海外コメンタリー

ニーズが高まるサイバー保険、利用時に知っておきたいこと

Forrester Research 翻訳校正：石橋啓一郎

2018-08-09 06:30

　今日では、100％安全な企業など存在しない。もし安全だと信じているのであれば、それは過信にすぎない。

　このような状況を反映して、サイバー保険に加入することを検討する企業は増え続けている。何らかの形で保険を用意していなければ（それが保険契約であれ、あらかじめ積み立てておいた現金であれ）、深刻なサイバー攻撃を受けた場合に、発生した被害に対するセーフティネットが存在しない状態になってしまう。

　企業の最高情報セキュリティ責任者（CISO）はあらゆるリスク軽減策をとる必要があるが、サイバー保険はリスクを軽減、移転できる優れた対策の1つだ。しかし、適切な補償範囲や条件、サービスを手に入れることは、実際にはなかなか難しい。

サイバー保険市場の最新状況について知る

　CISOが十分に時間を取ってサイバー保険市場について理解すれば、ブローカーの選択から条件交渉まで、あらゆる点で有利になる。

　Forrester Researchは、ビジネスやセキュリティ関連の顧客企業に、15～30億ドル市場（さらに成長中）であるサイバー保険市場に対応するための指針を示し、サイバー攻撃のリスクを軽減するための知見やベストプラクティスを提供するために調査を実施した。

主な調査結果

　今回の調査では、サイバー保険市場が2、3年前と比べても大きく変化しており、現在も急速に発展しつつあることが明らかになった。セキュリティのプロフェッショナルにとっては意外ではないだろうが、多くの保険会社では、サイバー保険がもっとも成長が早い商品群となっている。ただし、保険会社も顧客も一連の課題を抱えているのが現状だ。以下では、主な調査結果を説明する。

サイバー保険市場は成熟しつつあるが、拡大し続けている課題を解決し切れているわけではない。調査の結果、契約の透明性の向上、主張の争いによる支払い延期の減少、保険会社のサイバーリスクに対する理解の進展など、市場が改善されていることを示す前向きな兆候が見られた。それでも、依然として問題は多く残っている。セキュリティ責任者は、面倒な法律用語や価格の急上昇、IPや評判に関する保険適用範囲のギャップ、組織内の意識の不一致による保険購入に関する意思決定の混乱など、多くのハードルに直面している。
顧客はサービス提供者やパートナーの関係性の複雑さに悩まされている。今回の調査レポートでは、サイバー保険の引受会社、ブローカー、再保険会社、コンサルティング企業、データアナリティクス提供会社、サイバーリスク評価スコア提供会社の入り組んだ関係性や、インシデント対応や弁護士などの、サイバー被害発生後のサービスを提供するために注意深く構成された保険会社を補佐する専門的なグループについて分かりやすく示した。また、大企業の場合は、自家保険やキャプティブ保険によって、資本化や税制上のメリットを得ることができる場合もある。
悪魔は細部に宿る。サイバー保険に関しては、慣れている人もそうでない人も、簡単に間違いを犯してしまう。保険証券に書かれている「コンピュータ不正行為」の定義のわずかな違いが、数百万ドルにも相当する適用範囲の違いを生み出す場合もある。レポートでは、サイバー保険の適用範囲に影響を与えるギャップや制約を、1）サブリミットおよび免責額、2）明示的な適用除外事項、3）暗黙の制約、4）サービスの制限事項の4つの分野に分けて説明している。これらの内容については、保険証券の条項を読み込む前に把握しておいた方がよいだろう。
サイバー保険ブローカーは賢く選ぶべきである。サイバー保険に関してもっとも重要な関係性は、CISOとブローカーの関係だ。サイバー保険会社を選択するにしても、契約条項を変更するにしても、保険金の支払い請求を行うにしても、最初に接触するのはブローカーになる。ブローカーを選択する際には、ブローカーのインセンティブがパートナーとの関係ではなく、顧客との関係を優先するようになっていることを確認する必要がある。また、ブローカーが提供しているサービスや、サイバーセキュリティに対する見識、パートナーのエコシステム、既存の顧客に関する経験などをよく調べて選ぶべきだ。