随着勒索软件攻击日益频繁，保险公司在处理网络保险（Cyber Insurance）续保时，审核条件变得极其严苛。现在，“全面实施多因素认证（MFA on Everything）”几乎已成为保费报价的底线要求。然而，对于许多 IT 管理者来说，现实环境中总有一两台运行关键业务的“旧服务器（Legacy Server）”，其操作系统或软件架构根本无法原生支持 MFA。
面对续保问卷上那题必答的“是否所有访问都已实施 MFA？”，IT 经理往往陷入两难：勾选“否”可能导致保费飙升甚至被拒保，但勾选“是”若日后发生事故，保险公司可能以欺诈为由拒绝赔偿。本文将解析如何通过“补偿性控制措施”，在不更换旧系统的情况下满足保险公司的安全要求。
保险公司的底线：为什么他们对 MFA 如此执着
从保险公司的角度来看，超过 80% 的网络入侵都与身份凭证被盗有关。如果你的环境中存在任何一个不需要 MFA 就能登录的入口，黑客就能以此为跳板，在你的内网中横向移动并发动大规模攻击。
因此，保险公司关心的不仅仅是你的云端邮件或 VPN，他们更在意那些拥有高权限的服务器访问。即便那只是一台运行了十几年、无法更新的 Windows Server 2008，只要它连接着网络，它就是整个企业防线中的一个致命破口。这就是为什么续保问卷会将“全面 MFA”列为关键指标的原因。
千万不要在问卷上撒谎：诚实申报的重要性
在压力之下，有些企业可能会选择在问卷上含糊其辞，或者将未实施 MFA 的旧服务器隐藏不报。这是一个极其危险的决定。网络保险的本质是建立在“最大诚信原则”之上。
如果在理赔调查过程中，保险公司的资安专家发现黑客是通过一个你声称“已受 MFA 保护”但实际上却没有的旧系统入侵的，保险公司完全有权宣布保单无效，并拒绝支付任何赔偿金。对于 IT 管理者而言，诚实填写并提供“补偿性方案”说明，才是最专业且最安全的做法。
补偿性控制：无法直接实施 MFA 时的技术替代方案
当旧服务器无法直接安装 MFA 软件时，保险公司通常接受“补偿性控制（Compensating Controls）”。这意味着你虽然没有在该服务器上安装 MFA，但你在其前端或周边建立了一层同等强度的保护。
第一个常用的方案是“堡垒机或跳板机（Jump Server）”。你可以将旧服务器移入一个完全隔离的网络网段（VLAN），并规定任何人都不能直接登录该服务器。所有管理员必须先登录一个支持强效 MFA 的跳板机，通过验证后才能远程操作旧系统。这在逻辑上达到了“访问行为受 MFA 保护”的效果。
第二个方案是实施“微隔离与网络访问控制（NAC）”。通过严格的防火墙规则，将访问旧服务器的权限限制在极少数特定的 IP 地址上，并且要求这些来源设备本身必须经过严格的身份验证。如果能配合虚拟补丁（Virtual Patching）来防范该旧系统已知漏洞，保险公司通常会认可这种组合方案的有效性。
引入第三方 MFA 代理解决方案
如果保险公司坚持要看到服务器层级的保护，IT 团队可以考虑采用一些专门为旧系统设计的第三方 MFA 代理解决方案（如 Silverfort 或 Duo 的特定组件）。
这些方案的特点在于，它们不需要在每一台旧服务器上安装沉重的软件。相反，它们拦截底层的身份认证协议（如 NTLM 或 Kerberos），在验证过程中加入一个 MFA 确认步骤。这种方式可以让原本不支持 MFA 的 Windows 旧版本或特定工业控制系统，在不改动代码或系统架构的情况下，瞬间具备多因素认证的能力。
制定清晰的系统退役或更新计划
除了技术补救措施，保险公司也非常看重企业的“安全改进承诺”。在续保文件中，如果你能附上一份清晰的“旧系统退役或迁移计划（Decommissioning Plan）”，说明公司预计在未来 12 到 18 个月内如何逐步淘汰这些无法合规的设备，这将极大增加你的说服力。
网络安全是一个持续改进的过程。保险公司更愿意承保那些了解自身短板并有积极计划去改善的企业。结合补偿性控制措施与清晰的更新路线图，你不仅能顺利通过续保审核，还能将保费维持在一个合理的水平，同时真正提升企业的抗风险能力。
强化企业安全 🛡️ 立即行动
UD 是值得信赖的託管安全服务供应商（MSSP）
拥有 20+ 年经验，已为超过 50,000 家企业提供解决方案
涵盖渗透测试、漏洞扫描、SRAA 等全方位网络安全服务，全面保护现代企业。