（イメージ／写真AC）

 

サイバー保険市場は紆余曲折を経ながらも成長しています。つまり、メリットを見極めて付保する企業は間違いなく増えています。

また、サイバー保険商品には、企業のサイバー攻撃防御力を高める効果を訴えるものもあると聞きます。もしもサイバー保険が、サイバー攻撃のせいで傷んだ事業の資金繰りを助けるだけでなく、企業体の免疫力向上につながる「ワクチン」効果を期待できるのであれば、魅力的です。さらに、「ワクチン」を関係企業集団で接種（購入）するようなことになれば、「集団免疫」も期待され、サプライチェーンセキュリティ問題という深い闇にも一条の光が、差し込むかもしれません。

今回は、「サイバー」予算の枠がきつくなってきた時（何時でもかもしれませんが。）に、サイバー保険の付保をするべきかどうか、というテーマでサイバー保険の今を切るISFのDistinguished Analyst、Paul Wattsの視点をブログから学んでみたいと思います。

（ここから引用）

サイバー保険は、なけなしのセキュリティ予算の有効活用になるか？

Published: 11 Jul 2022
SOURCE：ComputerWeekly.Com
 Paul Watts, Information Security Forum

「X会社がハッキングされた」という事件報道を目にする機会が増えていますが、このような事態を避けるためには、サイバー環境の整備や徹底したリスクマネジメントを行うということは王道と言えます。

しかしながら、たとえ自社が適切な予防措置を講じている幸運な会社であったとしても、悲観的な見方で申し訳ありませんが、セキュリティリーダーのおそらくほとんどの方は、今後しばらくの間に、自社がいつ事件に巻き込まれたか（もしも巻き込まれるかではなく）という話をするようになると私は確信しています。

このような状況を踏まえ、多くの企業はリスクの一部を移転し、最悪の事態が発生した場合に専門家のサポートを迅速に受けられるよう、サイバー保険に関心を寄せています。果たしてこれは、乏しい予算を有効に活用する方法なのでしょうか？ それとも、二階で眠っている時に階下で物音がしたといって、羽毛布団を頭からかぶってしまうようなものでしょうか（何故って、値の張る羽毛布団の中はとっても安全ですからね！）？

サイバー保険の市場規模は、2020年には約70億ドルでした。これは、2025年までに約3倍の200億ドル以上になると予想されています。成長が予測されているにもかかわらず、市場はまだ成熟度を欠いており、保険会社は自分たちが知識不足に起因する損失を被る可能性があることに気づいています。

ある組織がサイバー攻撃を受ける可能性とその影響を見極めることは、例えば車の運転手が事故に遭う可能性を判断するような成熟した手法とは異なり、不確実性と推測に満ち溢れています。サイバー犯罪の発生率は驚異的なレベルに達しており、2021年には調査対象組織の66%がランサムウェアの攻撃を受け、1年間で78%も増加したと言われています。地政学的な情勢の不安定化、パンデミック、生活費の危機的高騰などは、増加の理由のほんの一部に過ぎません。2020年に行われた分析調査によると、保険金請求の平均額はおよそ500万ドルであり、その結果、昔に契約されたサイバー保険契約は、保険会社にとって損失額上位の保険商品になってしまっているとのことです。

このため、保険料と補償内容のいずれもが変動する状況に陥っています。ウォールストリート・ジャーナル紙によると、昨年の保険料は米国だけで前年比92%も上昇したとのことです（これは、市場の成長が期待されることの現れでもあるのでしょう）。また、潜在的な損失の抑制を図る保険会社の間では、保険加入資格や補償内容の厳格化も顕著になっています。

そこで、最も基本的な水準のセキュリティ統制をも証明できない企業は、いまや門前払いされるか、あるいはあまりにも高額の保険料を突きつけられるのが現実となっています。保険契約申し込みの際に行われるアンケート調査および事前審査は、これまで以上に細部にまでわたるようになり、あるISF会員は、このプロセスを「徹底的な監査」と形容しています。

保険会社は市場に関するデータを大量に蓄積してきていますが、大規模なコスト削減効果や保険商品の最適化が行われて、それが消費者に還元されるのはまだ先の話です。保険会社では、さらに、サプライチェーンのセキュリティリスクを管理するためのツールと同じ手法で、企業のセキュリティ状況を外部から可視化する「スコアカード」を提供する自動検出ツールも活用しています。また、数多くのメーカーも、自社のスコアカードがきちんと機能していることを保証するために、さまざまな努力を行っています。このようにして、自分の会社の概要が事前に明らかにされることで、保険料にも影響が出てくることを念頭においておく必要があります。そのため、この事前評価が常に正確であるように、スコアとその根拠の双方を確認する必要があります。