サイバー保険市場は紆余曲折を経ながらも成長しています。つまり、メリットを見極めて付保する企業は間違いなく増えています。
また、サイバー保険商品には、企業のサイバー攻撃防御力を高める効果を訴えるものもあると聞きます。もしもサイバー保険が、サイバー攻撃のせいで傷んだ事業の資金繰りを助けるだけでなく、企業体の免疫力向上につながる「ワクチン」効果を期待できるのであれば、魅力的です。さらに、「ワクチン」を関係企業集団で接種（購入）するようなことになれば、「集団免疫」も期待され、サプライチェーンセキュリティ問題という深い闇にも一条の光が、差し込むかもしれません。
今回は、「サイバー」予算の枠がきつくなってきた時（何時でもかもしれませんが。）に、サイバー保険の付保をするべきかどうか、というテーマでサイバー保険の今を切るISFのDistinguished Analyst、Paul Wattsの視点をブログから学んでみたいと思います。
（ここから引用）
サイバー保険は、なけなしのセキュリティ予算の有効活用になるか？
Published: 11 Jul 2022
SOURCE：ComputerWeekly.Com
Paul Watts, Information Security Forum
「X会社がハッキングされた」という事件報道を目にする機会が増えていますが、このような事態を避けるためには、サイバー環境の整備や徹底したリスクマネジメントを行うということは王道と言えます。
しかしながら、たとえ自社が適切な予防措置を講じている幸運な会社であったとしても、悲観的な見方で申し訳ありませんが、セキュリティリーダーのおそらくほとんどの方は、今後しばらくの間に、自社がいつ事件に巻き込まれたか（もしも巻き込まれるかではなく）という話をするようになると私は確信しています。
このような状況を踏まえ、多くの企業はリスクの一部を移転し、最悪の事態が発生した場合に専門家のサポートを迅速に受けられるよう、サイバー保険に関心を寄せています。果たしてこれは、乏しい予算を有効に活用する方法なのでしょうか？ それとも、二階で眠っている時に階下で物音がしたといって、羽毛布団を頭からかぶってしまうようなものでしょうか（何故って、値の張る羽毛布団の中はとっても安全ですからね！）？
サイバー保険の市場規模は、2020年には約70億ドルでした。これは、2025年までに約3倍の200億ドル以上になると予想されています。成長が予測されているにもかかわらず、市場はまだ成熟度を欠いており、保険会社は自分たちが知識不足に起因する損失を被る可能性があることに気づいています。
ある組織がサイバー攻撃を受ける可能性とその影響を見極めることは、例えば車の運転手が事故に遭う可能性を判断するような成熟した手法とは異なり、不確実性と推測に満ち溢れています。サイバー犯罪の発生率は驚異的なレベルに達しており、2021年には調査対象組織の66%がランサムウェアの攻撃を受け、1年間で78%も増加したと言われています。地政学的な情勢の不安定化、パンデミック、生活費の危機的高騰などは、増加の理由のほんの一部に過ぎません。2020年に行われた分析調査によると、保険金請求の平均額はおよそ500万ドルであり、その結果、昔に契約されたサイバー保険契約は、保険会社にとって損失額上位の保険商品になってしまっているとのことです。
このため、保険料と補償内容のいずれもが変動する状況に陥っています。ウォールストリート・ジャーナル紙によると、昨年の保険料は米国だけで前年比92%も上昇したとのことです（これは、市場の成長が期待されることの現れでもあるのでしょう）。また、潜在的な損失の抑制を図る保険会社の間では、保険加入資格や補償内容の厳格化も顕著になっています。
そこで、最も基本的な水準のセキュリティ統制をも証明できない企業は、いまや門前払いされるか、あるいはあまりにも高額の保険料を突きつけられるのが現実となっています。保険契約申し込みの際に行われるアンケート調査および事前審査は、これまで以上に細部にまでわたるようになり、あるISF会員は、このプロセスを「徹底的な監査」と形容しています。
保険会社は市場に関するデータを大量に蓄積してきていますが、大規模なコスト削減効果や保険商品の最適化が行われて、それが消費者に還元されるのはまだ先の話です。保険会社では、さらに、サプライチェーンのセキュリティリスクを管理するためのツールと同じ手法で、企業のセキュリティ状況を外部から可視化する「スコアカード」を提供する自動検出ツールも活用しています。また、数多くのメーカーも、自社のスコアカードがきちんと機能していることを保証するために、さまざまな努力を行っています。このようにして、自分の会社の概要が事前に明らかにされることで、保険料にも影響が出てくることを念頭においておく必要があります。そのため、この事前評価が常に正確であるように、スコアとその根拠の双方を確認する必要があります。
保険契約の内容によって、提供される補償の水準はさまざまです。大まかには、保険契約者が直接負担した費用であるファーストパーティロスと、事故そのものが原因で他者が負担した費用を対象とするサードパーティロスに補償が適用されます。そこで、保険証券に小さな文字で記述された内容についての説明が必要になります。
実は、保険証券の文言の解釈、特に制限条項や補償の除外事項の定義に関しては、このところ厄介な揉め事が増えてきているのです。その最も顕著な例の一つが、Merck & Co vs Ace American Insurance裁判で、2017年のNotPetya事件に伴う保険金支払いを拒絶するために「戦争行為」（については保険の対象外とする）制限条項を使用することをめぐる係争でしたが、同事件はウクライナとの間で続く紛争問題の一環としてロシア軍事情報機関による仕業とされたものであります。
法廷論争は長期にわたりましたが、従来型の保険商品に長年にわたって存在する戦争免責条項は、武力紛争にのみ適用されることを意図していると裁判所が判断し、Merck社に有利な形で終結したのです。同じような訴訟をMondelez International社が起こしましたが、米国の裁判所でまだ係争中です。ロイズ市場協会（ロイズ・オブ・ロンドン）は、今後の保険契約を明確にするために一連のモデル約款を公表していますので、今後さらなる訴訟の事例が増えるとともに、約款の標準化が進むことが期待されるところです。
また、ここ数年の間に、保険契約には、企業がサイバーリスクを主体的に管理するのを支援するための無償サービスが含まれるようになり、損失補償を超えて保険契約を締結する価値が高まってきています。サービスには、例えば、インシデント対応計画の策定支援、ベンチマークレポートや成熟度評価、コンサルティングサービスなども含まれることがあります。
こうしたサービスを利用するかどうかは契約者の裁量に任されていますが、契約者とより密接に、より予防的なレベルで関わりたいという保険会社の意向を示していると言えます。これはつまり、治療ではなく予防が、長期的には契約者と保険会社の双方にとってより有益であることが明らかになるだろうという考えに基づきます。この考え方は理にかなっていますが、このアプローチが成果を上げるためには、相互の信頼と透明性の基盤を築くための時間が必要でしょう。
以前にも述べたことですが、もう一度申し上げたいのは、サイバーに関しては、予防は治療よりも常に有効であるということです。サイバー保険商品に付帯するサービスによって、その総体的な提案はますます魅力的になっています。また、保険市場が保険条件の標準化を進め、さまざまなビジネスニーズに対応したより多様な商品を提供し始めているのは喜ばしいことですが、これにはまだ相応のコスト負担を伴うものとなっています。
サイバー保険に投資をするかどうかの判断には、何が実現したら満足基準に達するのかという明確な期待値管理が必要になってきます。サイバーセキュリティリスクの予防的管理をしのぐものはありません。そして、もし投資すると決めたとしても、サイバー保険は最終手段であるべきで、事業が壊滅的に破壊されるレベルの脅威を管理する方法に対する唯一にして最初の解決策であってはならないのです。
（引用おわり）
このエッセイあるいはサイバー保険市場で想定されているサイバー「事故」は、うっかりしていてアンチウイルスソフトのライセンスが切れていた、とか、社内で利用するOSやソフトウェアの修正パッチが当たっていなかった、といったレベルの管理で起きる類のものばかりではありません。そうした過失責任のような状況は、たとえ会社役員賠償責任保険を掛けていたとしても、おそらく損失補償は受けられないことでしょう。
そうはいっても、このブログが対象とするものが、いわゆる国家レベルの組織が行うサイバー攻撃で、直接狙われる場合もあるだけでなく、トバッチリということも十分あり得る中で、サイバー保険を掛けない、予防措置に資金を回すのだ、という決断は容易ではありません。「転ばぬ先の杖」という考え方もあるではありませんか。
Paulさんのオピニオンは多とした上で、もう少し詳しくサイバー保険の今を冷静に見つめてみる必要がありそうです。
国際的なNPOであるISFが、最近、ブリーフィングペーパー、”Cyber Insurance: Is it worth the risk?”を無償で公開しています（実務上の知恵が22ページにわたって詳述されています）。個別化（テーラーメイド）医療のような形で、個社の状況に合わせて予防効果も加味した商品設計に応じる保険会社もあるようですので、一度ダウンロードして原文に当たることをお勧めします。ちなみに、会員の日本企業の方々には、昨年、日本語訳をお届けしましたが、論点整理もバランスが取れ行き届いた解説だと好評を博しました。
いずれにせよ、個別契約の積み重ねはまさに治験データの集積になるわけですから、私個人としては、各企業によるサイバー保険の付保は、個社ごとの問題解決には十全ではないことがあるにせよ、サイバー公衆衛生の観点からも社会的にプラスの効果があるのではないかとの期待を持っています。
ただし、個々の企業にとって、抱えるリスクの計量は、会社のリスクシナリオの中に組み込まれていくべきで、その上ではじめてリスク緩和への投資と見返りの比較考量が適正に行われるものと理解しております。この辺りの実務の最先端については、次回のブログで取り上げることと致します。
小原：hiro.ohara@securityforum.org
