公司资料被锁、客户数据外泄：Cyber Insurance Singapore 中小企业指南
对新加坡 SME 来说，Cyber Insurance Singapore（新加坡网络保险）最需要回答的不是“会不会被黑”，而是事故发生后哪些账单会落到公司身上。
周一早上，一家 25 人的贸易公司发现订单系统打不开，员工电脑出现勒索提示，客户名单也可能被复制。老板第一反应通常是：“赶快找 IT 修好。”但真正的账单可能同时来自系统恢复、停业损失、律师与取证、客户通知，甚至后续索赔。网络保险不是替公司“挡住黑客”的防火墙，而是当受保网络事故发生后，为恢复运营、调动专业团队和处理责任提供资金与流程支持。
为什么小公司也不能假设自己“没人会攻击”
新加坡网络安全局（CSA）在 2026 年 6 月发布的《Singapore Cyber Landscape 2025/2026》中指出，2025 年收到 165 宗勒索软件事件报告，高于 2024 年的 159 宗，而中小企业是受影响最多的群体。批发零售、制造和建筑业合计占接近一半的本地勒索软件事件.
另一个更容易被误读的数字是：CSA 在新加坡观察到的受感染系统，由 2024 年的 117,300 个增至 2025 年的 284,300 个。这并不等于有 284,300 家公司遭攻击，但它说明攻击面正在快速扩大。便宜的恶意软件服务、没有更新的设备和默认密码，都可能让自动化攻击找到入口。
对 SME 来说，风险不只在“资料值不值钱”。攻击者也会看企业是否容易入侵、是否依赖系统才能开单收款，以及停机后是否承受不起时间压力。小公司资源较少，反而可能更难同时处理技术、法律、客户和现金流问题。
Cyber Insurance Singapore：网络保险到底在保什么？
不同保险公司的模块、定义、限额和除外责任并不相同。不过，从新加坡市场公开的保障说明来看，网络保险通常围绕四层成本设计。
第一层：事故响应费用
出事后的最初数小时，企业需要的往往不是一张赔款支票，而是一支知道先后顺序的团队。可能涉及：
- IT 取证，确认攻击入口、受影响系统和资料范围；
- 法律及数据保护意见，判断通知义务；
- 数据恢复和恶意软件清理；
- 客户通知、信用或身份监测；
- 危机沟通和声誉管理。
一些保单提供 24 小时事故响应热线，并指定律师、取证和公关供应商。这里最重要的问题不是“有没有热线”，而是：谁可以启动服务、哪些费用需要事前同意、是否有时间或金额上限。 如果企业先自行签下昂贵服务，之后才通知保险公司，未必能获得全额认可。
第二层：恢复系统与弥补营业中断
系统停摆时，公司可能一边继续支付工资和租金，一边失去订单。网络业务中断保障可能处理受保事件造成的收入损失和额外开支，数据恢复则处理重建、修复或重新收集数据的合理费用。
但“系统不能用”不等于自动获得赔偿。企业要看清四件事：触发原因是否属于受保事件、是否设有等待期、损失怎样计算，以及外包云服务商出问题是否包含在内。一般商业财产保险的营业中断，常以受保的实体财产损坏为前提；网络中断保障处理的是另一套触发逻辑，不能简单互相替代。
第三层：客户、合作方与监管责任
如果客户资料被未经授权访问，公司面对的可能不只是修系统。第三方可能主张隐私受侵害或经济损失，企业也可能需要处理律师费、抗辩费用和监管调查。网络责任保障常围绕保密义务、网络安全失误和相关第三方索赔设计，但能否承保罚款或处罚，要视法律是否允许及具体条款而定。
新加坡个人资料保护委员会（PDPC）的现行指引说明：如果数据泄露可能对个人造成重大伤害，或影响 500 人或以上，机构须评估是否需要通知。一旦判断事件属于须通报的数据泄露，应尽快并最迟在 3 个日历日内通知 PDPC；若可能对个人造成重大伤害，也可能需要通知受影响者.
这个“3 日”不是买了保险就由保险公司自动替你完成。企业仍要及时控制事件、保存证据、确认资料类型和人数，并由负责人作出判断。
第四层：网络勒索、诈骗和系统故障等附加模块
部分保单可能提供网络勒索、冒充诈骗、电脑犯罪、加密货币挖矿损失，或非恶意系统故障造成的中断保障。这些通常不是一句“全面网络保险”就能概括的项目。
尤其是赎金问题，不能理解成“黑客开价，保险就付款”。相关费用可能受保险公司事前同意、法律和制裁规定、限额、免赔额及事件处理程序约束。有些保单只承保调查和谈判费用；有些才在条件满足时考虑付款本身。企业也不应为了理赔而自行承诺或支付。
哪些情况最容易出现保障落差？
第一，事件在投保前已经存在或管理层已经知道。 既往事件和已知情况通常会被排除。
第二，购买的模块与实际风险不匹配。 企业依赖云端订单系统，却没有外包服务商中断保障；最担心电邮冒充转账，却只买了数据泄露责任。
第三，申报的安全措施与实际不一致。 投保问卷可能询问访问控制、备份、更新和事故响应。如果填写“已落实”，实际却没有执行，理赔时会产生严重争议。
第四，损失没有达到等待期或免赔额。 停机几个小时很痛苦，但是否进入保障范围仍要看条款。
第五，企业把保险当作安全措施的替代品。 CSA 的 Cyber Essentials 把恶意软件防护、访问控制、安全配置、员工、资产、数据、及时更新、离线备份和事故响应列为基础网络卫生。5 这些措施既能降低事故概率，也影响企业能否快速恢复和清楚说明风险。
出事后的顺序，比“有没有保险”同样重要
如果怀疑发生网络事故，可以先按以下顺序处理：
- 控制影响。 隔离受影响系统、停用被盗账号，但不要随意删除日志或重装设备。
- 启动内部响应。 通知负责人、DPO、IT、管理层和业务连续性团队。
- 尽快联系保险公司或经纪。 使用保单指定热线，确认可使用的律师、取证和公关供应商，以及费用授权方式。
- 评估资料与业务影响。 哪些系统、客户、员工和供应商受影响？是否仍在持续外泄？
- 判断通知义务。 依据 PDPC 指引记录判断过程；若须通报，注意判断后的 3 个日历日时限。
- 保留证据和费用记录。 包括时间线、日志、邮件、供应商报告、发票和业务损失资料。
这份顺序应在事故发生前写进应急计划，而不是等系统被锁后才从网上找电话号码。
SME 投保前可以先回答的 6 个问题
- 公司最不能停的系统是什么？停一天会损失哪些收入和额外费用？
- 保存了哪些客户、员工或付款资料？大约涉及多少人？
- 关键系统在公司内部，还是由云平台、软件供应商或外包商托管？
- 管理员、电邮和远程访问是否有合适的多重验证与权限控制？
- 是否有离线或隔离备份，并真正测试过恢复？
- 发生事故时，谁有权联系保险公司、批准供应商和决定通知客户？
回答不完整并不代表一定买不到保险。它更可能说明企业应该先补基本控制，再讨论保额、等待期、免赔额、地域范围和模块组合。
常见问题
网络保险和网络安全服务有什么不同？
网络安全服务侧重预防、检测和响应技术风险；网络保险是在约定事件发生后，根据条款承担合资格费用和责任。两者互补，不能互相替代。
有一般商业保险，还需要网络保险吗？
要看现有保单是否明确处理非实体损坏造成的数据恢复、网络中断、隐私责任和事故响应。不要假设“营业中断”四个字自动包括网络事件。
网络保险一定涵盖员工误点钓鱼邮件吗？
不一定。员工错误可能是事故入口，但最终是否受保，取决于事件定义、损失类型、已购买模块、申报情况和除外责任。
保额应该买多少？
没有适合所有 SME 的数字。可从最坏但合理的事故情景估算：响应团队费用、系统恢复、停机时间、客户通知、第三方索赔和供应商依赖，再结合现金流与免赔额承受能力。
最后，先把三个问题带回公司
网络保险不是为了制造恐慌，也不是为了给管理层一个“已经安全”的错觉。它真正的价值，是让企业在事故最混乱的时候，有更清楚的响应路径和可用资源。
在考虑方案前，先问：我们最不能停的系统是什么？哪些资料一旦外泄会影响客户？出事后的第一个电话要打给谁？如果这三个问题还没有答案，今天就值得安排一次内部风险检查。
涉及 PDPA 通报、网络事故、赎金、制裁或合同责任时，应向合资格法律、数据保护、网络安全及保险专业人士寻求针对具体情况的意见。
Important: The information and opinions in this article are for general information purposes only. They should not be relied on as professional financial advice. Readers should seek unbiased financial advice that is customised to their specific financial objectives, situations & needs. This advertisement or publication has not been reviewed by the Monetary Authority of Singapore.
Published By:
Katrina Cao Shaoxin曹少辛
大家好！我是Katrina，新加坡南洋理工大学研究生毕业，在会计、人事及运营领域深耕9年。这些年，我积累了丰富的行业经验，曾在对外贸易公司、零售业以及初创公司担任重要岗位。
如今，我是一名专业的理财顾问。我始终秉持“客户至上”的理念，致力于为客户提供个性化的资产与保险规划方案，帮助他们实现财务自由与财富增长。
我的专业领域包括：
- 外国人及新移民在新加坡的资产与保险配置。
- 出海出创企业的财产保险及员工福利配置。
我还热衷于教育，尤其推崇IB素质教育体系。我相信学习应从兴趣出发，在“玩中学”中激发孩子的求知欲与主动探索精神。希望与有相同理念的家长共同探讨教育经验，让孩子在快乐中成长。
欢迎来到我的博客，和我一起探讨财务规划及企业保险规划等话题！
CONTACT US
- 150 Beach Road #12-01/08, Gateway West Singapore 189720
- +65 62221889
- +65 62221019
- feedback@fa.com.sg
