中经记者 樊红敏 北京报道
中小保险机构在信息安全领域的短板正在凸显。
监管方面近期披露的罚单信息显示，因“信息安全管理不到位”国宝人寿被罚款15万元，两位相关责任人亦被警告并合计罚款2万元。
今年7月初，渤海财险也曾因“信息科技外包网络和信息安全管理措施落实不到位”等问题被警告并罚款。
《中国经营报》记者梳理监管方面近几年披露的罚单信息发现，保险机构信息科技安全相关罚单并不常见，仅有的几个处罚案例中，被罚主体均为中小保险机构。
多家中小保险机构领罚
9月24日，国家金融监督管理总局四川监管局官网披露的罚单信息显示，因信息安全管理不到位，国宝人寿被罚款15万元。相关责任人欧阳建友、王赟钢受到警告并合计被罚款2万元。
今年7月1日，国家金融监督管理总局天津监管局发布行政处罚决定书剑指渤海财险类似问题。罚单显示，渤海财险的主要违法违规行为包括：未制定信息科技外包战略；重要信息科技外包活动识别不充分；外包服务水平监控评价机制落实不到位；信息科技外包服务商服务水平监控评价覆盖不全面；信息科技外包风险评估不到位；信息科技外包网络和信息安全管理措施落实不到位。最终，渤海财险被警告并处罚款合计3.6万元。
据记者根据监管网站梳理，2023年8月，鼎和财险因“信息科技外包治理体系缺失、关键信息科技外包合同条款缺失”被罚；2024年1月，史带财险因“网络安全管控不足”被罚；2024年12月，苏黎世财险因“信息科技外包合同不合规”等被罚。
“相较于大型保险机构，中小险企在网络安全领域面临风险敞口扩容、能力底座薄弱、监管标准统一的三重挤压，短板效应被持续放大，是罚单集中出现在中小机构的核心原因。”国际数据公司（IDC）金融行业研究经理思二勋表示。
某金融机构特约研究员也向记者表示，中小保险机构在网络安全领域面临的挑战更为突出。这类机构营收规模有限，信息科技预算紧张，难以组建专职完整的网络安全团队，专业人才储备不足。
“中小保险机构预算少、缺专职CISO（首席信息安全官）、核心系统和运维高度外包。”对外经济贸易大学创新与风险管理研究中心副主任龙格也向记者直言。
密集招标采购补短板
针对上述罚单，渤海财险方面表示，“现已开展针对性整改，并将持续强化合规经营。”国宝人寿表示，“处罚不会对公司经营造成重大影响，我公司正按监管要求推进问题整改，进一步强化信息安全管理。”
记者注意到，国宝人寿正在加大在信息安全方面的投入。今年以来，国宝人寿在该公司官网已发布了信息系统等级保护测评项目、网络安全设备采购项目、网络和数据安全运维保障服务项目、敏感数据管控项目等多个信息安全相关招标采购项目。
另外，根据相关招投标网站信息，今年9月份，鼎和财险也发布了数据安全治理服务项目招标项目。记者注意到，该招标在项目概述中提到，“随着保险业务全面向线上化、智能化发展，海量数据被采集、流转和使用，导致数据暴露面扩大，数据安全风险增多……鼎和财险作为金融保险行业，在从事业务活动、数据保存与处理过程中涉及大量用户隐私信息和商业机密，为保障用户信息安全、履行社会责任，更应谨遵监管部门发布的数据安全管理要求，开展数据安全治理。”
近年来，金融领域数据安全监管体系日益完善。2024年12月金融监管总局关于印发银行保险机构数据安全管理办法的通知发布了《银行保险机构数据安全管理办法》，今年7月金融监管总局公布了《银行业保险业网络安全管理办法（征求意见稿）》，9月中国人民银行发布《金融信用信息基础数据库管理办法（征求意见稿）》……
“金融业信息安全合规正从‘有没有制度’向‘制度有没有真正执行’转变，对保险机构的实质合规能力提出了更高要求。未来，保险机构需要将信息安全从‘技术部门的运维事项’提升为‘全机构的战略合规议题’，才能真正适应新的监管合规要求。”思二勋表示，对比银行和券商，保险业的网络安全建设整体上仍处于从“合规达标”向“能力建设”过渡的初级阶段，显著落后于银行业“主动防御 + 体系化治理”的成熟深化阶段，也晚于证券业“基础合规完成 + 纵深能力升级”的规范加速阶段；行业内部分化极大，头部险企已接近银行平均水平，而中小险企仍处于基础能力建设期，相关机构密集的招标采购正是行业补短板的集中体现。
（编辑：李晖 审核：何莎莎 校对：翟军）
