IT SELECT LAB

ประกันภัยไซเบอร์ (Cyber Insurance) คืออะไร — คุ้มครองอะไรบ้าง

ผู้เผยแพร่: IT SELECT LAB · นโยบายเนื้อหาและการแก้ไขข้อมูล

เผยแพร่

อ่านบทความในหมวดเดียวกัน

ค่าเฉลี่ยของ Data Breach ทั่วโลกในปี 2024 อยู่ที่ 4.88 ล้านดอลลาร์สหรัฐ [1] — สำหรับหลายองค์กร ค่าใช้จ่ายระดับนี้อาจเป็นจุดสิ้นสุดของธุรกิจ ประกันภัยไซเบอร์ (Cyber Insurance) จึงเป็นเครื่องมือสำคัญในการบริหารความเสี่ยงที่ไม่สามารถกำจัดได้ด้วยมาตรการทาง Technical เพียงอย่างเดียว

ประกันภัยไซเบอร์คืออะไร

Cyber Insurance (หรือ Cyber Liability Insurance) คือ กรมธรรม์ประกันภัยที่คุ้มครองความเสียหายจาก Cyber Incident เช่น Data Breach, Ransomware, Business Interruption จาก Cyber Attack, ค่าใช้จ่ายทาง Legal และค่าแจ้งเตือนผู้ที่ได้รับผลกระทบ

ประกันภัยไซเบอร์ ไม่ได้ทดแทน มาตรการป้องกัน (Preventive Controls) แต่เป็น Layer สุดท้ายของ Defense-in-Depth — รองรับความเสียหายที่เหลือหลังจากมาตรการป้องกันไม่สามารถหยุดยั้งได้

สิ่งที่ประกันภัยไซเบอร์ “คุ้มครอง”

ความคุ้มครองแบ่งเป็น 2 ประเภทหลัก:

First-Party Coverage — ความเสียหายขององค์กรเอง

ความคุ้มครองรายละเอียด
Incident Response Costsค่าใช้จ่ายในการตอบสนอง — ค่า Forensics, ค่าผู้เชี่ยวชาญ IR, ค่าที่ปรึกษากฎหมาย, ค่า PR Crisis Management
Business Interruptionค่าเสียโอกาสจากระบบล่ม — Lost Revenue, ค่าใช้จ่ายดำเนินงานที่ยังเกิดขึ้นแม้ระบบหยุด
Data Recoveryค่ากู้คืนข้อมูลที่สูญหายหรือถูก Encrypt จาก Ransomware
Ransomware/Extortion Paymentค่าไถ่ (Ransom) — บางกรมธรรม์คุ้มครอง บางฉบับไม่ ต้องตรวจสอบเงื่อนไข
Notification Costsค่าแจ้งเตือนผู้ที่ได้รับผลกระทบจาก Data Breach ตามที่กฎหมายกำหนด (เช่น PDPA)
Credit Monitoringค่า Credit Monitoring Service สำหรับผู้ที่ข้อมูลถูกรั่วไหล
Regulatory Finesค่าปรับจากหน่วยงานกำกับดูแล (บางกรมธรรม์คุ้มครอง บางฉบับไม่)

Third-Party Coverage — ความรับผิดต่อบุคคลภายนอก

ความคุ้มครองรายละเอียด
Legal Defenseค่าทนายความและค่าใช้จ่ายในการต่อสู้คดี
Settlement/Damagesค่าชดเชยความเสียหายจากการฟ้องร้อง
Privacy Liabilityความรับผิดจากการรั่วไหลของข้อมูลส่วนบุคคล
Media Liabilityความรับผิดจาก Content ที่เผยแพร่ทาง Digital (บางกรมธรรม์)

สิ่งที่ประกันภัยไซเบอร์ “ไม่คุ้มครอง”

ข้อยกเว้นคำอธิบาย
Known Vulnerabilitiesช่องโหว่ที่ทราบอยู่แล้วแต่ไม่ได้ Patch — บริษัทประกันอาจปฏิเสธ Claim [2]
Intentional Insider Threatการกระทำโดยเจตนาของพนักงาน (Fraud, Sabotage) — ไม่ใช่ Cyber Attack จากภายนอก
War & Terrorismการโจมตีที่จัดว่าเป็นสงคราม (Act of War) หรือ State-Sponsored Attack ในบางกรณี [3]
Bodily Injury & Property Damageความเสียหายทางกายภาพที่เกิดจาก Cyber Attack (เช่น ระบบควบคุมโรงงานถูกโจมตี)
Intellectual Property Theftการขโมยทรัพย์สินทางปัญญา (Trade Secret, Source Code, Patent)
Prior BreachBreach ที่เกิดขึ้นก่อนเริ่มกรมธรรม์
Unapproved Softwareความเสียหายจากการใช้ Software ที่ไม่ได้รับอนุญาตหรือ License ผิดกฎหมาย
Infrastructure Failureระบบล่มจาก Utility Failure (ไฟฟ้า, Internet) ที่ไม่ได้เกิดจาก Cyber Attack

⚠️ หมายเหตุ: ข้อยกเว้นแต่ละข้ออาจแตกต่างกันตามกรมธรรม์และบริษัทประกัน — ต้องอ่าน Policy Wording อย่างละเอียดก่อนทำสัญญา

ตลาดประกันภัยไซเบอร์ในประเทศไทย

คปภ. (สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย)

คปภ. เป็นหน่วยงานกำกับดูแลธุรกิจประกันภัยในไทย รวมถึงกรมธรรม์ประกันภัยไซเบอร์ ซึ่งจัดอยู่ในประเภท ประกันภัยเบ็ดเตล็ด (Miscellaneous Insurance)

บริษัทประกันที่เสนอ Cyber Insurance ในไทย

ปัจจุบันมีบริษัทประกันหลายรายที่เสนอ Cyber Insurance ในตลาดไทย ทั้ง บริษัทไทยและบริษัทต่างชาติ:

ประเภทตัวอย่าง
บริษัทต่างชาติ (Global)Chubb, AIG, Allianz, Zurich, AXA XL
บริษัทไทย/ร่วมทุนกรุงเทพประกันภัย, ทิพยประกันภัย, วิริยะประกันภัย (บางแผน)
Broker/ตัวแทนMarsh, Aon, Willis Towers Watson, Howden

ปัจจัยที่กำหนด Premium

บริษัทประกันจะพิจารณาปัจจัยเหล่านี้ในการกำหนด Premium:

ปัจจัยผลต่อ Premium
อุตสาหกรรมอุตสาหกรรม High-Risk (การเงิน, สุขภาพ) จ่ายมากกว่า
ขนาดองค์กรรายได้มาก + ข้อมูลมาก = Premium สูงขึ้น
ประวัติ Incidentเคย Breach มาก่อน = Premium สูงขึ้น
Security Controlsมี MFA, EDR, Patch Management = Premium ลดลง
Pentest Resultsผ่าน Pentest + แก้ไข Critical Finding = Premium ลดลง
Compliance CertificationISO 27001, SOC 2 = Premium ลดลง
วงเงินคุ้มครองขอคุ้มครองมาก = Premium สูงขึ้น
Deductible/Retentionเลือก Deductible สูง = Premium ลดลง

Pentest ช่วยลด Premium ประกันภัยไซเบอร์ได้อย่างไร

Penetration Testing เป็นหนึ่งในปัจจัยที่บริษัทประกันใช้ประเมิน Risk Profile ขององค์กร:

1. Proof of Security Controls

ผล Pentest แสดงให้บริษัทประกันเห็นว่าองค์กร:

  • มี Security Control ที่ใช้งานได้จริง (ไม่ใช่แค่ Policy บนกระดาษ)
  • ทดสอบและแก้ไขช่องโหว่เป็นประจำ (Proactive Approach)
  • มี Remediation Plan สำหรับ Finding ที่พบ

2. ลด Risk Score

บริษัทประกันหลายรายใช้ Risk Scoring Model ในการกำหนด Premium:

  • ผ่าน External Pentest + แก้ไข Critical/High Finding = Risk Score ลดลง
  • ผ่าน Internal Pentest + แก้ไข Lateral Movement Path = Risk Score ลดลง
  • มี Pentest Report ย้อนหลัง 12 เดือน = แสดง Continuous Improvement

3. Pre-Requisite สำหรับบางกรมธรรม์

กรมธรรม์ Cyber Insurance บางฉบับ กำหนดให้ต้องทำ Pentest เป็นเงื่อนไข:

  • ก่อนออกกรมธรรม์ — Underwriter ต้องการดู Pentest Report
  • ระหว่างอายุกรมธรรม์ — ต้องทำ Annual Pentest เพื่อรักษาความคุ้มครอง
  • หลัง Incident — Pentest เป็นส่วนหนึ่งของ Post-Incident Requirement

4. สิ่งที่ Pentest ช่วยไม่ได้

  • ไม่สามารถ รับประกัน ว่าจะไม่ถูก Breach
  • ไม่สามารถ ทดแทน Security Controls อื่น (MFA, EDR, Patch Management)
  • Pentest เป็น Point-in-Time Assessment — ต้องทำซ้ำเป็นประจำ

Checklist ก่อนซื้อประกันภัยไซเบอร์

#คำถามทำไมสำคัญ
1วงเงินคุ้มครองเท่าไหร่?ต้องครอบคลุม Worst-Case Scenario ขององค์กร
2Deductible/Retention เท่าไหร่?ส่วนที่องค์กรต้องจ่ายเองก่อนประกันจ่าย
3คุ้มครอง Ransomware Payment หรือไม่?บางกรมธรรม์ยกเว้น
4คุ้มครอง Regulatory Fines หรือไม่?สำคัญมากในยุค PDPA
5ครอบคลุม Third-Party Vendor Breach หรือไม่?Vendor ถูก Breach แล้วกระทบเรา
6มี Incident Response Retainer หรือไม่?บางกรมธรรม์ให้ IR Team พร้อมใช้ทันที
7ข้อยกเว้น War/Terrorism กว้างแค่ไหน?State-Sponsored Attack อาจถูกยกเว้น
8ต้องมี Security Control อะไรบ้าง?MFA, EDR, Backup เป็น Minimum Requirement
9ต้องทำ Pentest เป็นเงื่อนไขหรือไม่?บางกรมธรรม์กำหนดเป็น Requirement
10Retroactive Date คือเมื่อไหร่?Breach ที่เกิดก่อน Date นี้ไม่คุ้มครอง

สรุป

ประกันภัยไซเบอร์เป็น เครื่องมือบริหารความเสี่ยง ที่สำคัญ ไม่ใช่ทดแทน Security Controls — แต่เป็น Layer สุดท้าย ที่ช่วยรองรับ Financial Impact เมื่อ Incident เกิดขึ้น

องค์กรที่ ลงทุนด้าน Security (Pentest, MFA, EDR, Patch Management, Employee Training) จะได้ประโยชน์สองต่อ:

  1. ลดโอกาส ถูก Breach
  2. ลด Premium ประกันภัยไซเบอร์

ติดต่อ ITSL เพื่อขอคำปรึกษาด้าน Penetration Testing ที่ช่วยทั้งเสริม Security Posture และสนับสนุนการทำ Cyber Insurance

อ่านเพิ่มเติม:

แหล่งอ้างอิง:

[1] IBM Security, “Cost of a Data Breach Report 2024,” July 2024. https://www.ibm.com/reports/data-breach

[2] At-Bay, “What is not covered by cyber insurance?” 2024. https://www.at-bay.com/faqs/what-is-not-covered-by-cyber-insurance

[3] Westis, “What Does Cyber Insurance Not Cover?” 2024. https://westis.com.au/what-cyber-insurance-does-not-cover

[4] Chubb, “Cyber Insurance Coverage & Products,” 2024. https://www.chubb.com/us-en/business-insurance/products/cyber-insurance/cyber-insurance-products.html

[5] VIPRE, “What is Cyber Insurance and Why Do You Need it?” 2024. https://vipre.com/glossary-terms/what-is-cyber-insurance-and-why-do-you-need-it

วางขอบเขตงานก่อนขอราคา

ระบุระบบ บทบาทผู้ใช้ สภาพแวดล้อม และข้อกำหนดที่เกี่ยวข้อง เพื่อหารือขอบเขต ระยะเวลา และงบประมาณตามงานจริง

จองเวลาคุย 💬 Line @itselectlab หรือเตรียม scope ก่อน