想象你经营着一家小型软件咨询公司。某个周二，三封不同的邮件同时落到你的收件箱：一位客户说你做的集成搞乱了他们一周的订单，要你赔偿损失的收入；你自己的系统在夜里被入侵，4,000 条客户记录现在落入了陌生人手中；还有一位竞争对手声称你主页上的对比图表未经许可使用了他们的注册商标。三场危机，三位律师，三份截然不同的保险单——而每一件事背后那个令人痛苦的问题都是一样的：到底哪份保单会赔？
如果你只买了这三者中的一种——技术错误与遗漏保险（E&O）、网络责任保险或媒体责任保险——那么至少有一封邮件得你自己掏钱。本指南会解释每份保单承保什么、它们在哪里重叠、缺口藏在哪里，以及一家小型技术或创意企业应该如何在不花冤枉钱的前提下把这三者都买齐。
一图看懂三份保单
这三者都是责任保险，也就是说它们赔付你的企业给他人造成的损害（外加你的法律辩护费用）。但每一份应对的是不同类型的损害：
| 保单 | 回答的问题 | 触发事件 | 典型买家 |
|---|---|---|---|
| 技术 E&O | 你的专业工作是否失败了？ | 程序缺陷、服务中断、错过截止日期、让客户损失金钱的违约 | 软件供应商、开发者、IT 顾问、MSP |
| 网络责任 | 系统或数据是否遭到攻击？ | 数据泄露、勒索软件、转账欺诈、隐私侵犯 | 任何存储数据或依赖计算机运营的企业 |
| 媒体责任 | 你的内容是否伤害了他人？ | 诽谤、版权或商标侵权、广告侵害 | 代理机构、出版商、创作者、任何做广告的企业 |
简短版本：E&O 承保你做错了什么，网络保险承保别人对你做了什么（以及数据的连带后果），媒体保险承保你发布了什么。接下来是决定实际理赔的细节。
技术 E&O：当你的工作成果本身成了问题
技术 E&O——有时也叫技术专业责任保险——承保的是你的技术产品或服务未能如承诺般运作、让客户损失金钱而引发的索赔。典型的触发情形包括软件缺陷、实施失败、错过截止日期、疏忽的建议以及违约。
设想一位自由职业开发者，他的发票系统迁移让客户的客户被重复计费；或者一家 MSP，其配置错误的备份让客户在服务器故障后无法恢复数据。客户就你的工作造成的财务损失提起诉讼。这就是 E&O 索赔：没有人被黑客攻击，没有数据被窃取——只是你的工作没有做到你所说的那样。
关于技术 E&O，有三件事你需要了解：
这是你的企业客户会要求的保单。 大多数供应商合同和主服务协议都要求你在签约前提供 E&O 保险证明，限额通常是每次索赔 100 万美元、累计 200 万美元。如果你把产品卖给大公司，E&O 就不是可选项——它是被允许进入这个房间的代价。
它承保的是经济损失，而一般责任保险不承保。 标准的一般责任保单承保人身伤害和财产损失，不承保因为你的代码失败导致客户损失的利润。那些以为自己的一般责任保险或企业主保单（BOP）能覆盖专业失误的企业主，只有在索赔被拒时才会发现这个缺口。
辩护费用会侵蚀你的限额。 许多 E&O 保单从赔付和解的同一限额里支付法律辩护费用，所以一份 100 万美元的保单花了 30 万美元辩护费后，就只剩 70 万美元用于实际索赔。比较报价时，要问辩护费用是在限额之内还是之外——在同样面额下，在限额之外是明显更好的保障。
如果你为客户构建、集成、托管、提供建议或管理技术，技术 E&O 就是你的基础保单。其他一切都叠加在它之上。
网络责任保险：当攻击落到你头上
网络责任保险承保的是应对和从网络事件中恢复的成本——以及因此责怪你的诉讼。它有两个部分：
第一方保障赔付你自己的事件成本：查明发生了什么事的取证调查、关于泄露通知义务的法律指导、客户通知和呼叫中心成本、信用监控、勒索软件谈判与付款、数据恢复、停机期间的业务收入损失，以及当一封伪造邮件骗得某人把钱汇给犯罪分子时的转账欺诈。
第三方保障在他人就事件起诉你时赔付：数据被泄露的客户、追讨罚款和罚金（在可保范围内）的监管机构，以及在卡数据被泄露后评估成本的支付卡品牌。
数字能解释这份保单为何存在。小企业为网络保险平均每月支付大约 130 到 145 美元——约合每年 1,500 到 1,750 美元——而一次涉及客户记录的数据泄露，调查和解决的费用可能从 12 万美元一路到七位数。几年的保费比一次未投保的事件更便宜，而且据估计只有 10% 到 20% 的中小企业买了这份保险。
注意网络保险不做什么：它不承保你的软件写得糟糕这一索赔。如果你交付的代码里的漏洞导致客户数据泄露，客户就专业疏忽对你的诉讼会落到你的技术 E&O 上——而你自己的取证和通知成本则落到你的网络保单上。一个事件，两份保单，两张不同的账单。这是技术保险里最容易被误解的一处分割，也是技术企业通常两份都需要的原因。
媒体责任保险：当你的内容成了问题
媒体责任保险——一种为出版风险而写的 E&O——承保由你创作或分发的内容引发的索赔：诽谤和贬损、版权和商标侵权、侵犯隐私、剽窃以及虚假广告。
你不需要是一家媒体公司才会需要它。任何发布博客文章、投放广告、在社交媒体上发帖、发送营销邮件，或在网站上放对比页面的企业都在做出版。一张超出许可条款使用的图库照片、一篇引用了从未批准的客户的案例研究、一条重复关于竞争对手未经证实说法的社交帖子——每一条都是一起等着遇上错误读者的媒体索赔。
有两个误解让企业在这里暴露于风险之中：
“我的一般责任保险承保广告侵害。” 部分是，而这就是陷阱。商业一般责任保单确实包含一个有限的人身与广告侵害条款，但它很狭窄，上限是该保单不高的限额，而且是为那些偶尔做广告的滑倒摔伤类企业写的——不是为那些内容就是产品的企业写的。代理机构、出版商、营销内容繁重的开发者，以及任何做对比广告的人，都会经常超出它。媒体责任保险是专门为替代它而设计的。
“版权索赔只发生在大出版商身上。” 自动化的图片许可执法和商标维权已经让小企业的索赔函变得司空见惯。一张未经授权的图片就可能产生数倍于一年媒体附加险费用的和解要求，而对哪怕毫无根据的诽谤索赔进行辩护，费用也会深达五位数。
对许多小企业来说，媒体责任保险是以技术 E&O 或网络保单上的附加险形式出现，而非单独购买——这很方便，但意味着你应该检查分项限额。一份 100 万美元 E&O 保单里 2.5 万美元的媒体分项限额，并不等于 100 万美元的媒体保障。
界线在哪里模糊（缺口在哪里打开）
真实事件很少尊重保单的边界。危险的交叉重叠集中在三个地方：
你的代码导致客户的数据泄露。 如上所述，客户就疏忽提起的诉讼落到你的技术 E&O 上，而你的事件响应成本落到你的网络保单上。如果你只有一份，事件就有一半没被承保。技术企业应当把 E&O 加网络保险当作一对来对待，最好来自同一家保险公司，采用技术 E&O/网络二合一表格，这样两半就无法就哪份保障适用而互相推诿。
你网站的内容同时触发媒体和网络索赔。 一篇诽谤性的博客文章是媒体索赔；同一篇文章曝光了私人客户数据，就增加了一个可能归入网络保险的隐私责任因素。合并表格比各自有各自除外条款的独立保单更能优雅地处理这种情况。
合同责任超出了保单的授予范围。 你的客户合同可能承诺赔偿、担保、无限责任或特定的安全标准。E&O 保单承保一部分约定承担的责任，排除其余部分，而网络保单常常排除未能维持所承诺的安全控制。在你签署客户合同之前——而不是在索赔之后——把合同要求对照保单除外条款读一遍。
还有跨这三份保单的一个结构性陷阱：它们几乎总是索赔发生制，而非事故发生制。 索赔发生制保单只承保在保单有效期间首次提出的索赔（外加可选的尾部期间）。让保障中断，你多年的工作成果就会突然对明天提出的索赔失保。更换保险公司时，要保留你的追溯日——被承保工作的回溯起点——否则你就是用新保单买了一个缺口。如果有可能因过去的工作被起诉，绝不要让一份索赔发生制保单中断而不购买尾部保障。
保障要花多少钱，以及如何购买
保费随收入、员工人数、行业、数据量、限额和理赔历史而变化，但小企业基准数字有用地聚成几档：
- 网络责任保险： 小企业大约每月 130 到 145 美元，约合每年 1,500 到 1,750 美元，年保费从数据暴露极少的几百美元，到数据密集型企业 8,000 美元以上不等。
- 技术 E&O： 对独立开发者和微型公司，100 万美元限额下通常每年 500 到 2,000 美元，随收入和合同要求上升。一家小型 IT 咨询公司把一般责任、E&O、网络和雇佣行为保障打包，往往全年总共落在 3,500 到 5,000 美元之间。
- 媒体责任保险： 作为附加险往往最便宜——通常一年几百美元加到 E&O 或网络保单上——面向出版商和代理机构的独立保单则更贵。
五条购买规则能让你的支出更高效：
- 把技术 E&O 和网络保险在同一家保险公司打包。 合并表格比独立保单便宜，并消除了一个事件同时触发两者时的推诿缺口。
- 让限额匹配你的合同，而不是你的舒适感。 如果你三个最大的客户要求 200 万美元累计，那这就是你的底线，无论你觉得多少才够。
- 保护追溯日。 争取完整的前期行为保障，或至少让追溯日与你开业第一天一致，并在每次续保和更换保险公司时把它带过去。
- 申请前记录好你的安全控制。 多因素认证、加密备份、端点保护和事件响应计划正日益成为网络保险的核保要求——同样的控制还能带来更好的保费。
- 针对你实际的风险读除外条款。 已知情况除外、网络表格里宽泛的专业服务除外，以及有限额的媒体附加险，正是便宜保单藏匿它们廉价之处的地方。
让保费（和纸质记录）留在你的账本里
保险是少数既完全可抵扣又经常被记错账的业务开支之一。商业责任保障的保费——E&O、网络、媒体、一般责任——是普通且必要的业务开支，在支付当年可抵扣。但一个藏着所有保单的单一“保险”分类账账户会招来两个问题：续保时你看不出哪项保障花了多少，而当核保人或审计师问起时你也无法干净地证明损失历史。
更好的做法是为每份保单设一个专用子账户——比如 Expenses:Insurance:Tech-EO、Expenses:Insurance:Cyber、Expenses:Insurance:Media——这样每一份续保报价都对上它自己的历史，保费趋势也年复一年地可见。如果你用纯文本记账，层级化的账户名会免费给你这种结构；Beancount 的入门文档展示了账户层级如何自行组织，无需任何会计科目表的维护。
同样的纪律也适用于事件成本。免赔额、未承保的法律账单、取证、通知供应商和信用监控订阅，都应该标记到该事件——为每次事件设一个专门的项目标签或子账户——这样你就能向保险公司报告完整损失、证实抵扣，并且同样重要的是，在你决定明年限额时看清事件真正花了多少钱。把事件支出散落在各普通账户里的企业，总是会低估自己真实的暴露，并在下一年买低限额。
最后，把你的追溯日和续保日与月末结账清单一起排进日历。一份中断的索赔发生制保单是一次带有保险后果的记账失败：账本看起来没问题，直到那笔未承保的索赔到来。
保护你正在建立的事业
你的代码、你的系统和你的内容是三个不同的风险面，没有哪一份保单能承保超出它自己的那部分。如果你卖的是技术工作，从技术 E&O 开始，配上来自同一家保险公司的网络责任保险，并确保你的出版内容——博客、广告、对比页面——由真正的媒体授予条款承保，而不是你一般责任保单里那条单薄的广告侵害条款。让限额匹配你的客户合同，守住你的追溯日，把每一笔保费和事件成本都放在你的账本能找到的地方。
保持清晰的财务记录，正是把保险从一堆 PDF 变成一项受管理的业务职能的关键。Beancount.io 提供纯文本记账，让你对自己的财务数据拥有完全的透明度和控制权——没有黑箱，没有供应商锁定。免费开始使用，看看为什么开发者和财务专业人士正在转向纯文本记账。
