字級
網絡安全與人工智能保險：產品與保障結構
一句總結：**「網絡保險」不是一款產品，而是一組產品的統稱。**同樣叫網絡保險的保單，在保障範圍、子限額與不保事項上可以差異極大。本頁把香港市場上實際存在的四類產品與保障結構拆開說明，方便你在核保與續保時知道要問什麼。
本頁最後更新：2026 年 10 月 1 日｜資料採集日期：2026 年 10 月 1 日
一、先分清四種不同的產品
市場上常被混為一談的四類產品，實際上處理不同的風險：
| 產品 | 保什麼 | 典型投保對象 | 與其他產品的關係 |
|---|---|---|---|
| 網絡保險（網絡責任及第一方損失） | 資料外洩、勒索軟件、系統中斷、網絡詐騙所引致的自身損失與對第三方的責任 | 持有客戶資料、依賴網絡營運的企業 | 與商業綜合保險、公眾責任保險互相補位，並不重疊 |
| 科技責任保險（Technology E&O） | 因提供科技產品或服務的疏忽、錯誤或遺漏，導致客戶蒙受財務損失 | 資訊科技公司、系統整合商、軟件供應商、科技顧問 | 屬專業責任保險的一種，處理「服務做錯」而非「系統被打」 |
| 獨立人工智能責任保險 | AI 系統的輸出、決策或行為引致的第三方損失，包括 AI 幻覺、模型表現退化、演算法偏差 | 使用或部署 AI 的機構（多於開發者） | 用於填補一般責任保險與專業責任保險的 AI 排除條款所造成的空白 |
| 嵌入式微保險 | 針對單一技術應用場景（例如機械人、電動車隊）的維修成本與自負額補償 | 透過供應商採購該技術的企業 | 直接嵌入採購流程，不經傳統企業保險投保程序 |
為何要分清這四類？ 因為企業最常見的誤解，是「我買了科技責任保險，所以 AI 出錯也會賠」。科技責任保險處理的是你作為服務提供者的疏忽；如果你的企業只是使用 AI（例如用 AI 回覆客戶、生成行銷內容），風險落在另一邊，需要的是網絡保險的 AI 條款或獨立的 AI 責任保險。
二、保障結構：第一方、第三方與應變服務
一份完整的網絡保險通常由三部分組成。只買其中一部分，是中小企最常見的保障缺口。
2.1 第一方保障（企業自身的損失）
| 保障項目 | 內容 |
|---|---|
| 事故應變費用 | 數碼鑑證調查、法律意見、公關與危機管理、通知受影響人士的成本 |
| 營業中斷損失 | 系統離線期間的收入損失，以及為維持營運而產生的額外開支 |
| 資料復原與系統修復 | 還原資料、重建系統、清除惡意軟件的成本 |
| 勒索軟件相關費用 | 部分保單涵蓋贖金，通常須經法律審查與保險公司事前批准，並設獨立子限額 |
| 監管調查費用 | 就私隱專員公署或行業監管機構的調查提供法律抗辯費用 |
2.2 第三方責任保障（企業對他人的責任）
| 保障項目 | 內容 |
|---|---|
| 客戶與業務夥伴索償 | 因其資料在你的系統中外洩而提出的索償、和解金額與法律費用 |
| 監管罰款與調查 | 在法例允許的範圍內，就監管機構的調查與罰款提供保障（此項差異極大，須逐份核對） |
| 資料外洩通知成本 | 通知受影響人士的法定與實務成本 |
| 聲譽與危機處理 | 部分保單涵蓋事故後的聲譽修復支出 |
2.3 應變服務（最常被低估的部分）
多數網絡保單除了賠錢，亦提供事故發生後的專業支援服務——通常是二十四小時熱線，接駁至處理過大量事故的鑑證、法律與公關團隊。
對沒有內部資訊安全團隊的企業而言，這項服務的價值往往高於賠款本身：在事故最初數小時作出正確決定，決定了事件是被控制住，還是演變成危及營運的危機。
三、觸發點：「事故」而不是「賠償」
這是網絡保險與傳統責任保險之間最重要的操作分別。
| 傳統責任保險 | 網絡保險 | |
|---|---|---|
| 觸發基礎 | 第三方提出索償 | 發生受保的網絡事故 |
| 何時啟動 | 收到索償通知後 | 事故被確認後（不必等對方索償） |
| 主要功能 | 賠付與抗辯 | 賠付＋即時應變支援 |
| 典型形式 | 索償為本（claims-made） | 索償為本，但加入事故通知機制 |
**實務上的分別是：**你可以因為一次勒索軟件攻擊而啟動保單（事故已發生，即使沒有人向你索償），也可以從第一時間就取得鑑證與談判支援。但反過來說，如果你沒有在保單要求的時限內通知保險公司，即使事故在保障範圍內，也可能影響賠付。
四、最常被忽略的四類不保事項
戰爭及國家行為
由戰爭或國家級行為者發動的網絡攻擊通常被排除。這是網絡保單之中最具商業影響的一項排除條款，歷史上曾引致大型爭議。條文的具體寫法差異極大。
投保前已知的情況
在保單生效前已經發生、或應當知道已發生的情況，一般不受保。若企業在投保時已存在未被發現的人侵，其後續損失可能被拒賠。
保安水平承諾不達標
部分保單訂明必須維持指定的保安控制（例如全面啟用多重認證）。若投保時聲明已實施而未做到，由該缺口引致的損失可能被排除。
商業電郵詐騙的子限額
因電郵被冒認而導致的轉帳損失，在不少保單中另設子限額，甚至需要另行購買犯罪保險或附加條款才會獲得保障。
其他須留意的限制包括：系統未及時修補已知漏洞、未按保安建議行事、人為故意行為，以及部分保單對「不當保安措施」的整體排除。
五、子限額與分層：保額不等於賠償上限
這是閱讀網絡保單時最容易出錯的一節。
text
總保額（例如 500 萬）
├── 事故應變與鑑證費用 ── 獨立子限額（例如 100 萬）
├── 營業中斷損失 ────── 獨立子限額（例如 150 萬）
├── 勒索軟件與贖金 ──── 獨立子限額（例如 50 萬）
├── 監管罰款與調查 ──── 獨立子限額（例如 50 萬）
└── 第三方責任 ──────── 獨立子限額（例如 200 萬）要點
- 子限額之間通常不可互相挪用。即使總保額是五百萬，若贖金子限額只有五十萬，超出的部分不會由其他子限額補上。
- 部分保單設有整體上限與單一事故上限的分別，兩者的實際保障能力差異很大。
- 須確認法律費用是否與賠償金額共用同一上限。若共用，一宗曠日持久的訴訟可以耗盡整個保額。
- 須確認墊底費（自負額）的結構：是「每宗事故」還是「保單年度」計算。
六、香港市場的產品生態
香港的網絡保險與 AI 相關保障，由四類市場參與者提供：
| 類型 | 說明 |
|---|---|
| 國際保險集團 | 具備全球網絡保險承保能力，產品多用於跨國企業與大型項目的分層安排 |
| 專業網絡保險承保人 | 以網絡風險為核心業務，條款設計較貼近技術現實，部分專門服務中小企 |
| 虛擬保險公司與保險科技公司 | 以數碼流程處理投保與核保，產品標準化，適合中小企與初創 |
| 勞合社承保代理與專業保險公司 | 就新型風險（例如 AI 責任）以個別設計的保單承保，市場仍在早期階段 |
市場人士亦提及，香港設有專門網絡保險業務的保險經紀行；由於網絡保險的條款差異大，經由具備技術風險經驗的中介安排，通常比直接比較價格更有效率。
關於 AI 相關保障的市場現況（截至 2026 年 10 月）
- 有香港市場的虛擬保險公司已把 AI 相關的網絡風險納入網絡保險產品範圍。
- 有國際保險集團與保險科技公司合作，以嵌入式微保險形式承保機械人應用的維修成本與自負額。
- 獨立的人工智能責任保險產品，現階段主要見於美國及勞合社市場，並非香港市場的現成產品。
- 同時，部分保險公司在商業保單上加入 AI 排除條款。同一市場之內，對 AI 風險的處理方向並不一致。
編採筆記
本頁不列出個別保險公司或產品的名稱比較，亦不作評價、排名或推介。原因是網絡保險的條款差異極大，同一公司不同時期的版本亦可能不同；有意義的做法是針對你的實際情况逐份核對條款，而不是看一份橫向比較表。
七、核保：保險公司通常會問什麼
網絡保險的核保問題，本身就是一份實用的風險清單。企業在投保前宜先備妥以下資料：
| 範疇 | 保險公司通常查詢的內容 |
|---|---|
| 資料資產 | 持有哪類個人資料、涉及多少人的紀錄、是否有敏感或財務資料 |
| 系統與架構 | 雲端或自建、關鍵系統清單、是否有單點故障 |
| 存取控制 | 多重認證的覆蓋範圍、特權帳戶管理方式、離職員工的帳戶處理 |
| 備份與復原 | 備份頻率、是否離線或不可變備份、復原時間目標 |
| 保安營運 | 是否有專責人員、外判情况、日誌與監測能力、漏洞修補流程 |
| 事故應變 | 是否有書面應變計劃、過去三年是否有事故或索償紀錄 |
| 供應鏈 | 關鍵供應商清單、是否評估其保安能力、合約是否包含保安條款 |
| AI 使用 | 是否使用 AI 工具、用途、是否輸入個人或機密資料、有無使用政策與人工覆核機制 |
最後一項是 2026 年的新常態。 保險公司在核保時查詢 AI 使用情况，是因為它同時影響網絡風險（AI 被用作攻擊途徑）與責任風險（AI 輸出造成損失）。
八、常見誤解
常見誤解
「我們公司太小，黑客不會看中我們。」 攻擊者傾向選擇防禦較弱、仍持有有價值資料或現金流的目標。香港的調查數據顯示，中小企的網絡安全事故發生率並不低於大型企業，而專職保安人員與基本控制措施的採用率明顯較低。規模小不是保護，只是代表你更依賴運氣。
常見誤解
「買了商業綜合保險，就包含了網絡風險。」 傳統商業保險的財產與責任保障是為實體世界而寫。資料外洩、系統中斷、網絡詐騙等損失，一般需要在保單中以獨立條款或附加保障處理。近年部分保單更明確加入 AI 排除條款。
常見誤解
「保額買大一點就夠了。」 保額是上限，子限額才是實際可動用的金額。一份總保額五百萬但贖金子限額只有五十萬的保單，在勒索軟件事故中的實際保障能力，遠低於表面的數字。
常見誤解
「供應商出事，責任在供應商，與我無關。」 若外洩的是你客戶的個人資料，通報責任與客戶索償責任通常仍落在你身上，之後才由你向供應商追討。這是香港近期實際發生過的事故類型，也是需要確認保單是否涵蓋「第三方供應商引致損失」的原因。
相關內容
- 網絡安全與人工智能保險（專區首頁）
- 承保公司比較（企業方案） —— 本頁不點名公司，需要逐家產品對比請往該頁
- 香港新聞動態
- 教育專頁：八個單元的深入教學
- 商業與展覽保險
- 保險詞典