本コラムの前回記事（2017年5月2日付）では、今後警戒すべきリスク、脅威、ハザードとして IT 関連のものが上位を占めるという趣旨の報告書を紹介させていただいたので、今回はこれに関連して、情報セキュリティに関連するリスクに対する損害保険の活用に関する調査報告書を紹介する。
情報セキュリティやプライバシー問題などが専門の調査機関である、米国の Ponemon Institute は、大手保険会社 Aon からの支援を受けて、情報資産に関する保険の活用に関するアンケート調査を行い、その結果を「2017 Global Cyber Risk Transfer Comparison Report」（以下「本報告書」と略記）として ４月に発表した。
本報告書の序文によると、この調査の目的は、有形資産（建物や設備など）と無形資産（情報や知的財産など）との間で保険の活用状況を比較することである。特に情報セキュリティに関する事故や犯罪（ネットワークからの不正侵入や情報漏えい、改ざんなど）が増加傾向にあり、その損害額も増えている状況に対して、損害保険の活用が進んでいるかどうかを調査しようとしている。
なお、本報告書においては「PP&E」という表現が頻繁に用いられているが、これは財物（property）、工場（plant）、および設備（equipment）を含めた「有形固定資産」という意味の略語である。
調査は日本を含む世界各国を対象として実施され、合計で 2168 件の有効回答を得ている（注１）。回答者の地域別の内訳は明らかにされていないが、業種別に見ると金融サービス業からの回答が 16%で最も多く、これにサービス業12%、工業10%、公的機関10% が続いている。また回答者の役職を見ると、役員以上（Senior executive、Vice president、Director）が 20%、管理職層（Manager、Supervisor）が 30% となっており、管理職層以上が回答者の半数を占めている。
図１は前述の問題意識に最も直接的に対応するデータであり、有形固定資産に比べて情報資産に対する保険の活用が進んでいないことを端的に表している（それぞれ回答全体の平均値）。また、本稿ではグラフの掲載を省略するが、情報資産の価値の合計は既に有形固定資産の価値の合計を上回っており、かつ想定される損失額の合計も情報資産の方が大きいことが、アンケートの結果から示されている。つまり図１の分母が左右で異なるため、保険でカバーされていない金額の差は、図１のイメージよりも大きくなるということになる。
しかしながら、これはあくまでもアンケート調査であり、回答者が正確なデータに基づいて回答しているとは限らない。しかも、情報資産の価値や想定される損失額は、有形固定資産に比べて金額換算しにくいと考えられる。したがって、この数字がどのくらい信頼できるかは慎重に考えるべきであろう。アンケート回答者の、当事者としての問題意識が数字に現れたと考えるのが妥当かもしれない。
また図 2 は、情報資産に関する損害保険契約において、保険金が支払われる範囲をたずねたものであり、保険会社との契約範囲を表したものと言えるが、このデータは情報セキュリティに関する事故が発生した場合に、どのような損害が発生しうるかを検討する際の材料としても興味深い。筆者としては特に「ブランドへのダメージ」という、金額に換算しにくい損害に対して、どのような考え方で保険金が支払われるのか（保険契約者はどのような根拠で保険金を請求するのか）、気になるところである。
本報告書には、他にも情報セキュリティリスクと損害保険に関する様々な設問に対して、回答結果がまとめられている。同様の調査を日本国内に限定して実施したら、若干異なる結果になるかも知れないが、自社における情報セキュリティ対策や、損害保険の契約内容の見直しなどを検討する際に、本報告書が参考になるのではないかと思う。
■ 本報告書の入手先 （PDF 32 ページ／約 1.8 MB）
http://www.aon.com/attachments/risk-services/cyber/2017-Global-Cyber-Risk-Transfer-Report-Final.pdf
（注釈）
1) アンケート調査の対象は６万220人であり、無効な回答を除外した有効回答率は 3.6% である。
2) フォレンジックとは、コンピューターやネットワークシステムに残されたログや、ハードディスクの状況などを、専門的な技術を駆使して詳細に調査し、裁判で使うための証拠を収集することである。
