fā)達國家在其萌芽發(fā)展階段所推出的保險產品。萌芽階段的特點是，該階段保險產品所承保的主要是因數據泄露所造成的損失，針對黑客攻擊、木馬控制等網絡攻擊行為的保險產品還未問世。隨著互聯(lián)網信息安全形勢不斷加劇以及相關保險產品的升級，互聯(lián)網信息安全保險的保險利益得到普遍的承認，其可承保的標的也不斷擴展，不再僅僅局限于互聯(lián)網財產的積極保險產品與因數據泄露而造成的危險事故，一些本來難以計算核保的網絡安全攻擊也被納入了承保范圍: 例如前美國國土安全部部長湯姆·里奇與英國最大的的保險組織勞合社( Lloyds of London) 合作推出了一款針對網絡攻擊犯罪行為的保險產品，保險范圍面向市值5 億美元以下的公司，可以覆蓋美國80%的上市公司，保險金額最高可以達到5000 萬美元。另外，AIG 公司也根據美國網絡安全新框架以及企業(yè)客戶的需求開發(fā)出一種新型保險合同，可就網絡攻擊造成的財產損失及人身傷害對企業(yè)做出賠償，這標志著新興網絡保險市場正在擴張，不再只局限于數據泄露導致的企業(yè)損失。盡管我國是計算機互聯(lián)網用戶最多的國家之一，但令人失望的是互聯(lián)網信息安全保險產品在我國還很鮮見，究其主要原因在于互聯(lián)網信息安全保險較之于傳統(tǒng)保險所擁有的不同特點，保險人對該類保險產品的承保、核保與理賠規(guī)則還不能很準確的拿捏。
( 一) 承保風險不同而產生的核保制度的更新
并非任何危險都可向保險人轉嫁，保險人所承保的危險必須符合一定條件。一般認為，保險人所承保的危險必須符合純粹性、可能性、不確定性、意外性、未來性和同質性六個特點: 即該可承保的危險應該為非投機性的純粹性危險，具有客觀上發(fā)生的可能，危險發(fā)生的時間、對象、原因等均不確定，危險的發(fā)生是不可預測的而非來自投保人的故意行為，危險須發(fā)生在保險契約訂立之后，大量標的均有遭受該危險或者近似危險的可能性。以上幾種特點適用于傳統(tǒng)保險標的，傳統(tǒng)保險所承保的危險的可測算性較高，事故發(fā)生后保險公司進行定損的難度較低，如火災險、汽車責任險等。筆者認為互聯(lián)網信息安全風險相比較于傳統(tǒng)保險具有以下特殊性: 第一，從信息安全風險的威脅模式呈多源性態(tài)勢，部分風險難以控制、難以測算。信息安全事故因技術特點的不同，有可能產生信息泄露、拒絕服務、竊聽等后果，但并不是所有威脅都可以作為風險由保險人承保。例如“竊聽威脅”是指黑客是利用各種可能的合法或非法的手段竊取系統(tǒng)中的信息資源和敏感信息，并未造成直接的經濟損失，保險人并無法評估被保險人對該風險持有的保險利益和安全事故發(fā)生后的損失。可以說，信息安全風險并不像傳統(tǒng)保險的可承保風險的威脅來源一樣確定、直接。第二，互聯(lián)網信息安全威脅方式變化迅速，導致可承保風險的危險狀況無時無刻不在發(fā)生變化。創(chuàng)新是互聯(lián)網業(yè)不斷前進的源泉，與之相對應的就是信息侵入手段的快速變化，保險人即使在簽訂保險合同前已經做了充分的預判與核算，可承保風險仍然可能也會因互聯(lián)網技術本身的快速發(fā)展而脫離保險人、被保險的控制。第三，互聯(lián)網信息安全事故的大數據缺乏。眾所周知，保險險種和費率的設計必須依靠大量數據支撐，保險人要利用“大數法則”對保險事故發(fā)生的概率、費率的高低、賠付的比例等進行計算。但就目前來說，互聯(lián)網信息安全在我國發(fā)展時間還比較短，相關統(tǒng)計資料還比較缺乏。
筆者認為，應該針對互聯(lián)網信息安全的風險特點建立一套完整的核保體系，可參照以下三個層面進行: 第一，在組織層面，需要協(xié)調保險公司和第三方專業(yè)公司的人力資源。投保方、產險公司、專業(yè)公司需要簽署并認真執(zhí)行保密協(xié)議，由第三方專業(yè)公司進行公估核保計算。第二，在險種的設計上，保險公司在信息安全保險發(fā)展初期可以甄別出一些發(fā)生危險狀況變化小、易于核保的風險進行承保，而后再逐漸展業(yè)至風險程度更高的領域。第三，在風險的跟蹤機制上，保險公司應該針對互聯(lián)網信息安全保險從“一次核?！毕颉伴L期核?！鞭D變。針對互聯(lián)網信息安全狀況的迅速變化，保險公司唯有不斷跟蹤行業(yè)動態(tài)，深入到投保人的生產經營過程中去，通過不斷的接觸交流，對保險標的進行核定、計算，并以此為依據進行保險合同的變更和保費的調整。
( 二) 信息安全保險事故的損失核定比傳統(tǒng)保險更為復雜
互聯(lián)網信息安全保險在保險事故發(fā)生后，同樣缺乏客觀的評估方式，并且此類保險事故的邊際效應遠大于傳統(tǒng)保險。筆者以特洛伊木馬( Trojan) 作分析: 特洛伊木馬是指通過特定的程序( 木馬程序) 來控制另一臺計算機，它通過將自身偽裝吸引用戶下載執(zhí)行，向施種木馬者提供打開被種主機的門戶，使施種者可以任意毀壞、竊取被種者的文件，甚至遠程操控被種主機。一個完整的特洛伊木馬套裝程序含了兩部分: 服務端( 服務器部分) 和客戶端( 控制器部分) 。植入對方電腦的是服務端，而黑客正是利用客戶端進入運行了服務端的電腦。運行了木馬程序的服務端以后，會產生一個有著容易迷惑用戶的名稱的進程，暗中打開端口，向指定地點發(fā)送數據( 如網絡游戲的密碼，即時通信軟件密碼和用戶上網密碼等) ，黑客甚至可以利用這些打開的端口進入電腦系統(tǒng)。
計算機用戶投保特洛伊木馬保險并繳納保費后，如果發(fā)生保險事故，在黑客已經通過木馬程序獲取了計算機用戶資料但并未造成計算機用戶經濟損失的情況下被保險人向保險人報案，如何測定該事故的實際損失是一個難題。雖然保險事故發(fā)生的當時未發(fā)生實際損失，但黑客可能利用獲取的資料在某個特定的時間損害被保險人的財產或造成被保險人的賠償責任，邊際效應遠大于傳統(tǒng)保險。我國《保險法》第23 條規(guī)定，“保險人收到被保險人或者受益人的賠償或者給付保險金的請求后，應當及時作出核定; 情形復雜的，應當在三十日內作出核定，但合同另有約定的除外。”筆者認為，本條法律規(guī)定的立法原意在于督促保險人及時進行核定以及理賠，保護被保險人的利益，但在互聯(lián)網信息安全保險邊際效應巨大的情況下反而不利于被保險人利益的保護。在合同沒有另行約定的情況下，法律應該給予互聯(lián)網信息安全保險被保險人更長時間的保護，防止被保險人在保險人三十日內作出保險金的核定和理賠后遭受重大的損失。而對于保險人來說，必須在核定損失時必須緊密圍繞“近因原則”與“損失補償原則”進行。第一，只有當保險人承保的風險事故是引起保險標的損失的近因時，保險人才負賠償責任。例如，保險人與投保人簽訂保險合同承?！昂诳碗U”后發(fā)生信息安全事故，但該事故由多種原因引發(fā)，包括黑客的侵入和被保險人職員的不慎泄露，保險人是否承擔賠償責任要根據損失是否可以進行劃分來確定。能劃分開的，保險人僅僅承擔所保風險導致的損失; 如果無法劃分的，保險人可與投保人協(xié)商賠付。第二，在損失的量化程度上，保險人應以損失補償為原則進行賠償。對由于網絡信息安全問題造成服務的中斷，由此帶來潛在經濟損失的，以根據投保方以往的經營利潤來判斷，則可酌情給予經濟賠償，必要時可請有關機構鑒定處理。
聯(lián)系客服
