文章总结： 文章采访了保险业CSO，探讨了AI时代的威胁与风险管理。他指出攻击者更关注数据价值而非特定行业，勒索软件偏爱防御薄弱点。企业应构建由人类主导、AI赋能的安全体系，重视第三方风险。防御关键在于夯实基础、聚焦关键资产，并通过明确使命感来留住人才。 综合评分： 81 文章分类： 安全建设,AI安全,网络安全,安全运营

从战场到商场：一位保险业CSO解析保险行业的AI威胁与风险管理

原创

Samira Samira

信息安全D1net

2026年2月3日 16:19 北京

点击上方“蓝色字体”，选择 “设为星标”

关键讯息，D1时间送达！

企业网D1net

基于24年军旅网络防御经验，全球保险经纪公司Brown & Brown的首席安全官指出，网络安全已成为企业信任与业务韧性的核心。攻击者并不针对行业，而是瞄准数据价值与防御薄弱点，勒索软件尤其偏好安全成熟度低的目标。面对AI驱动的新型威胁，企业需构建“人类专家主导、AI自动化赋能”的安全体系，并正视不断放大的第三方与第四方风险。真正有效的防御不在追逐热点，而在持续夯实基础、聚焦关键资产，并通过清晰的使命感留住安全人才。

作为美国陆军信号兵，IT安全是退役上校Barry Hensley 24年军旅生涯中的关键要素，他经常负责“无论是驻军时还是为部署的作战部队提供支持时，军事网络的工程与安装”。

“我军旅生涯的巅峰之作是与一支精英网络部队合作，其终极使命是运营并捍卫军方的全球通信网络，”Hensley向记者表示，“正是在那段时期，我深刻意识到美国面临的网络安全问题的严重性，我希望将职业生涯致力于成为解决方案的一部分，同时继续为正义而战。”

如今，Hensley担任全球保险经纪公司Brown & Brown的首席安全官(CSO)，致力于帮助客户保护对他们而言最重要的东西。

记者就保险行业的网络安全、如何激励网络安全专业人员等问题采访了Barry Hensley。

如今，各企业如何看待网络安全？

Hensley：如今，各行业对网络安全风险的认知更为一致，但所需采取行动的程度往往差异显著。网络安全是任何企业的基础，尤其在客户信心和信任至关重要的情况下，这种信任的一部分包括我们所提供网络、数据和服务的安全性。

不久前，各企业还不相信这些风险是真实存在的或与他们相关。随着更多企业要么亲身经历重大事件，要么目睹了足够多的第三方和第四方违规通知而采取行动，情况已发生变化。所有这些事件都提高了人们的意识，让人们认识到威胁及相关风险的可信度，然而，对于设定适当的风险容忍度以推动对有效安全控制的正确投资，尤其是对于预算受限的企业而言，这仍然是一个挑战。

我们也不能忽视政府干预、罚款及其他与网络安全事件相关的监管行动的兴起，这些都将影响人们的看法。

如今，保险行业面临哪些具体的安全风险？

如今，威胁行为者有一个共同点，那就是他们如何利用所获得的访问权限。因此，就我个人而言，我并未过度关注垂直领域的特定威胁，而是更关注各企业所拥有数据或访问权限及其感知价值。具体到保险行业，可能会收集一些用于理赔或政策制定的信息，威胁行为者可能会认为这些信息有价值，即便这些信息仅能提升他们对其他目标的定位能力。

然而，我们也不能忽视那些因对保险行业存在历史误解或敌意而将其作为目标的“理想主义”或“意识形态驱动”的威胁行为者。

具体到勒索软件而言，威胁行为者可能会针对那些支付可能性高或易被利用的企业。因此，这更多地与这些企业所拥有的数据有关，而不一定是行业垂直领域本身，以及其安全计划的成熟度。威胁行为者希望以最少的资源投入获得最高的投资回报，因此他们经常瞄准那些低垂的果实，即许多情况下安全计划最不成熟的目标。

你认为未来几年你的网络安全策略会发生变化吗？

我们的策略保持不变：根据风险容忍度进行有针对性的安全投资，领先于日益活跃的威胁形势。例如，采用AI黑客工具，这显然表明了适应的必要性。问题是，我们的安全团队如何利用我们自己的AI策略来应对这一进展？我们如何利用AI来执行那些常规任务，同时让我们的团队成员能够专注于与整体风险降低和AI模型训练优先级相关的业务背景？

因此，想象一下由人类安全专家领导的AI安全团队，确保我们在正确的时间和地点拥有适当的防御措施。一个例子是进行持续的渗透测试，以发现我们防御中的漏洞，否则这些漏洞可能会被忽视。

我们确实看到了第三方和第四方风险管理的演变，尤其是在我们如何验证安全合作伙伴的成熟度和韧性方面。风险的演变部分基于第三方和第四方交换其底层技术以降低成本或提高效率，而客户对这些可能暴露的风险知之甚少或一无所知。因此，对于我们将在内部提供的安全功能，我们将专注于基础并做好它们。对于我们外包的控制/功能，我们必须重新构想不仅如何验证合作伙伴的环境，还要如何积极参与以改进他们的安全计划以及我们自己的安全计划。

我们不能忘记，网络安全在很大程度上在于出色地完成基础工作。在这种情况下，这些基础工作是构建和保护一个将在未来多年内继续发挥作用的基础设施。

你如何留住网络安全专业人才？

领导力在于如何激励人们实现或完成一个超越他们预期的共同愿景。领导者必须首先了解团队成员的激情和相关技能，以使他们与实现业务目标保持一致。在明确阐述他们在整体愿景中的位置的同时，获得他们的支持至关重要。

在Brown & Brown，我们帮助他人保护对他们而言最宝贵的东西。为了留住我们的顶尖人才，我们确保团队成员了解他们在这一使命中的位置。我们的成功故事基于每天赢得客户的业务，而确保我们的环境、网络和数据安全对于建立和保持这种信任至关重要。我们需要向团队成员展示，他们在维护我们与客户关系中的信任方面发挥着多么不可或缺的作用。我们希望他们每天醒来时都知道，他们不仅在我们的安全计划中，而且在更广泛的Brown & Brown生态系统中都扮演着重要角色。

在Brown & Brown，我们将团队成员放在首位，因为他们的专业知识将始终是我们的关键差异化因素。

你最自豪的是什么？

我最自豪的是每天与我共事的这支鼓舞人心的安全专业团队。他们总是把团队放在首位，力求在所做的事情上做到最好，并且总是不遗余力地确保团队成员和企业的安全与保护。能够成为这样一个工作态度和追求卓越精神在我经历中无与伦比的团队的一员，我感到非常幸运。

首席信息安全官(CISO)应该问自己哪些问题？

我们是否在评估最相关的风险，而不是昨天的风险？而且，由于我们可能会过于沉迷于在上一家企业中使用的策略，我们如何确保当前的策略与当前的企业相关？一个例子是我们花了多少时间在钓鱼培训上，这使我们的团队成员成为了第一道防线，而我们本可以利用基于异常的检测来自动化检测和响应行动。

网络安全领导者目前面临的最大安全挑战是什么？

Hensley：在这个行业中，没有单一的最大挑战，而是多个不断演变的挑战在争夺我们的注意力。

整个网络安全社区面临的共同挑战是，在一个威胁行为者如此敏捷、创新、资源丰富且拥有惊喜优势的世界中，我们必须100%地正确。网络安全专业人员还在努力为其企业提供创新解决方案的同时，对其工作进行优先级排序。每位网络安全领导者都必须应对新技术带来的风险，AI只是众多技术之一。

虽然对于风险问题没有绝对的“正确”答案，但古老的公式——针对你最关键的资产减轻威胁——仍然适用。安全团队肩负着持续使命，即识别弱点、评估被利用的可能性，并确定对业务的影响。这是在风险与回报之间进行权衡时困难但必要的一步。

什么让你夜不能寐？

Hensley：未知因素，正如我上面所分享的，网络安全专业人员必须100%地正确，而威胁行为者只需要利用一个未知或未缓解的漏洞，或利用一个具有特权访问权限的单一用户。我们的风险建模应投资于有效的安全控制，以尽可能减少针对我们最关键资产的未知威胁。

版权声明：本文为企业网D1net编译，转载需在文章开头注明出处为：企业网D1net，如果不注明出处，企业网D1net将保留追究其法律责任的权利。封面图片来源于摄图网

（来源：企业网D1net）

关于企业网D1net(www.d1net.com)

国内头部to B IT门户，同时在运营国内头部的甲方CIO专家库和智力输出及社交平台-信众智(www.cioall.com)。旗下运营19个IT行业公众号(微信搜索D1net即可关注)

如果您在企业IT、网络、通信行业的某一领域工作，并希望分享观点，欢迎给企业网D1net投稿。

投稿邮箱：

[email protected]

合作电话：

010-58221588（北京公司）

021-51701588（上海公司）

合作邮箱：

[email protected]

企业网D1net旗下信众智是CIO（首席信息官）的专家库和智力输出及资源分享平台，有六万多CIO专家，也是目前较大的CIO社交平台。

信众智对接CIO为CIO服务，提供数字化升级转型方面的咨询、培训、需求对接等落地实战的服务。也是国内较早的toB共享经济平台。同时提供猎头，选型点评，IT部门业绩宣传等服务。

扫描 “二维码” 可以查看更多详情

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：信息安全D1net Samira Samira《从战场到商场：一位保险业CSO解析保险行业的AI威胁与风险管理》