保险公司的问卷有十二道题：一家香港公司在续保时学到的事

一句话总结： 香港中小企业的网络保险续保，正在从"签一页声明"变成"回答一份 IT 控制措施问卷"。问题很具体、可核查——多因素认证覆盖率、补丁节奏、设备管理、员工培训。真正难的通常不是技术，而是拿得出证据，以及说得清每一项由谁负责。

今年，在九龙一间办公室里，一位运营总监打开了公司网络保险的续保文件包，发现里面多了十二个月前没有的东西。去年续保只有一页：勾选、签名、交回经纪。今年是十二道题，每一道都要求提供一个具体的、可以核查的事实，说明这家公司的 IT 到底是怎么运作的。

这家公司是香港一家实验室与工业设备分销商——约七十名员工，一个九龙东办公室加一个小仓库，没有内部 IT 部门，只有一位"对电脑比较在行"的办公室主任，以及一家出了故障才来的外部供应商。这是一个复合情境，取材于香港同等规模企业反复出现的模式，而非某一家具名客户。但那份问卷的形态是真实的，第一次读到它时的不适感也是真实的。

下面要谈的，是每一道题真正在问什么、为什么这种规模的香港公司答不上来，以及当问卷关心的那四个领域不再是四笔各自为政的采购时，会发生什么变化。

为什么香港的网络保险续保越来越难过关？

简短的答案是：核保追上了理赔经验。网络保险曾有一段时间是轻量销售的——一页简短声明、一笔不高的保费，香港中小企业买它，很大程度上是因为客户或银行问了一句"你们有没有"。随着理赔数据累积——商业电邮诈骗、勒索软件、汇款欺诈，这些正是香港贸易与专业服务经济体大量产生的类型——保险公司开始更谨慎地为风险定价，而更谨慎地定价，意味着问更好的问题。

对香港中小企业来说，有三点让这个转变显得突兀。

第一，公司本身什么都没变。规模一样、业务一样、系统一样，续保却变难了。移动的是问卷，不是公司。

第二，这些问题现在被写成"可验证"的形式。"贵公司是否已采取适当的安全措施？"任何人都能自信地答"是"。"贵公司有多少比例的用户账户强制启用了多因素认证？在哪些系统上？"就不行了。后者是一个数字，你要么有，要么在猜。

第三，是香港特有的企业形态。填这份表的公司，很多是四十到一百人、盈利良好、做事认真，但完全没有 IT 部门。他们的 IT 是一个混合体：一家出故障才来的供应商、一套云端会计软件、Microsoft 365、几台上次搬办公室之后就没人碰过的旧服务器，以及新旧不一的员工笔记本。没有任何一个人的岗位职责，是知道第七题的答案。

还有一点值得说清楚：这一切并不是香港特有的监管要求。这份问卷是保险公司的商业文件，不是监管机构强加的合规义务。它真正重叠的，是任何处理个人资料的香港企业都熟悉的那种一般性期望——机构应当能够说明并证明自己如何保护受托管理的信息。保险公司问的，其实和大客户采购团队会问的、银行开户文件会问的、资料保障审视会问的，是同一个问题的不同版本。把它答好，用处不止一处。

那十二道题真正在问什么

单看每一道题，它像一次技术审计。合起来看，它们聚成四个领域——而"聚成四类"这件事本身才是有用的部分。

身份与访问。 电邮是否强制多因素认证？远程访问呢？管理员账户呢？离职员工的账户是否已停用，多久内停用？问卷通常从这里开始，因为很大一部分理赔的起点，就是被盗用的凭据。

补丁与漏洞管理。 关键安全更新多快会套用到服务器、工作站和网络设备上？有没有成文的节奏？有没有系统还在跑已经不再获得安全更新的操作系统？做过外部漏洞扫描吗？什么时候做的？

设备与数据。 公司设备是否加密？笔记本或手机遗失、被盗时能否远程抹除？员工是否用私人设备收公司邮件？如果是，套用了哪些控制？有没有备份？测试过吗？是否有一份副本，是入侵内网的攻击者也够不到的？

人。 员工是否接受安全意识培训？多久一次？在放款之前，变更银行账户信息有没有一套成文的核实流程？

情境中的这位运营总监，十二题里有四题能自信作答；另外四题能答"我想是有的，但我需要去确认"；剩下四题完全答不上来——不是因为公司疏忽，而是因为从来没有人被要求提供那个具体事实，办公室里也没有任何一套系统，是为了随时产出这个事实而设置的。

*我们大概有做* 和 *这是我们有做的证据* 之间的这道缝隙，才是这份问卷真正的主题。

当没有人对答案负责时，会出什么问题

有三种失败模式反复出现，而且没有一种是"公司不上心"。

"这个我们应该有做"

多因素认证是最清楚的例子。大多数用 Microsoft 365 的香港中小企业，都为*一部分*用户开了 MFA——常常是董事，常常是在听说某家熟人公司出事之后。至于是否每一个账户都强制启用，包括财务在用的共享邮箱、以及三月离职那位同事的账户，那是另一个问题。诚实的答案往往是"大部分人应该有吧"。在一份要求填百分比的表格上，这不是一个可用的答案；而为自己没有核实过的事情作出声明，本身就是一种敞口。

为了答一道题去买一个点状方案

问卷问到漏洞扫描。于是有人买了一个扫描订阅，跑了一次，存下 PDF，连同续保文件一起归档。这道具体的题现在能答了。底下那道缝隙——没有人在读输出、排优先级、动手修复——原封不动，而明年的问卷会换一个略有不同的问法，这笔采购覆盖不到。

这是最贵的一种模式，因为它会累积。三次续保下来，一家公司可能同时握着一个扫描工具、一个培训平台、一份设备管理授权和一个补丁代理，全部分开买、全部只部署了一半、全部来自不同供应商开的发票，而且没有任何一个视角能看出它们究竟有没有在起作用。花的钱是真的，证据还是薄的。

没有人同时负责这四个领域

在一家小型香港公司里，身份、补丁、设备、人分散在不同人手上——或者根本没人管。外部的故障维修供应商管服务器。办公室主任管新人入职。培训归人力资源，有空的时候做。结果是：没有任何一个人能对着这十二道题，拿着证据说清楚公司的真实状况。这份问卷考的其实不是安全控制，而是有没有人在负责这些控制。

读这份问卷的正确方式

面对十二道题和一个续保死线，本能反应是"把这张表应付过去"。更有用的做法，是把它当成一份对照清单，去核对公司实际拥有什么——因为保险公司问的那四个领域，几乎正好就是一份持续性的托管 IT 安排本来就应该覆盖的四个领域。

这不是巧合。保险公司收敛到这些问题，是因为这些控制与理赔相关。托管 IT 服务商收敛到同一批控制，是因为这些正是能挡住"晚上十一点打来的紧急电话"的那些。这份问卷，实际上是一个局外人对"日常 IT 运作做得称职是什么样"的总结。

于是决策被重新框定了。问题不是"死线前怎么把第七题答出来"，而是"接下来由谁持续负责身份、补丁、设备和培训，好让明年这件事是跑一份报表，而不是熬过一场混乱"。

对一家七十人的香港公司来说，诚实的答案很少是"招一个人"。一位 IT 经理没办法同时覆盖 MFA 策略、全端点的补丁节奏、移动设备管理、员工培训计划，外加"让办公室今天能正常运转"这份本职工作。这是范围问题，不是努力程度的问题。

实际操作起来是什么样

把一份续保问卷认真走一遍，通常分四个阶段——其中只有一个阶段涉及买东西。

逐条对照现实。 不是"我们有没有 MFA"，而是"把显示哪些账户已强制启用的报表调出来"。不是"我们有没有打补丁"，而是"给我看上个月的补丁合规率"。多数公司会发现，自己在两三题上比原本担心的要好，在另外一两题上比原本以为的要差。这一步的价值在于准确，不在于安心。

只补上查出来的具体缺口，而不是做一次笼统的安全升级。 如果结论是"MFA 已覆盖八成账户，剩下的是服务账户和共享邮箱"，那要做的是把这次推行收尾并把例外记录在案，而不是换掉整套身份平台。如果结论是"想起来才打补丁"，那要做的是建立节奏和每月合规报表。托管补丁管理每端点每月 3 美元起、含每月合规报表，存在的意义正是让"你们多快打补丁"背后有一个数字，而不是一种印象。

让这些常态化的控制，经得起人员流动。 移动设备与 BYOD 管理是这个规模的公司最常见的缺口，因为它确实是一项附加服务，而不是 Microsoft 365 默认就会做的事——设备注册、强制加密、遗失设备的远程抹除，以及在私人手机上划出工作配置文件的边界，让公司数据可以被移除而不碰到员工的照片。安全意识培训按托管式活动来跑（每用户每月 2.5 美元起），而不是一年放一次幻灯片，既得到一支更有准备的财务团队，也得到一份参与记录。外部漏洞扫描按计划执行（每月 150 美元起），并且有人真的在读输出、把它变成修复清单，这才是诚实地回答扫描那道题，而不是装饰性地回答。

把文档放在随时能交给经纪的地方。 做这些工作的意义在于：明年的续保是一个文件夹，而不是一场救火——MFA 覆盖率报表、补丁合规摘要、含加密状态的设备清单、培训参与记录、最近一次扫描以及针对它做了什么。一家真正在运行这些控制的托管服务商，会把这些证据当作运行的副产品产出来。

有一点必须直说：以上都不是保险或法律意见，任何单一控制或控制组合，都不能保证一份保单会获批、续保或以某个价格承保。核保决定属于保险公司，具体保单条款属于公司与其经纪之间。可以说的是：这些问卷通常问什么，以及要用证据而非印象来回答它们需要什么。

香港中小企业应对续保问卷的三种做法

无证据的自我声明

• 样子： 凭记忆和整体信心把表填完，勾上那些"感觉是对的"的框。
• 成本： 前期为零。
• 得到什么： 一份很快交出去的表。
• 在哪里失效： 答案未经核实，公司其实并不知道自己的真实状况；而一旦发生理赔，当初声明的准确性是有分量的。同时，同样的不确定性会一模一样地每年重演。

被动地采购点状方案

• 样子： 每一道难答的题都触发一次采购——扫描题买扫描器，培训题买培训平台。
• 成本： 真实且累积，分散在多家供应商和多个续约日期上。
• 得到什么： 今年对某一道具体题目的具体答案。
• 在哪里失效： 为答题而买的工具，很少被真正部署、监控或跟进。覆盖是零散的，没人对整体负责，而明年措辞略变的问题，去年那笔采购覆盖不到。

把问卷映射到真实且有记录的控制上

• 样子： 身份、补丁、设备与培训被当作同一套持续安排的四个部分，有指定负责人，报表照跑，无论是否临近续保。
• 成本： 一个可预测的每用户月费，加上真正可选的部分单独、透明地计价。
• 得到什么： 有报表支撑的答案、逐年改善且有据可查的状况，以及一个对四个领域同时负责的对象。
• 代价在哪里： 这是一项持续投入，而非一次性支出；而且只有当这些控制被真正运行、而不是名义上买下时，它才划算。

常见问题

网络保险问卷到底会问什么？

实务上会聚成四类：身份与访问（多因素认证覆盖率、管理员账户、离职处理）、补丁与漏洞管理（节奏、已停止支持的系统、外部扫描）、设备与数据（加密、远程抹除、私人设备、备份及其可恢复性），以及人（安全意识培训，以及付款前的账户变更核实流程）。具体措辞因保险公司、因年份而异，但这四大类相当稳定。

只开启 MFA 能满足大部分要求吗？

它处理了四个领域中的一个，而且通常是清单上单项价值最高的控制——但一份还问补丁节奏、设备管理和培训的问卷，不会因为有 MFA 就答完了。另外也值得把"我们有 MFA"说精确：在电邮和远程访问上、对每一个账户（包括共享账户与服务账户）强制启用，和"部分用户开了"是两个不同的陈述。

这些问卷多久会变难一次？

没有固定时间表，但近几个续保周期的方向，一直是问得更具体、更要求证据。假设明年的表至少会问到今年这个细致程度，是比较稳妥的规划前提。

如果有一道题我们答不上来，会怎样？

那是公司与其经纪之间要谈的事，结果取决于保险公司和具体题目。一般来说不可取的是"猜"。坦白写下"我们目前没有这一项，以下是补上它的计划与时间表"，通常比一个未经核实的勾选更站得住脚，经纪也更容易据此推进。

托管 IT 服务商会替我们把问卷填了吗？

签署声明的是公司，答案也应当是公司自己的。托管服务商能做、也应该做的，是提供底层事实——MFA 覆盖率、补丁合规数字、含加密状态的设备清单、培训参与情况、最近一次扫描结果——让签字的人是照着报表在填，而不是照着回忆，并且能清楚看到哪几题背后仍有缺口。

一次漏洞扫描本身算足够的证据吗？

一次扫描只回答扫描那道题。另外也要区分：为了附上一份 PDF 而跑一次的扫描，和一套会把发现排优先级、修复、再复测的扫描实践。问卷越来越会问到修复，而不只是发现——第二个问题永远是"那你们针对查出来的东西做了什么"。

这件事没做好，续保时的代价是多少？

因保险公司、行业与保单差异太大，无法给出一个数字，任何给你数字的人都是在猜。可预期的是那些与保费无关的成本：因为拿不出答案而被拖延的续保时程、为了重建本应由报表提供的事实而消耗的管理层时间，以及最贵的那一项——在填问卷的过程中才发现，大家一直以为存在的某项控制其实并不存在。

最后回到哪里

这份问卷是一份有用的文件，而且不只对保险公司有用。十二道具体的问题，由一个在"把风险判断准确"上有真金白银利害关系的局外人写成——这比这种规模的香港中小企业自己会去做的任何一次安全检视都更到位。

但把它当成一年一度的事件来处理，是使用它最贵的方式。它问的四个领域——身份、补丁、设备、人——不是续保时才存在的产物。它们就是其余十一个月里"把 IT 做好"的样子，而且应该由同一个负责人统一承接，而不是在死线压力下拆成四笔各自为政的采购。

这就是把它们放进一份持续计划里的理由。Brocent 的托管 IT 支持把问卷所问的那些常态化控制——补丁管理、备份与恢复、24×7 监控、服务台、一位对技术路线图负责的专属 vCIO——纳入按用户计费的月度计划，而真正可选的部分（如设备管理、扫描与培训）在旁边明码标价，而不是被隐形打包进去。我们的价格页列出了每个计划层级和每项附加服务的香港价格，让"明年把问卷答好要花多少钱"在做任何承诺之前就能算清楚。

如果你此刻手上正拿着一份续保文件，而有四道题答不上来——这是很平常的处境，也是可以解决的处境。而且，明年那个十二题都能作答的版本的公司，确实比今天这个答不上来的版本管理得更好，这一点与保险无关。