中小企业网络保险深度指南

你以为黑客只搞大公司？43% 的网络攻击针对中小企业——补丁慢、没专职 IT、员工点钓鱼链接的概率一样高。攻击者还把你当跳进大客户的跳板（供应链攻击）。

一次 ransomware 或泄露，通知客户+停业的成本足以拖垮小生意。Cyber 不是「大公司才要买」——$500–$5K/年保费买的是 forensics 和 Breach Coach，不是「买安心」四个字。

POS 系统被拖库，5000 张卡信息流出——First-Party 你要付 forensics、给 5000 人发通知信、credit monitoring、可能请 PR。Third-Party 是卡主要 sue 你、州检察长调查、PCI 评估罚款。

小保单 $1M 主限额听起来够，但通知 alone 可能 $150–$200/条 × 5000。看 notification sub-limit 够不够。

行业估算每条记录 $150–$200——1000 条就是 $150K–$200K，还没算停业。小老板常以为「删帖就完事」，但各州法律要求通知受影响个人，有时还要报州检察长，期限从 30 到 90 天不等。

Cyber 保单 First-Party 通常赔 notification 和 credit monitoring——但 sub-limit 和「谁算 affected record」要看保单定义。

ransomware 要 $50K——保单可能赔，但赎金子限额可能只有 $25K，剩下自己掏。更常见：会计被假老板邮件骗转 $30K——标准 Cyber 不赔，要 Crime 险或 social engineering endorsement，很多 SMB 根本没买。

投保前问 broker 两个 yes/no：① ransom sub-limit 多少 ② BEC/wire fraud 在不在 coverage 里。

小餐馆用 Square 也涉及 PCI——违规时发卡行 assessment 可能几万。Dental office 的 PHI 泄露触发 HIPAA，HHS 罚款按 tier 可达每年 $50K+ per violation category。

通用 SMB Cyber 可能带 limited PCI/HIPAA，但医疗小实体 often 需要 healthcare cyber 或 higher third-party sub-limits。别假设 BOP 里的 cyber endorsement 够。

续保问卷问「email 和 remote access 是否 MFA」——勾 No 可能直接拒保或 premium 翻倍。绑单后没做 promised backup，出险时 insurer 查 log 发现，拒赔。

最低配：MFA on Microsoft 365、EDR on endpoints、weekly offline backup test restore。不需要 CISO，但需要能证明你做了。

10 人咨询公司、无 PCI/PHI，$1M cyber 大约 $800–$2,500/年；餐馆、诊所、金融更高。除外重点：已知漏洞未修、故意行为、战争/网络战争（NotPetya 争议）、social engineering 若没批单。

保费花得值的是：出险时 insurer 派的 Breach Coach + forensics，比你自己找律师便宜得多。顺便做一页 incident response 计划——谁 call insurer、谁断网。