Jemmy
本文翻译于 D&ODiary 在 1 月 28 日的一篇文章，作者 Kevin M.LaCroix，原文请点击文尾“阅读原文”，译文如下：
全球保险市场最关注的领域之一应该算保险人面临的来自“silent cyber”（即在传统保单下网络安全相关损失的保障范围并不是专门为弥补网络损失而设计的）的潜在风险。
在最近的一起保险保障范围纠纷的裁决中，一家小企业在遭受勒索软件造成的损失后寻求保险赔偿，马里兰州联邦法院法官依据马里兰州法律，裁定该公司的企业所有人保单（Business Owner’s Policy）应该赔偿该公司遭受的损害。
该裁决强调潜在保障范围对传统保单下遭受网络安全损失的公司是有效的。如下所述，该裁决中有许多有趣的特征。
编者按：Business Owner's policy(如下简称 BOP 保单）是北美市场常见的企业保险组合，将财产险，营业中断险，商业综合责任保险等常见的企业保险打包而成的保险产品。
1
背景
National Ink and Stitch LLC 是一家刺绣和屏风印染公司。在 2016 年 12 月，其计算机服务器和联网计算机遭到勒索软件的攻击。
此次攻击使得该公司无法在其服务器上访问其全部美术文件和其他数据，也无法使用所有的软件。
该公司支付了袭击者要求的比特币赎金，但是随后袭击者提出了更高的支付要求。
当时，该公司雇请了一家安全公司来替代并安装软件，还安装了防护性软件。
正如法院后来所说，“最后即使原告公司的电脑仍可以运作，但安装保护性软件降低了系统速度并导致了效率的降低。”
那些原来主要存在服务器中的文件仍然无法访问。电脑专家证明公司服务器上可能仍有勒索软件病毒的存留，这可能“再次感染整个系统”。
为了消除进一步感染的风险，该公司准备“删除”整个系统并重新安装所有的软件和信息，或者购买全新的服务器和组件。
2016 年 12 月，National Ink and Stitch 向其 BOP 保险人提起了索赔。然而，该保险人拒绝保障更换整个系统的成本费用，辩称该公司的计算机系统并没有遭受在该保单下更换整个系统的赔偿所要求的“直接物理损失或损害”（Direct Physical loss of or damage to）。
National Ink and Stich 向其保险人发起了诉讼。双方提起了 cross-motion 以做简易审判（Summary judgement）。
2
相关保单条款
保单在相关部分中规定，保险人“将为在声明中所述场所因任何保障范围内的损失原因引起的承保财产的直接的物理损失或损害进行支付。”
该保单的特殊形式计算机保障范围批单中明确定义“承保财产”包括“电子媒体和记录（Electronic Media and Record）（包括软件），”，
并且定义“电子媒体和记录”包括：
电子数据处理，记录或储存媒介，例如胶卷，磁带，光盘，鼓（drums）和电池（cells）;
储存在此类媒介中的数据。
3
2020 年 1 月 23 日判决
在 2020 年 1 月 23 日的判决中，马里兰州法官 Stephanie Gallagher 批准了 National Ink and Stich’s 的简易审判动议并驳回了保险人的 cross-motion。
在简易审判中，保险人辩称由于 National Ink and Stitch 仅丢失数据，这是一种无形资产（Intangible asset），并且遭到网络攻击后公司仍然可以使用其计算机系统来经营业务，公司并未遭受保单所要求的“直接物理损失”（Direct physical loss）。
National Ink and Stitch 称，由于保单明确规定计算机数据和软件是受限于“直接物理损失”的“承保财产”，并且计算机系统本身遭受的功能损失形式的持续损害方有权受到保障。
Gallagher 法官得出结论，National Ink and Stitch 有权在该保单下基于计算机系统的数据和软件损失以及计算机系统本身的功能损失获得赔偿。
在得出 National Ink and Stitch 有权基于数据和软件的损失获得赔偿的结论时，Gallagher 法官指出保单和保险人的解释说明中存在“内在矛盾”。
因为该保单明确将电子媒介和记录（以及软件）作为“承保财产”，而根据保险人的说法，软件和数据的损失无法受到保障的原因是他们是无形的资产。
Gallagher 法官援引先前的判例指出：“保单条款和定义中的通俗易懂的语言表明此类财产是能够持续的遭受‘物理’损失。”
Gallagher 法官进一步说计算机系统保留了一些有限的功能的事实并不能阻止法院得出公司遭受了物理损害的结论。
更具说服力的论据为，“使用能力的缺失，准确性的缺失，或者功能受损体现了对计算机系统所规定的损害，与保单语言中的‘物理损失或损害’一致。”她指出，实际上，“在许多情况下，计算机即使没有完全不能运行也可能遭受‘损失’。”
Gallagher 法官说，National Ink and Stitch 的数据和软件遭受了持续损失，只留下可能藏有潜在病毒并且无法获得软件和储存数据的重要部分的变慢的系统。
由于“保单的通俗易懂的语言表明为此类损失和损害提供保障，故作出即决判决支持原告对保单条款的解释。”
4
案例讨论
Gallagher 法官的裁决在此保险范围的争议中具有重大意义，因为她确定了 BOP 保单下对勒索软件病毒相关的损失的保障。
因为北美大多数小型企业几乎都购买了 BOP 保障，所以法院的裁决为小型企业所有人在遭受此类损失时提供了可寻求的重要潜在途径。
值得注意的是，正如 2020 年 1 月 17 日在 Law 360 中一篇关于裁决的文章里所强调的，该诉讼“标志着法院第一次直接判决了与勒索软件事件相关成本的保障有效性问题。”
根据 2020 年 1 月 27 日在 Hunton Insurance Recovery Blog 上的一篇文章，该裁决的重要性在于该诉讼“表明被保险人即使没有专门的网络保险保单，也能就网络攻击获得保险保障。”
根据 Law 360 上的文章，像 BOP 保单这样的传统保险保单可能为此类损失提供保障的可能性也似乎证实了保险行业“对法院可能解释传统保单保障此类风险的担忧”。Law 360 上的文章特别引用 Gallagher 法官裁决作为“silent cyber”的一个实例。
从我的角度而言，考虑到保险人的论点，保险人似乎试图对保障范围提出异议，好像该保单中并未包含特殊类型计算机保障的批单以明确定义“承保财产”包括“电子媒体和记录（包括软件）”并进一步规定电子媒体和记录明确包括“此类媒体上储存的数据”。
我并不擅长财产保险保障范围以及可能更多方面的内容，但是鉴于该保单的明确条款，在我看来，保险人总是很难辩称该公司的受损数据和软件不是“承保财产”，并且鉴于该保单明确保障“物理损失”，但是对于承保财产的遭受的“损害”，也很难辩称该公司必须体现计算机系统的完全破坏才能挽回其损失。
正如 Hunton Insurance Recovery Blog 中指出的，该判决具有重大意义，因为它表明“为获得保险保障，被保险人不需要完全停业。”功能的降低“足以触发保障。”
至少，该诉讼提醒我们网络保险保单可能不是网络攻击事件中的唯一可用的保险来源。保单持有人应该仔细考虑其所有的保单来决定从何处获得有效保障。
正如 Hunton 博客的文章中指出的，遭受网络安全事故的公司应该“仔细评估并考虑在所有的潜在保单下如何提起索赔。”
该博客的读者以及如今大部分的保险行业参与者，都很好地意识到了在传统保单下的潜在“silent cyber”风险对保险人而言如今已成为很大的担忧。
正如我在最近的一篇文章中所指出的，在许多备受关注的未决案件中，保单持有人在为传统保单下的网络相关损失寻求保障。
从他们的角度而言，保险人认为他们从未打算在这些“非肯定”的保单下承担网络相关损失。警惕此类损失的保险人可能会寻求修改他们的保单以试图避免承担网络相关索赔的保障。
因此，保单持有人以及他们的顾问应该如我最近的文章中所说的那样，对任何可能产生保障范围缩小的影响的保单变化保持警惕。
从保单持有人的角度来看，法院愿意在传统保单下为网络相关损失争取保障为公司提供了一定的安慰，即被保公司能够在经历此类损失时获得保障。但是我担心对保单持有人的这个好消息会被误解。
在我看来，公司基于例如此次的有利判决便得出公司不需要购买网络保险保单的结论是很大的错误。
网络保险保单对于网络风险暴露提供了更全面和更明确的保障。该保单同时提供第一方和第三方保单。
明智的保单持有人知道，为了在应对网络风险暴露时得到最好的保护，一份专门规划的网络保险保单是保险方案中不可或缺的一部分。
对该话题有疑问的保单持有人应该确保与其保险顾问就此进行了讨论，以便充分理解他们将如何得到最好的保护。
本号没有留言功能，可在下方留言或提问~