Cyber Insurance, Audit, and Policy: Review, Analysis and Recommendations
North Dakota State University（北达科他州立大学）；University of West Florida（西佛罗里达大学）
本文综述了网络安全审计在降低网络保险成本和提高其可获得性方面的潜力，并提出了相关建议。
2026-02-03 cs.CR
Pricing and Investments in Internet Security: A Cyber-Insurance Perspective
互联网用户，如个人和组织，受到不同类型的流行病风险，如蠕虫，病毒，垃圾邮件和僵尸网络。为了降低风险的可能性，互联网用户通常投资于传统的安全机制，如防病毒和反垃圾邮件软件，有时也称为自我防御机制。然而，这种软件并不能完全消除风险。最近的工作已经考虑了通过提出网络保险的想法来消除剩余风险的问题。在这方面，一个重要的研究问题是在互联网环境下的最佳用户自卫投资和网络保险合同的分析。在本文中，我们研究了两个问题和它们之间的关系：1）分析最优的自卫投资在互联网上，在最优的网络保险覆盖范围内，其中最优性是一个保险公司的目标和2）设计最优的网络保险合同的互联网用户，合同是（保费，覆盖范围）对。
2011-03-08 cs.CR
A Novel Cyber-Insurance for Internet Security
个人和组织等互联网用户受到蠕虫、病毒和僵尸网络等不同类型的流行病风险的影响。为了降低风险的可能性，互联网用户通常投资于自我防御机制，如防病毒和反垃圾邮件软件。然而，这种软件并不能完全消除风险。最近的工作已经考虑了通过提出网络保险的想法来消除剩余风险的问题。实际上，互联网用户面临由于安全攻击的风险以及由于非安全相关故障（例如，硬件崩溃、缓冲区溢出等形式的可靠性故障）.这些风险类型通常是无法区分的一个天真的用户。然而，网络保险机构很可能只为安全攻击带来的风险提供保险。在这种情况下，对于互联网用户来说，选择正确类型的网络保险合同作为标准最优合同，即，仅在安全攻击下的合同，可能证明对他自己来说是次优的。在本文中，我们解决的问题，分析网络保险解决方案时，用户面临的风险，由于这两个，安全以及非安全相关的故障。我们提出了\emph{Aegis}，一种新的网络保险模型，在该模型中，用户接受自己的损失恢复的一小部分\emph{(strictly positive)}，并将损失恢复的其余部分转移到网络保险机构。我们从数学上表明，在所有保费类型下，互联网用户都更喜欢Aegis合同而不是传统的网络保险合同。这一结果坚定地证明，当向用户提供Aegis合同时，传统的网络保险市场不存在。
2011-07-24 cs.CR
Optimisation of cyber insurance coverage with selection of cost effective security controls
提出一种帮助规避风险组织分配网络安全投资的方法，通过选择最具成本效益的安全控制措施来优化保险与自我防护的投资，并提供精确算法解决多威胁下的控制选择问题。
2025-03-04 cs.CR
Cyber-Insurance in Internet Security: A Dig into the Information Asymmetry Problem
互联网用户，如个人和组织，受到不同类型的流行病风险，如蠕虫，病毒，垃圾邮件和僵尸网络。为了降低风险的可能性，互联网用户通常投资于传统的安全机制，如防病毒和反垃圾邮件软件，有时也称为\emph{self-defense}机制。然而，根据安全专家的说法，这种软件（及其后续的改进）并不能完全消除风险。最近的研究工作考虑了剩余风险消除的问题，提出了\emph{cyber-insurance}的想法。在这方面，一个重要的研究问题是解决与网络保险合同相关的信息不对称问题。在本文中，我们提出了\emph{three}机制，以解决信息不对称的网络保险。我们的机制是基于微观经济理论中的\emph{Principal-Agent}（PA）模型。我们发现：（1）最优网络保险合同诱导我们的机制只提供部分覆盖的被保险人。这确保了后者为保护其计算系统而做出更大的自卫努力，这反过来又提高了整体网络安全性，（2）每个网络用户合同的免赔额水平随着用户的拓扑程度以凹进的方式增加，以及（3）在有效的机制设计下，可以使网络保险市场在存在垄断保险公司的情况下存在。我们的方法是适用于任何分布式网络的情况下，网络保险的框架可以实现。
2012-02-04 cs.CR
On the Role of Risk Perceptions in Cyber Insurance Contracts
风险认知在网络保险合同中至关重要。随着最近信息的激增，人类的风险感知受到有益知识和假新闻的影响。在本文中，我们研究了网络保险合同中保险人和用户的风险认知的作用。我们将网络保险问题转化为一个委托代理问题，保险公司设计包含保费支付和保险计划的合同。保险公司和用户的风险感知是通过连贯的风险度量来捕捉的。我们的框架扩展了网络保险问题，包含一个风险中性的保险公司和一个可能的风险厌恶的用户，这是经常被认为是在文献中。保险公司和用户的风险认知的明确特征使我们能够表明，网络保险有可能激励用户在系统保护上投入更多。这种增加网络安全的可能性依赖于这样的事实，即保险公司比用户更厌恶风险（在最小化设置中），并且保险公司的风险感知对用户行为的变化比用户自己更敏感。我们调查的财产可行的合同的案例研究的保险计算机系统对勒索软件。
2022-10-26 cs.CR cs.GT
Pricing cyber-insurance for systems via maturity models
针对网络保险历史数据有限、现有精算方法难适配的问题，研究提出由实体关系图、安全成熟度模型和经济模型组成的社会经济建模框架，可支撑网络保险定价与从业者风险共识，支持用户选择系统描述的抽象层级。
2023-10-04 cs.CR econ.GN q-fin.EC
From Physical to Cyber: Escalating Protection for Personalized Auto Insurance
如今，汽车保险公司根据直接从客户汽车收集的数据设定个性化保险费率。在本文中，我们展示了这种个性化的保险机制-被许多汽车保险公司广泛采用-很容易被利用。特别是，我们证明了对手可以利用现成的硬件来操纵数据到设备，该设备收集驾驶员的保险费率定制习惯，并获得欺诈性的保险折扣。为了应对这种类型的攻击，我们还提出了一种防御机制，以增强对保险公司数据汇集的保护。该机制的主要思想是增强保险公司的数据汇集设备，使其具有收集从物理世界获取的不可伪造数据的能力，然后利用这些数据来识别被操纵的数据点。我们的防御机制利用了建立在未经操纵的数据上的统计模型，并且对以前没有预见到的操纵方法具有鲁棒性。我们已经实现了这种防御机制作为一个概念验证原型，并在现实世界中测试其有效性。我们的评估表明，我们的防御机制表现出0.032的假阳性率和0.013的假阴性率。
2017-05-23 cs.CR
Post-Incident Audits on Cyber Insurance Discounts
我们引入了一个博弈论模型来研究网络保险投保人之间的战略互动，其保费取决于她的自我报告的安全级别和保险公司的权力，审计的安全级别后收到的赔偿要求。审计可以发现欺诈（或只是粗心）投保人不遵守报告的安全程序，在这种情况下，保险公司可以拒绝赔偿投保人。然而，即使投保人已遵守规定的安全程序，保险公司也必须承担审计费用。由于审计可能是昂贵的，保险公司面临的一个关键问题是设计一个审计策略，以阻止投保人歪曲他们的安全级别，以获得保费折扣。这个决策问题的动机是对承销商进行采访和审查美国的监管文件;我们发现保费是由投保人的保安情况决定，但这往往是投保人自行申报的，保险公司关注的是投保人是否按照投保人申报的那样执行保安程序。为了解决这个问题，我们将这种相互作用建模为不完全信息的贝叶斯博弈，并考虑投保人可能歪曲她的安全级别的可能性，为保险公司设计最优审计策略。据我们所知，这项工作是网络安全中事后索赔管理的第一个理论考虑。我们的模型捕获的激励之间的权衡，夸大安全态势在应用程序的过程中，不遵守报告的安全政策的惩罚的可能性。模拟表明，常识技术在提供有效的网络保险审计决策方面不如使用博弈论计算的那样有效。
2019-08-13 cs.CR
Privacy-preserving Blockchain-enabled Parametric Insurance via Remote Sensing and IoT
School of Computing, Australian National University（澳大利亚国立大学计算学院）；Faculty of Information Technology, Monash University（莫纳什大学信息技术学院）；Data61, CSIRO（CSIRO数据61）
本文提出基于简洁零知识证明的隐私保护参数保险框架，通过零知识证明验证保险索赔的有效性和数据源真实性，提升透明度和效率，同时降低Gas成本80%。
2025-08-14 cs.CR cs.NI
The Impact of Secure OSs on Internet Security: What Cyber-Insurers Need to Know
近年来，研究人员提出了\emph{cyber-insurance}作为一个合适的风险管理技术，以提高安全性，在互联网一样的分布式系统。然而，除其他因素外，保险公司和被保险人之间的信息不对称，以及网络风险的相互依赖和相关性，在很大程度上导致了网络保险市场的失败。安全专家支持操作系统（OS）平台切换（例如，从Windows到基于Unix的操作系统）或安全采用操作系统作为可能缓解对成功的网络保险市场构成挑战的问题的技术之一。在这方面，我们使用\emph{social gossip}机制对操作系统平台切换动态进行建模，并研究了与动态性质相关的三个重要问题，用于类似互联网的分布式系统：（i）网络保险公司应针对哪种类型的网络进行保险？，(ii)网络的渐近性能水平的界限是什么，其中性能参数是长期个体用户采用安全操作系统意愿的平均函数？以及（iii）网络保险公司如何在提供合同期间使用其客户的拓扑信息来激励/奖励他们？我们的分析对于一个以盈利为目的的网络保险公司来说非常重要，他们希望瞄准正确的网络，设计最佳的合同来解决信息不对称问题，同时通过增加用户对安全操作系统的采用来促进整体网络安全性的提高。
2012-02-04 cs.CR
Building Resilience in Cybersecurity -- An Artificial Lab Approach
基于经典传染模型构建复杂网络系统的数字孪生体（人工网络实验室），通过数值案例研究识别出安全性与拓扑结构两类系统性网络风险控制措施，并探讨其在保险与监管实践中的应用。
2023-09-07 cs.CR cs.SI cs.SY
Cyber Risk Assessment for Capital Management
本文提出融合保险频率—严重程度模型与网络安全级联模型的双支柱框架，用于网络风险评估与资本配置，并通过案例和敏感性分析揭示预算约束下最优策略的关键影响因素。
2025-01-09 cs.CR math.OC q-fin.RM
On Cyber Risk Management of Blockchain Networks: A Game Theoretic Approach
基于工作量证明协议的开放访问区块链因其为数据驱动的自治组织提供分散的防篡改分类账和平台的能力而受到极大的欢迎。然而，基于工作量证明的共识协议很容易受到网络攻击，如双重支出。在本文中，我们提出了一种新的基于区块链服务的网络风险管理方法。特别是，我们采用网络保险作为一种经济工具，用于中和区块链网络中攻击造成的网络风险。我们考虑一个区块链服务市场，它由基础设施提供商、区块链提供商、网络保险公司和用户组成。区块链提供商从基础设施提供商购买，例如，一个云，计算资源来维护区块链共识，然后向用户提供区块链服务。区块链提供商制定其对基础设施的投资和向用户收取的服务价格，以提高区块链的安全性，从而优化其利润。与此同时，区块链提供商还从网络保险公司购买网络保险，以保护自己免受攻击造成的潜在损害。作为回报，网络保险公司根据区块链服务的感知风险水平调整保险费。基于市场主体理性的假设，我们将区块链提供商、用户和网络保险公司之间的互动建模为两级Stackelberg博弈。也就是说，区块链提供商和网络保险公司领导制定他们的定价/投资策略，然后用户跟随确定他们对区块链服务的需求。具体来说，我们考虑的情况下，双重支出的攻击，并提供了一系列的分析结果Stackelberg均衡的市场博弈。
2019-05-12 cs.CR cs.GT
Accountability and Insurance in IoT Supply Chain
供应链安全已成为物联网（IoT）系统安全风险分析中日益关注的问题。它们高度连接的结构显著扩大了攻击面，使得难以追踪恶意或受损供应商构成的风险来源。本章提出了一个系统科学的框架来研究物联网供应链中的问责制，并提供了一个全面的风险分析技术和社会经济。我们开发程式化的模型和定量方法来评估供应商的责任。两个案例研究被用来说明问责制措施的情况下，单一和多个代理。最后，我们提出了合同设计和网络保险作为减轻供应链风险的经济解决方案。它们是鼓励供应商讲真话并促进对买方进行可靠的问责调查的激励相容机制。
2022-01-27 cs.CR
An Adversarial Risk Analysis Framework for Cybersecurity
网络威胁影响着所有类型的组织。风险分析是网络安全的重要方法，因为它允许组织处理可能影响他们的网络威胁，优先考虑其资产的防御，并决定应该实施什么样的安全控制。许多风险分析方法存在于网络安全模型、合规框架和国际标准中。然而，其中大多数采用风险矩阵，其缺点可能导致次优的资源分配。我们提出了一个全面的网络安全风险分析框架，涵盖了对抗性和非故意威胁的存在，并将保险作为安全组合的一部分。一个案例研究说明了拟议的框架，作为模板，更复杂的情况下。
2019-03-18 cs.CR
Duopoly insurers' incentives for data quality under a mandatory cyber data sharing regime
研究强制数据共享政策对网络保险市场的影响，通过古诺双头垄断竞争模型揭示强制共享可能导致保险人减少数据质量投资，引发对强制共享优点的担忧。
2023-05-29 cs.CR cs.GT econ.TH
Cyber Risk Taxonomies: Statistical Analysis of Cybersecurity Risk Classifications
针对网络风险分类的样本外预测有效性研究不足的问题，采用滚动窗口与阈值加权评分方法对比多类分类器，发现动态影响型分类器预测损失更优，业务导向分类过于局限，为网络风险管理与保险定价提供参考。
2024-10-04 cs.CR q-fin.RM q-fin.ST
On the evolution of data breach reporting patterns and frequency in the United States: a cross-state analysis
本文通过分析美国八个州的数据泄露强制通知数据，控制数据收集标准与报告模式差异，估计IBNR并揭示各州网络风险频率趋势的共性与差异，发现2020年后泄露频率上升且报告延迟延长，为网络保险提供参考。
2024-06-30 cs.CR q-fin.RM
Turning Internet of Things(IoT) into Internet of Vulnerabilities (IoV) : IoT Botnets
物联网（IoT）是互联网世界的下一个重大发展步骤。物联网背后的主要意图是在不同的生活水平上实现更安全的生活和风险缓解。随着物联网僵尸网络的出现，人们对物联网设备的看法已经从增强生活的推动者转变为网络犯罪分子的互联网漏洞。物联网僵尸网络暴露了两个不同的突出问题，1）大量的物联网设备可以通过公共互联网访问。2)安全性（如果考虑的话）通常是许多广泛的物联网设备架构中的事后考虑。在本文中，我们简要概述了物联网僵尸网络的解剖及其基本操作模式。将讨论最近使用物联网僵尸网络的一些主要DDoS事件以及相应的漏洞。我们还提供了缓解物联网相关网络风险的补救措施和建议，并简要说明了网络保险在现代互联世界中的重要性。
2017-02-13 cs.CR cs.NI
The Insurability Frontier of AI Risk: Mapping Threats to Affirmative Coverage, Silent Exposures, and Exclusions
Munich Re（慕尼黑再保险）；Armilla；Tokio Marine Kiln（东京海上日赤保险）；CFC；Apollo ibott；Coalition
本文研究了AI风险在商业保险中的可保险性边界，通过分析55类AI威胁与26种保险产品和排除制度，揭示了四个层次的可保险性前沿：积极保险的风险、沉默AI暴露、主动排除的风险以及传统私人保险结构之外的风险。
2026-06-15 cs.AI cs.CR cs.CY
