香港中小企買 Cyber 保險：投保前必識的保障範圍、承保要求與索償伏位
分類：行業情報 | 日期：2026-10-20
最後更新：2026年10月 | 由 IT SUPPORTKING 技術團隊編寫
免責聲明： 本文屬一般資訊，唔係法律或保險意見。保費、賠償、受保決定以保險經紀／保險公司為準。具體保單條款、保障範圍及索償安排，必須以個別保單措辭及保險經紀／保險公司的書面確認為準，唔好單憑本文作出投保或索償決定。
最後覆核日期：2026-10-20
覆核依據： 香港保險公司公開產品頁、MSIG 投保問卷（2025 年 3 月版）、美／英市場指南、私隱專員公署公開指引，整理於 2026-10-20。
覆核週期： 每 6 個月或產品條款／法例有變時覆核。
方法說明： 本文唔引用任何保費數字，亦唔引用任何保障限額數字。本文並無進行香港本地用家訪問，因此唔會對香港企業的普遍做法作出概括描述。凡標明「未證實／需用戶確認」的項目，請向保險經紀／保險公司查詢及書面確認。
一、網絡保險係咩？先講清定位
網絡保險（cyber insurance）是一種財務風險轉移工具：當網絡事故發生時，合資格的相關開支及責任，可按保單措辭由保險安排承擔。佢唔係保安產品，買咗唔等於唔會出事，亦唔等於自動符合法例要求（見第六節）。
香港市場確實有商業網絡保險供應。已核實的香港提供者包括 QBE（QCyberProtect）、AIG（CyberEdge）、MSIG（網絡責任及數據保障保險）。Chubb Cyber ERM 曾於 2016 年於亞太率先在澳洲、香港、新加坡推出，但其香港現行在售狀態未證實，須向 Chubb／經紀確認。另有銀行分銷渠道（DBS×Chubb、恒生×Chubb，承保人均為 Chubb）及經紀渠道（Howden Cyber+）。
本指南只做教育及投保準備，唔報價、唔承諾受保、唔賣保險。任何保費、賠償、受保決定，一律以保險經紀／保險公司為準。落實晒控制措施，亦唔等於自動獲得受保決定；受保決定以保險公司核保為準。
二、網絡保險一般保咩／唔保咩
以下為香港產品公開頁面常見的一般結構：第一方保障（自己嘅損失）加第三方保障（對外嘅責任）。每間保險公司的實際寫法唔同，以下全部係一般概念，具體以個別保單措辭為準。
第一方保障：自己嘅損失
- 事故應變費用： 例如法務、鑑證、通報支援等相關開支，具體項目以個別保單為準。
- 業務中斷： 網絡事故導致停運而產生的損失，具體計算及等待期安排以個別保單為準。
- 數據及系統還原： 還原受影響數據及系統的相關開支，具體以個別保單為準。
- 網絡勒索： 勒索事件相關開支，是否包括、包括邊啲，以個別保單為準。
第三方保障：對外嘅責任
- 私隱及網絡安全責任： 因私隱外洩或網絡安全事故而引起的第三方責任，具體以個別保單為準。
- 監管調查相關開支： 只在法律上可保的情況下，相關開支先可能受保；詳見第六節。
- 消費者補償及通知相關開支： 具體項目以個別保單為準。
- 社交工程分項保障： 社交工程損失在不少保單屬分項限額保障，分項限額金額未證實／需用戶確認，具體以個別保單為準。
唔好以為包晒：常見誤解
- 已知但未披露的事故： 投保前已知嘅事故或弱點，若未如實披露，可影響保障，詳見第五節。
- 戰爭／國家支持攻擊除外條款： 適用範圍須收窄理解。Lloyd's 通告 Y5381 只約束經 Lloyd's 市場的獨立網絡保單（自 2023-03-31 起，於保單訂立或續保時適用），唔係全部香港保單。另有判例顯示，傳統戰爭除外條款曾被法院判不適用於網絡攻擊（Merck／NotPetya 判例）。具體除外範圍以個別保單為準。
- 實體財產損毀： 一般唔在標準網絡保單核心範圍，但有香港產品提供作選項，具體以個別保單為準。
- 罰款： 視乎保單措辭與法律可保性（見第六節）。
- 升級改善費用： 唔好一概而論「只付還原、唔付升級」。有香港產品公開列明改善措施（Betterment）為標準附加保障，須對照個別保單。
- 系統故障： 唔好一概而論「非保安事件嘅基建故障一般不受保」。有香港產品公開列明系統故障觸發保障，例如人為錯誤、程式錯誤、停電，具體以個別保單為準。
三、承保常見要求：市場指南綜合，唔係香港硬性規則
必須先講清的方法結論：以下全部為美國／英國市場指南綜合，唔係香港保險公司已公佈硬性規則。 本輪搜尋無找到任何香港保險公司公佈的硬性承保清單。同一控制可因保單寫成保證條款或先決條件而變成硬性，亦可只作核保問題而屬建議。正確做法唔係問「邊啲可以唔做」，而係「邊啲要做、做咗要如實申報、未做要如實披露並定下修復時間」。
最可驗證的香港證據，是 MSIG 投保問卷（內容包括系統中斷後幾耐會對業務造成重大影響（問卷選項：0–6／6–12／12–24 小時／一日以上）、滲透測試／社交工程測試及結果副本等）。以下對照表綜合市場指南，逐項註明來源類型。
| # | 控制項目 | 市場指南常見程度 | 性質 | 備註 |
|---|
| 1 | 多重認證（電郵、遙距存取、管理員帳戶） | 高 | 市場指南常見；是否硬性視乎個別保單 | 須逐系統填寫覆蓋範圍；短訊多重認證趨勢是否適用於個別香港保單，未證實／需用戶確認 |
| 2 | 端點偵測及回應（全部工作站及伺服器加主動監控） | 高 | 市場指南常見；是否硬性視乎個別保單 | 只用傳統特徵式防毒，被多個市場指南稱為不足夠 |
| 3 | 備份（離線／不可竄改加已測試還原程序） | 高 | 市場指南常見；是否硬性視乎個別保單 | 關鍵區分：還原測試係保險公司要求，唔等於託管服務包括（HK$1,200／月級只包建議＋設定，唔包還原測試） |
| 4 | 修補及漏洞管理 | 常見 | 建議加保費因素為主 | 修補時限數字各來源不一，無統一標準，寫「視乎保單要求」 |
| 5 | 電郵保安（SPF、DKIM、DMARC） | 常見 | 建議加保費因素 | 部份承保人要求 DMARC 強制執行模式 |
| 6 | 事故應變計劃加演練紀錄 | 常見 | 建議加保費因素為主 | 私隱專員公署指引亦建議備有資料外洩應變計劃 |
| 7 | 員工保安意識培訓加紀錄 | 常見 | 建議加保費因素 | 紀錄完整性比「有冇做過」更重要 |
| 8 | 特權存取管理（獨立管理員帳戶、最小權限） | 常見 | 建議加保費因素 | — |
| 9 | 唔將遙距桌面直接暴露於互聯網；停用不受支援系統 | 常見 | 個別保單可升為條件 | 高風險暴露項目 |
| 10 | 付款驗證程序（防社交工程匯款詐騙） | 常見 | 建議加保費因素 | 社交工程損失在不少保單屬分項限額保障 |
以上對照表來源全部為美國／英國市場指南，非香港承保手冊（見文末「參考來源」）。
四、投保問卷要準備咩資料
投保問卷（proposal form）係核保基礎。以下係按 MSIG 投保問卷及市場指南整理的準備清單，唔係任何一間保險公司的完整問卷；實際問卷以個別保險公司發出的版本為準。
- 公司基本資料： 業務性質、員工人數範圍、營運地點等，問卷要求填寫的項目。
- 系統清單： 伺服器、工作站、雲端服務、遙距存取安排等，問卷要求描述的項目。
- 多重認證覆蓋： 逐系統列明邊啲系統已啟用、邊啲未啟用，唔好寫一個籠統嘅「有」。
- 端點保安覆蓋： 邊啲裝置有端點偵測及回應、邊啲只有傳統防毒、監控安排係點。
- 備份安排： 備份頻率、備份存放位置（離線／不可竄改）、還原測試安排（是否至少每年測試一次＋測試紀錄）。還原測試紀錄係保險公司常見要求。
- 修補及漏洞管理： 修補流程、漏洞掃描安排、未修補已知漏洞清單。
- 電郵保安設定： SPF、DKIM、DMARC 設定狀態，DMARC 係咪強制執行模式。
- 事故應變計劃： 有冇書面計劃、幾時演練過、演練紀錄喺邊。
- 培訓紀錄： 員工保安意識培訓嘅出席紀錄及內容，唔好只寫「有做過」。
- 特權帳戶管理： 管理員帳戶清單、獨立管理員帳戶安排、最小權限執行情況。
- 滲透測試／社交工程測試： 有冇做過；如有，MSIG 投保問卷要求提供結果副本。
- 過往事故紀錄： 過往有冇發生過網絡事故或索償，如實填寫。
填表三個原則：第一，填表責任在投保人本身，唔好假手於人後就唔覆核；第二，由真正管理相關控制嘅人覆核投保書內容；第三，唔清楚就寫唔清楚，唔好估、唔好將未做寫成已做。
五、索償常見伏位
1. 投保書陳述唔準確：最大索償風險
承保已由「填問卷」變成「證據審核」；投保書陳述不準確，係最大索償風險之一。
美國個案 Travelers v. ICS（2022 年）：投保書稱多重認證覆蓋管理及特權存取，事後發現多重認證只保護防火牆；個案以雙方協議撤銷（stipulated judgment）了結，法院並無經審訊就承保範圍作出實質裁決。教訓：逐系統如實填寫覆蓋範圍，唔好用一個籠統答案涵蓋全部系統。
加拿大 Hamilton 市個案（2024 年勒索軟件事件）：因未全面落實多重認證而被拒賠，市政府需自行承擔龐大復原費用。注意：各來源對拒賠範圍表述不一（全單定部份），本文唔作定論。教訓：未做要如實披露並定下修復時間，唔好等到出事先發現申報同現實唔符。
2. 遲通知
保單通常訂明事故通知時限及程序。遲通知可影響索償。正確做法：投保時就問清通知時限、通知對象、通知形式，並將程序寫入事故應變計劃。
3. 未經同意自行聘請供應商
有保單要求事故發生後使用保險公司指定或同意的應對供應商。自行聘請而未經同意，相關費用未必獲賠償。投保時問清：事故應變供應商安排係點、自行聘請要唔要事先同意。
4. 分項限額誤當總限額
社交工程、勒索等項目，在不少保單屬分項限額保障，唔等於總限額。投保時問清每個分項嘅限額同自付額安排，唔好只睇總限額。
5. 追溯日期同已知事故
保單一般有追溯日期安排；投保前已知嘅事故若未披露，可影響保障。投保時問清追溯日期係點定、已知事故點處理。
6. 除外條款理解錯誤
戰爭／國家支持攻擊除外條款嘅適用範圍，須按個別保單措辭理解，唔好將 Lloyd's 市場通告當成全部香港保單嘅規則（見第二節）。
7. 證據不足：無紀錄等於難以證明
索償時，保險公司會要求證據證明相關控制已落實。無紀錄，就難以證明。平時就要保存：多重認證啟用紀錄、備份及還原測試紀錄、修補紀錄、培訓出席紀錄、演練紀錄。
六、保險＋PDPO 互補：買咗保險唔等於合規
保險係財務轉移，PDPO 合規係保安責任，兩者互補、不可互相代替。買咗保險唔等於合規。
關於罰款： 正確寫法係「視乎保單措辭與法律可保性」；唔好假設罰款一定受保。投保時要問清：監管罰款、監管調查開支，喺保單點寫、受保條件係咩。
關於外洩通報： 香港資料外洩通報屬自願、知悉後盡快，無固定時限。唔好將 GDPR 的 72 小時規則理解為香港法例。 香港通報標準係「知悉後盡快」，有實際傷害風險時更要加快，唔好用 72 小時做倒數。私隱專員公署鼓勵盡快通知。
關於修例進度： 強制通報等 PDPO 修訂建議未立法；第 33 條至今未生效。內容以現行法例為準，唔好將修訂建議寫成已生效法律。
關於日常合規： PDPO 保障資料原則要求採取切實可行的步驟保障個人資料。保險唔代替呢啲步驟。外洩應變計劃、保留紀錄、權限管理等日常工作，同時服務保險索償同 PDPO 合規兩個目的：同一份還原測試紀錄，既係索償證據，亦係合規證據。
七、簽約前要問的問題
本節唔係服務承諾，而係教讀者向保險經紀／保險公司及託管 IT 支援服務供應商提問。每項問題後面，都跟住「要確認乜」同「點確認」。
問保險經紀／保險公司
1. 保障範圍： 第一方同第三方保障各包邊啲項目？邊啲要另加附加保障？
- 要確認乜：保障項目清單同附加保障安排。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
2. 分項限額： 社交工程、勒索等分項限額係點？分項限額同總限額點分？
- 要確認乜：每個分項嘅限額。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
3. 自付額： 每宗索償自付額係點？唔同項目自付額係咪唔同？
- 要確認乜：自付額結構。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
4. 追溯日期： 追溯日期係點定？投保前已知事故點處理？
- 要確認乜：追溯日期同已知事故安排。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
5. 通知時限同程序： 事故發生後幾耐內要通知？通知對象同形式係咩？
- 要確認乜：通知時限、對象、形式。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
6. 罰款可保性： 監管罰款、監管調查開支，喺保單點寫？受保條件係咩？
- 要確認乜：罰款相關條款措辭。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
7. 應對供應商安排： 事故發生後，係咪要用保險公司指定或同意的供應商？自行聘請要唔要事先同意？
- 要確認乜：供應商安排同同意程序。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
8. 除外條款： 戰爭／國家支持攻擊、已知事故、實體財產損毀等除外條款點寫？
- 要確認乜：除外條款全文。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
9. 續保條件： 續保時會唔會重新核保？索償紀錄對續保有咩影響？
- 要確認乜：續保條件。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
10. 保費、賠償、受保決定： 保費點計？賠償程序係點？受保決定由邊個做？
- 要確認乜：保費計算基礎、賠償程序、核保準則。
- 點確認：要求對方以電郵／保單措辭書面確認，唔好只信口頭承諾。
問託管 IT 支援服務供應商
1. 保險問卷協助，供應商會唔會提供？（未公佈，簽約前問清楚並寫入協議。）
- 要確認乜：供應商會唔會提供多重認證、備份、修補等紀錄作問卷證據，定只係口頭協助。
- 點確認：要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
2. 還原測試，供應商會唔會負責？（未公佈，簽約前問清楚並寫入協議。）
- 要確認乜：還原測試由邊個負責做、幾耐做一次、紀錄點樣保存。注意：HK$1,200／月級只寫「數據備份建議及設定」，只包建議＋設定，唔包還原測試。
- 點確認：要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
3. 控制措施紀錄，供應商會唔會定期提供？（未公佈，簽約前問清楚並寫入協議。）
- 要確認乜：多重認證、備份、修補、培訓等紀錄，供應商會唔會定期提供、格式係點。
- 點確認：要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
4. 事故發生時，供應商扮演咩角色？（未公佈，簽約前問清楚並寫入協議。）
- 要確認乜：事故發生後供應商做邊啲、唔做邊啲、點同保險公司指定供應商配合。
- 點確認：要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
5. 月費唔包啲咩？例如辦公室搬遷，相關安排係咪另行報價？（簽約前問清楚並寫入協議。）
- 要確認乜：相關的系統安排係咪另行報價、包邊啲、唔包邊啲。
- 點確認：要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
6. 已公佈價錢的正確理解： 本站 pricing 頁公佈的 HK$600／月級 scope 並未列明保險相關服務，保險相關安排屬簽約前要問的問題。HK$600／月為已公佈原文，本文唔加單位，唔作市場倍數比較。
- 要確認乜：HK$600／月級實際包括邊啲服務。
- 點確認：要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
八、結論
網絡保險嘅正確次序係：先做控制、留低紀錄、如實申報，再用保險轉移剩餘風險。控制措施做咗要留證據，未做要如實披露並定下修復時間；投保書由真正管理控制嘅人覆核；條款以書面為準，口頭承諾唔作準。保險同 PDPO 合規係兩條軌：保險處理出事後嘅財務後果，合規處理日常嘅保安責任，兩邊都要做。
附錄：未證實項目清單
- 香港保險公司硬性承保清單：未證實／需用戶確認。
- 任何香港產品現行保費：未證實／需用戶確認；本文完全唔引用保費數字。
- 個別產品現行保障限額：未證實／需用戶確認；本文唔引用限額數字。
- 社交工程分項限額金額：未證實／需用戶確認。
- 短訊多重認證趨勢是否適用於個別香港保單：未證實／需用戶確認。
- 引述次級來源的拒賠統計百分比：未證實／需用戶確認，本文不引用。
- PDPO 修訂建議生效時間：未證實／需用戶確認，修訂未立法。生效進度以私隱專員公署官方公告及法律意見為準。
參考來源
來源連結查閱日期：2026-10-19（美／英市場指南擷取日期：2026-10-18）。保單條款經常更新，投保前請向保險經紀／保險公司確認現行條款。
免責聲明（重申）：本文屬一般資訊，唔係法律或保險意見。保費、賠償、受保決定以保險經紀／保險公司為準。 具體情況請諮詢保險經紀／保險公司及律師。如有疑問，應諮詢專業意見。
最後覆核日期：2026-10-20
覆核週期： 每 6 個月或產品條款／法例有變時覆核。
最後覆核日期：2026-10-20
投保前想先做好保安紀錄同事故應變準備？WhatsApp 我個，IT SUPPORTKING 幫你執好投保問卷要嘅證據。
相關閱讀