教育专页：网络安全与人工智能保险
一句总结：这一页不是新闻，也不是产品介绍。它是一份由零开始的教材，用八个单元把网络安全与人工智能（AI）保险讲清楚——由基本概念、香港的风险数据、法律责任，到 AI 保障缺口、企业自我评估清单与索赔流程。
本页最后更新：2026 年 10 月 1 日｜资料采集日期：2026 年 10 月 1 日
这一页应该怎样读
| 如果你是 | 建议的阅读次序 |
|---|---|
| 第一次接触这个题目 | 单元一 → 单元二 → 单元五 → 附录 A 词汇表 |
| 企业负责人或管理层 | 单元二 → 单元三 → 单元六 → 单元七（自我评估清单） |
| 负责资讯科技或合规的同事 | 单元四 → 单元七 → 单元八 |
| 已持有保单、正在准备续保 | 单元一 → 单元五 → 单元七 → 并对照产品与保障结构的「不保事项」与「子限额」两节 |
| 只想快速了解香港现况 | 单元二 → 新闻动态 |
单元一：网络保险是什么
1.1 一个根本的分别
传统保险的分类方式，向来是按损失发生的地方划分——多处理实体场所或实物资产的损失。
网络保险的分类方式不同：它处理的损失，全部发生在网络与资料之上。
| 传统财产与责任保险 | 网络保险 | |
|---|---|---|
| 损失的载体 | 实体财产、人身 | 资料、系统、资金流 |
| 损失的形态 | 损毁、受伤、财务责任 | 外泄、中断、被骗、被锁 |
| 触发点 | 事故或索赔 | 网络事故（不必等索赔） |
| 附带服务 | 查勘、公估 | 数码鉴证、法律与公关应变 |
**因此，网络保险不能由「加一个附加条款」取代。**它需要一套独立的核保问题、独立的除外责任，以及一支懂得处理数码事故的应变团队。
1.2 为何「网络」与「AI」现在常被放在一起谈
原因有三个：
- AI 正在改变攻击方式。 生成式 AI 令钓鱼讯息更难辨识、更易大量制作；深伪语音被用于财务诈骗；AI 亦被用于自动化勒索软件的运作。
- AI 正在创造新的责任类型。 当企业用 AI 生成内容、回复客户或作出决定，出错时的责任归属——是企业、是 AI 供应商，还是没有人——目前仍在形成之中。
- AI 正在令保障出现分歧。 有保险公司在保单加入 AI 排除条款；亦有保险公司把 AI 相关风险纳入保障。企业不清楚自己手上的保单属于哪一种。
1.3 三条同时成立的义务
网络与 AI 风险之所以难处理，是因为同一个事故会同时触发三条不同的义务线：
一次资料外泄
├── 法律责任：个人资料隐私条例（PDPO）下的保障资料原则与通报要求
├── 监管责任：视行业而定——例如金融机构受金管局、保监局或证监会的网络安全要求约束
└── 合约责任：客户合约、外判合约与采购合约中的保安条款与赔偿条款**保险只是处理第三条之后的财务后果。**它能替你赔钱，但不能替你去通报、去接受调查，也不能替你遵守法规。这一点必须先说清楚，否则很容易出现「买了保险就等于合规」的误解。
单元二：香港的风险地图
要判断自己需不需要保障、需要多大的保障，第一步是看清楚实际的风险数据。以下两组数字，是香港最值得参考的两项公开统计。
2.1 HKCERT：攻击的形态
香港网络安全事故协调中心（HKCERT）在《香港网络安全展望 2026》中公布：
- 2025 年香港录得 15,877 宗网络安全事故，按年上升 27%，创历年新高。
- 网络钓鱼占整体事故的 57%，是最主要的威胁来源；攻击途径已由传统电邮延伸至社交媒体与即时通讯平台（34%）及加密货币平台（18%）。
- 易受攻击系统个案为 2,328 宗（占 15%），按年上升超过 3.5 倍。
- 近三成企业没有专人负责网络安全；中小企之中只有 26% 设有专职网络安全人员（大企业为 59%）。
- 35% 使用 AI 的企业曾把公司资料输入公共 AI 工具。
- 2026 年的主要风险归为两类：AI 应用风险与供应链风险。
怎样读这组数字
| 数据 | 它真正在说的是 |
|---|---|
| 钓鱼占 57% | 最大的风险是「人」，不是「机器」。员工培训与流程设计的投资回报，不会因为技术进步而下降 |
| 易受攻击系统升 3.5 倍 | 属于基本配置与修补管理的问题。这类问题技术门槛低、成本低，但最常被忽略 |
| 只有 26% 中小企有专职人员 | 中小企不能靠人手补足，必须靠流程、外判与保险三者组合 |
| 35% 曾把公司资料输入公共 AI | AI 管治是新的资安缺口，而且属于不可逆的外泄——一旦送入第三方系统，无法收回 |
2.2 隐私专员公署：事故的形态
隐私专员公署在 2025 年工作报告中公布：
- 2025 年共接获 246 宗资料外泄事故通报，按年上升 21%；其中来自公营机构 79 宗、私营机构 167 宗。
- 其中 81 宗涉及黑客入侵（占 33%），按年上升 33%。
- 学校及非牟利机构的通报占 92 宗，即全部事故的 37%。
- 同期进行 435 次循规审查，按年上升 9%。
怎样读这组数字
- 事故成因之中，除了黑客入侵，还包括遗失文件或便携式装置、经电邮或邮递意外披露、雇员违规、系统错误设定——换句话说，相当比例的事故与技术无关，而是流程问题。
- 公署同一次公布中举出的三宗个案，全部属于雇佣资料上的人为疏忽。它们的共通点是：没有制度、没有监督、没有培训。
- 学校与非牟利机构占通报的三分之一以上，反映资源有限但持有大量个人资料的机构，是风险最高的群体之一。
2.3 把两组数字合起来看
| 观察 | 对企业的意义 |
|---|---|
| 攻击形态集中在钓鱼与基本配置漏洞 | 基础措施的投资回报最高：多重认证、电邮安全、修补管理、备份 |
| 事故形态相当比例属人为疏忽 | 政策、流程与培训不是「额外工作」，而是主要防线 |
| 中小企资源落差明显 | 以「外判＋保险＋流程」组合补足，比尝试自建团队更实际 |
| AI 已同时是攻击工具与风险来源 | AI 管治需要与资讯安全一同规划，而不是分开处理 |
单元三：香港的法律与监管责任
香港目前没有专门的人工智能法，但企业在网络与 AI 方面仍然承担实质责任。这些责任来自三个层次。
3.1 第一层：法定责任
《保护关键基础设施（电脑系统）条例》（第 653 章）
- 2025 年 3 月 28 日刊宪，2026 年 1 月 1 日起实施。
- 对象是被指定的关键基础设施营运者，涵盖能源、资讯科技、银行及金融服务、交通、医疗、通讯及广播等界别，以及维持重要社会及经济活动的的基础设施。
- 施加三类法定责任：
| 类别 | 内容 |
|---|---|
| 第 1 类：架构 | 在港持续设有办事处；就营运者变更作出通知；设立并持续设有由营运者委任雇员监管的我脑系统安全管理单位 |
| 第 2 类：预防 | 就重大变化作出通知；提交并实施电脑系统安全管理计划；进行安全风险评估；安排安全审核 |
| 第 3 类：事故通报及应对 | 参与安全演习；提交并实行应急计划；在指明时限内就安全事故向专员作出通知 |
- 政府表明，受规管的营运者以大型机构为主，中小企与一般市民不受影响。
《个人资料（隐私）条例》（第 486 章，PDPO）
- 适用于任何持有个人资料的机构，不限于大企业或受监管行业。
- 核心是六项保障资料原则，其中与网络风险最直接相关的两项为：
- 保障资料第 3 原则：如无资料当事人的订明同意，个人资料不得用于新目的——这包括不当披露。
- 保障资料第 4 原则：资料使用者须采取所有切实可行的步骤，确保资料受保障，不受未获准许或意外的查阅、处理、删除、丧失或使用所影响。
- 发生资料外泄事故时，按隐私专员公署的要求作出通报，并可能触发调查、执行通知或警告信。
3.2 第二层：监管指引（视行业而定）
以保险业为例，保监局的要求包括：
| 指引 | 内容 |
|---|---|
| 《网络安全指引》（GL20） | 修订版自 2025 年 1 月 1 日起生效，引入网络韧性评估框架（CRAF），包括固有风险评估、成熟度评估，以及以威胁情报为本的攻击模拟（中或高固有风险者须进行，模拟至少三个端到端攻击场景） |
| 《企业风险管理指引》（GL21） | 要求保险公司识别、评估及管理科技应用（包括 AI 与机器学习模型）所带来的风险 |
| GL8 指引修订 | 2025 年第四季展开咨询，计划 2026 年完成；据保监局公开说明，修订将新增董事及管理层问责、「人在回路」机制、营运韧性，以及 AI 决策披露等要求 |
**对非金融机构的意义：**即使你不受这些指引直接约束，你的客户可能受约束。当银行或保险公司必须符合 CRAF 要求时，你的保安能力会成为他们采购与外判的前置条件。
3.3 第三层：合约责任
这是最容易被忽略、但实际上最先触发的一层。企业常见的合约条款包括：
- 客户合约中的资料保安与保密义务、事故通知时限、赔偿责任上限。
- 外判与采购合约中要求供应商提供安全证明、接受审核、遵守指定标准。
- 租约、工程合约、参展合约要求提供保险证明，而部分合约开始把「网络保险」列入要求。
3.4 三层责任的对照
| 层次 | 谁受约束 | 违反的后果 | 保险能否处理 |
|---|---|---|---|
| 法定责任 | 被指定的关键基础设施营运者；所有持有个人资料的机构 | 罚款、执行通知、调查 | 罚款部分极少受保；抗辩费用可能受保 |
| 监管指引 | 受监管行业（银行、保险、证券等） | 监管行动、牌照条件、公开批评 | 抗辩费用可能受保 |
| 合约责任 | 任何签署了相关合约的企业 | 违约赔偿、合约终止、追讨 | 视条款而定，通常属第三方责任保障范围 |
一句总结：保险处理的是「金钱后果」；法律责任本身、监管合规本身，以及客户信任本身，都需要企业自己承担。
单元四：资料外泄事故的处理流程
资料外泄是香港最常见、也最容易处理错的事故类型。以下流程以「发现事故之后」为起点。
步骤一：确认与围堵（首数小时）
- 确认事件是否真实：是系统错误、内部误发，还是外部入侵。
- 即时围堵：切断受影响系统的网络连线、停用涉事账户、更换凭证。
- 不要立即重装或清除系统——这会破坏数码鉴证所需的证据。
- 若已购买网络保险，按保单要求即时通知保险公司，启动应变服务与热线。
步骤二：评估范围与保全证据
- 确定涉及哪类个人资料、涉及多少人、资料是否可识别个人。
- 由具备资格的鉴证人员进行调查，并完整记录时间线。
- 保留日志、影像与通讯纪录；建立事件档案。
步骤三：判断通报义务
- 是否需要向隐私专员公署通报。
- 是否需要通知受影响个人。
- 若属受监管行业（例如保险、银行），是否需要向行业监管机构通报。
- 若属指定关键基础设施营运者，是否须在指明时限内向专员通报。
- 若涉及客户的合约，是否需要按合约条款通知客户。
步骤四：通知与沟通
- 通知内容应包括：发生什么事、涉及什么资料、已采取什么措施、受影响人士应该做什么。
- 由指定发言人统一对外沟通，避免内部资讯混乱。
- 就声誉风险预备应对方案。
步骤五：复原与事后检讨
- 在确认安全的前提下恢复系统与资料。
- 检讨制度缺口，并落实修正措施，保留纪录。
- 若监管机构其后进行调查，「事后有没有补救、有没有记录」往往与事故本身同等重要。
顾问笔记
这个流程之中，最容易出错不是技术步骤，而是步骤一的「即时通知保险公司」。不少企业在事故发生后急于自行修复，数日后才想起保单，结果错过保单规定的通知时限，或破坏了鉴证所需的证据，影响赔付。保单条款写明的通知时限，值得事前印出来，贴在应变计划的第一页。
单元五：AI 风险与保障缺口
5.1 AI 造成损失的六种方式
| 类型 | 例子 | 主要影响 |
|---|---|---|
| AI 幻觉 | AI 生成的法律参考、财务数字或医疗资讯错误，客户按其行事而受损 | 第三方责任、专业责任 |
| 算法偏差 | 自动筛选、评分或定价对特定群体造成不公平结果 | 监管调查、集体索赔、声誉 |
| AI 被用作攻击途径 | 深伪语音诈骗转账、AI 增强的钓鱼导致凭证外泄、AI 自动化勒索 | 第一方损失、第三方责任 |
| AI 代理的自主行为 | AI 代理在获授权凭证下执行错误交易、错误定价或错误申报 | 纯财务损失——最难处理的一类 |
| 资料输入公共 AI 工具 | 员工把客户资料贴入公共 AI 服务 | 资料外泄、跨境转移、通报责任 |
| AI 生成内容的侵权 | 未经授权使用受版权保护的素材生成营销内容 | 知识产权索赔、广告侵害 |
5.2 为何这些风险会落在保障空白之中
原因是现有保单的设计出发点，与 AI 事故的实际形态并不相符：
| 保单类型 | 为何未必涵盖 AI 事故 |
|---|---|
| 一般责任保险 | 传统上以人身伤害与财物损失为核心；AI 造成的纯财务损失通常不在范围之内 |
| 专业责任保险 | 处理的是人类专业人员的疏忽；当决定由自动系统作出时，责任归属出现争议 |
| 网络保险 | 原为处理资料外泄、勒索软件与网络中断而设计。AI 代理在获授权的情况下作出有害行为，并不是一次「入侵」 |
| 管理层责任保险 | 若 AI 管治缺失引致股东或监管行动，风险可能延伸至董事层面 |
再加上部分保险公司已在商业保单加入 AI 排除条款，把「实际或声称使用 AI」所引致的法律责任剔除，空白便进一步扩大。
5.3 目前市场上的三种回应方式
| 方式 | 内容 | 优点 | 限制 |
|---|---|---|---|
| 在现有保单上加设 AI 附加条款 | 在专业责任或网络保险上附加 AI 相关保障 | 成本较低、核保较快 | 范围较窄，可能对「自主决策」另设排除 |
| 把 AI 风险纳入网络保险 | 以「AI 被用作攻击途径」为切入点纳入保障 | 与现有网络保险流程接轨 | 主要处理 AI 引致的网络损失，而非全面的 AI 责任 |
| 独立 AI 责任保险 | 专为 AI 事故设计，涵盖幻觉、模型退化、偏差等 | 范围最阔、定义最贴近实际风险 | 市场早期、承保能力有限，香港暂非现成可购买的产品 |
5.4 香港企业现阶段的实际位置
在香港，独立的 AI 责任保险并非现成可购买的标准产品。因此现阶段的实务策略，不是急于寻找一份「AI 保单」，而是先减少空白、再提升可保性：
- 读清楚现有保单。 逐份检视一般责任、专业责任、网络保险与管理层责任保单，确认是否有 AI 排除条款，以及排除条款覆盖到什么程度。
- 以管治提高可保性。 保险公司在承保 AI 风险时，最关心的是企业能否证明自己有管治。有纪录的管治，会直接影响能否投保及保费水平。
- 先处理最确定的部分。 AI 被用作攻击途径所造成的网络损失，是目前市场上最明确可获得保障的一块。
单元六：AI 管治要准备什么
隐私专员公署的《人工智能（AI）：个人资料保障模范框架》（2024 年 6 月发布）建议机构从四个方向建立 AI 管治。对应到实务文件，企业需要准备以下四类：
| 文件 | 内容 | 为何需要 |
|---|---|---|
| AI 使用政策 | 允许使用哪些 AI 工具、可用于哪些用途、哪些资料绝对不可输入、谁有权批准新工具 | 这是最基本的一份。香港调查显示三分之一使用 AI 的企业曾把公司资料输入公共 AI 工具，原因通常不是不守规矩，而是没有明确规走 |
| AI 系统清单 | 机构目前使用哪些 AI 系统、用途、处理哪类资料、由谁负责 | 没有清单，就无法回答核保问题与监管查询 |
| 隐私影响评估纪录 | 在引入 AI 系统前，评估其对个人资料隐私的影响，以及减缓措施 | 模范框架明确建议在采购与实施阶段进行；亦是循规审查的重点 |
| 人为监督与审计纪录 | 哪些决策需要人工复核、谁负责复核、系统行为日志如何保存 | 保监局 GL8 修订方向已包括「人在回路」与 AI 决策披露 |
关于「人在回路」
模范框架把人为监督分为三种模式，机构应按风险程度选择：
| 模式 | 适用情况 |
|---|---|
| 人在回路 | 高风险系统，由人工保留决策权 |
| 人在指令 | 风险不可忽略但全面人工介入成本过高，由人工使用系统输出并监督运作，必要时介入 |
| 人在回路以外 | 低风险系统，AI 可直接采用其输出 |
**一个实用的判断方法：**如果 AI 的输出会影响客户的金钱、权益或法律地位，就不应该采用「人在回路以外」。
单元七：企业自我评估清单
以下清单按范畴分组。建议由负责资讯科技或合规的同事逐项回答，并把「否」的项目列为待办事项。
A. 基础控制
| # | 检查项目 | 若答「否」应该做什么 |
|---|---|---|
| 1 | 所有电邮与关键系统账户已启用多重认证 | 这是低成本、高回报的一项，应优先完成 |
| 2 | 有定期修补系统漏洞的流程，并有纪录 | 订立修补时限表，并记录每次修补的完成情况 |
| 3 | 备份存在，并且离线或不可变 | 若备份与生产系统连在同一网络，勒索软件可一并加密 |
| 4 | 已测试过资料复原，知道实际需要多少时间 | 定期演练，并记录复原时间目标与实际结果 |
| 5 | 特权账户（管理员权限）有独立管理与监控 | 检视谁拥有特权，并减少不必要的管理员账户 |
B. 人与流程
| # | 检查项目 | 若答「否」应该做什么 |
|---|---|---|
| 6 | 有专人或明确委派的人负责网络安全 | 中小企可外判，但必须有明确的内部负责人 |
| 7 | 员工定期接受钓鱼与资安培训 | 建议每季一次，并以模拟钓鱼测试成效 |
| 8 | 有书面的事故应变计划 | 计划的第一页应包括保单通知时限与保险公司热线 |
| 9 | 离职员工的账户与存取权限会即时撤销 | 订立离职检查清单，并保留执行纪录 |
| 10 | 有明确的数据分类政策（哪类资料可放哪里） | 至少区分「可对外部」、「内部」、「机密／个人资料」三级 |
C. AI 专项
| # | 检查项目 | 若答「否」应该做什么 |
|---|---|---|
| 11 | 有书面的 AI 使用政策，并已向员工传达 | 订立最少可行版本：可用工具清单、禁止输入的资料类别 |
| 12 | 已清点机构使用的 AI 系统及其用途 | 建立清单，包括部门自行订阅而未经资讯科技部们的工具 |
| 13 | 已明确禁止把客户个人资料或机密资料输入公共 AI 工具 | 以技术手段（封锁）配合政策，而非只靠自律 |
| 14 | 影响客户权益的 AI 决策设有人工复核机制 | 界定哪些决策属高风险，并指定复核人 |
| 15 | AI 系统的输入与输出有日志纪录 | 为日后监管查询与核保留下证据 |
D. 法律与合约
| # | 检查项目 | 若答「否」应该做什么 |
|---|---|---|
| 16 | 已检视现有保单是否有 AI 排除条款 | 逐份检视一般责任、专业责任、网络保险与管理层责任保单 |
| 17 | 已检视主要客户合约的保安与事故通知条款 | 特别是通知时限与赔偿责任上限 |
| 18 | 已检视关键供应商合约是否包含保安与通报条款 | 供应商事故的责任需要事前写在合约之中 |
| 19 | 知道发生事故时，需要向哪些机构通报、时限为何 | 事前整理成一页清单 |
| 20 | 机构的网络保险是否涵盖第三方供应商引致的损失 | 这是近年实际发生过的事故类型，须逐份确认 |
E. 机构韧性
| # | 检查项目 | 若答「否」应该做什么 |
|---|---|---|
| 21 | 关键系统有清单，并已标示单点故障 | 先处理「一旦失效即全公司停摆」的系统 |
| 22 | 有指定的事故发言人与对外沟通方案 | 事故期间的对外讯息需要统一，否则会放大声誉损失 |
| 23 | 管理层定期收到网络风险报告 | 网络风险属企业风险，需要管理层层面的审视 |
| 24 | 过去三年的事故与近失事故有纪录 | 这些纪录是核保时的重要资料，亦能避免重复犯错 |
怎样使用这份清单
不需要一次完成所有项目。实务上的优先次序是：第 1、3、6、11、13 项（高回报、低成本）→ 第 8、16、20 项（与保险直接相关）→ 其余按风险排序。
单元八：索赔与事故应变流程
网络保险的索赔，与一般保险最大的分别是：它往往在事故发生之前就已经开始。
事故发生
│
├─ 第 1 步｜即时通知保险公司（通常 24–72 小时内，须核对保单条款）
│ └─ 启动应变服务：鉴证、法律、公关
│
├─ 第 2 步｜围堵与保全证据（不要清除系统）
│
├─ 第 3 步｜提交初步事故报告
│ └─ 内容：发生时间、发现方式、涉及范围、初步影响
│
├─ 第 4 步｜配合保险公司的鉴证与损失评估
│ └─ 保留所有费用单据（应变、法律、公关、复原）
│
├─ 第 5 步｜提交索赔文件
│ └─ 保险公司核实保障范围、子限额与不保事项
│
└─ 第 6 步｜赔付与结案
└─ 保留完整事件纪录，作日后续保之用索赔时最常遇到的四个问题
| 问题 | 原因 | 事前可以怎样避免 |
|---|---|---|
| 因逾期通知而被拒赔 | 保单规定的通知时限较短，企业忙于救火而遗忘 | 把时限与热线号码放入应变计划第一页 |
| 因「已知情况」被拒赔 | 事故在投保前已经开始，只是未被发现 | 投保时如实申报；如有怀疑，先做一次安全评估 |
| 因保安水平不达标被拒赔 | 投保时声明已实施某项控制，实际未有 | 投保前先核对实际控制状况，避免过度声明 |
| 赔偿远低于预期 | 子限额与分层结构，总保额不等于可用金额 | 投保时逐项核对子限额，而非只看总保额 |
附录 A：词汇表
| 词语 | 解释 |
|---|---|
| 网络保险 | 承保网络事故所引致的自身损失（第一方）与对第三方的责任（第三方）的保险 |
| 第一方保障 | 保障投保企业自身的损失，例如应变费用、营业中断、资料复原 |
| 第三方责任 | 保障投保企业对他人（客户、伙伴、监管机构）的责任 |
| 事故应变 | 事故发生后的一连串鉴证、法律、公关与危机管理等行动 |
| 子限额 | 在总保额之下，为特定保障项目另设的赔偿上限，通常不可互相挪用 |
| 垫底费（自负额） | 每次索赔中由投保人自行承担的金额；须确认是「每宗事故」还是「保单年度」计算 |
| 索赔为本保单 | 以索赔提出（而非事故发生）的时间作为保障基础的保单设计 |
| 已知情况 | 在保单生效前已经发生或应该知道的情况，一般不受保 |
| 战争排除 | 排除由战争或国家级行为者发动的攻击所引致的损失，是网络保单中最具商业影响的一项排除条款 |
| 商业电邮诈骗 | 攻击者冒认或入侵电邮账户，诱使企业把款项转账至其账户；在不少保单中另设子限额 |
| 勒索软件 | 加密企业档案并要求付款以换取解密钥匙的恶意软件，近年亦同时窃取资料以威胁公开 |
| 数码鉴证 | 在事故后搜集与分析数码证据的专业工作，用以确定原因、范围与影响 |
| 资料外泄通知 | 向受影响人士及监管机构通报资料外泄事故的行为 |
| 指定营运者 | 《保护关键基础设施（电脑系统）条例》下被指定、须履行法定责任的关键基础设施营运者 |
| 关键电脑系统 | 条例下与关键基础设施运作直接相关的电脑系统 |
| 网络韧性评估框架（CRAF） | 保监局《网络安全指引》下的评估框架，包括固有风险评估、成熟度评估与以威胁情报为本的攻击模拟 |
| AI 幻觉 | AI 模型生成看似合理但实际上错误的内容 |
| 代理式 AI | 可自行规划并执行任务（例如自行调用工具、作出决定）的 AI 系统 |
| 人在回路 | 由人类保留决策权的 AI 监督模式 |
| AI 排除条款 | 在保单中把「使用或部署 AI 所引致的法律责任」剔除的条款 |
| 嵌入式保险 | 把保险直接嵌入产品或服务销售流程的安排，例如购买机器人服务时同时获得保障 |
| 微保险 | 针对单一风险或单一场景设计、保额与保费较低的小型保险产品 |
附录 B：六个常见误解
误解一
「网络安全是资讯科技部门的事。」 香港的调查显示，最大的攻击形态是钓鱼（占 57%），而资料外泄事故之中相当比例属人为疏忽。这两类风险的防线，在于流程设计与员工培训，而不是防火墙。网络安全是管理层与人事制度的事。
误解二
「我们没有客户资料，不需要担心。」 除了客户资料，还需要考虑员工资料、供应商资料、商业机密、财务与付款资料，以及知识产权。香港 2025 年的通报个案中，一部分正是处理雇佣资料出错所引致。
误解三
「买了保险就代表合规。」 保险与合规处理的是两件不同的事。保险赔钱；合规是企业自身的责任。受到监管调查时，保单能支付抗辩费用，但不能代你提交计划、进行审核或修正制度。
误解四
「AI 风险太新，保险公司一定不保。」 市场已经出现分歧：部分保险公司在保单加入 AI 排除条款，亦有保险公司把 AI 引致的网络风险纳入保障。方向并不一致，所以必须逐份阅读自己的保单，而不是听取概括的说法。
误解五
「用了 AI 供应商，责任就在供应商。」 供应商合约通常设有责任上限，且未必涵盖你自身的损失。当 AI 的输出影响到你的客户，客户追究的对象通常是你——因为你是与他签约的一方。
误解六
「买最高保额就最安全。」 子限额与分层结构决定了实际可动用的金额。一份总保额高但子限额分散而偏低的保单，在单一类型的事故中，实际保障能力可能不如一份总保额较低但结构配合的保单。
附录 C：延伸阅读与资料来源
官方来源
- 《保护关键基础设施（电脑系统）条例》（第 653 章）——香港特区政府新闻公报、通讯事务管理局
- 《个人资料（隐私）条例》（第 486 章）及各项指引——个人资料隐私专员公署
- 《人工智能（AI）：个人资料保障模范框架》（2024 年 6 月）——《雇员使用生成式 AI 的指引清单》（2025 年）——《代理式人工智能篇：保障个人资料隐私》（2026 年）——个人资料隐私专员公署
- 《香港网络安全展望 2026》——香港网络安全事故协调中心（HKCERT）
- 保监局《网络安全指引》（GL20）、《企业风险管理指引》（GL21）及指引修订公布——保险业监管局
- 生成式人工智能沙盒++ 公布——香港金融管理局、证券及期货事务监察委员会、保险业监管局、强制性公积金计划管理局、香港数码港管理有限公司